Разбор дефекта в Webtop Media Transcoder — функции, которая, согласно бюллетеню, конвертирует документы для веб-почты в платформе Openwave Messaging и не применяет ограничения типов файлов. Оценка низкая, но атаки наблюдались, поэтому эта краткая заметка адресована операторам платформ обмена сообщениями на Openwave Messaging: как проверить и что делать.
- CVE
- CVE-2026-111793 (бюллетень поставщика CAN-2026-2032674, JVNVU#93403064)
- Тяжесть
- Поставщик и CVE: CVSS v3.1 4.3 (средняя). JVN: помечена как critical
- Тип
- Некорректная передача ресурса между сферами (CWE-669). Заданные администратором ограничения типов файлов не применяются
- Затронуто
- Webtop Media Transcoder до 1.1.22.0 (в записи CVE указан Linux)
- Исправление
- 1.1.22.0. Поставщик советует клиентам обновиться до последнего поддерживаемого выпуска Media Server 2.0
- Описанное воздействие
- Поставщик и CVE: можно конвертировать непредусмотренные типы документов (низкое влияние на доступность). JVN: возможно получение конфиденциальной информации
- Даты
- Различаются по источникам (см. таблицу ниже)
- Эксплуатация
- JVN: разработчик заявляет, что наблюдались атаки. Внесена в CISA KEV 10 ноября (срок — 24 ноября)
В чём заключается уязвимость
Бюллетень поставщика и запись CVE сообщают, что Webtop Media Transcoder не применяет заданные администратором ограничения типов файлов. Аутентифицированный пользователь, минуя интерфейс Webmail, может обработать и конвертировать непредусмотренные типы документов. Бюллетень не называет метод, и этот сайт тоже.
Воздействие в разных источниках описано по-разному, и этот сайт не принимает сторону ни одного из них.
| Источник | Что сказано |
|---|---|
| Бюллетень поставщика и запись CVE | Можно конвертировать непредусмотренные типы документов. Бюллетень даёт CVSS v3.1 4.3; вектор приведён в записи CVE (нет влияния на конфиденциальность и целостность, низкое — на доступность) |
| JVN | Атакующий, который может войти в систему и загрузить подготовленный файл, способен получить конфиденциальную информацию. Помечена как critical. Разработчик заявляет, что наблюдались атаки |
| CISA KEV | Аутентифицированный пользователь может обработать и конвертировать непредусмотренные типы документов (формулировка поставщика) |
Даты различаются
| Источник | Дата |
|---|---|
| Бюллетень поставщика | Дата раскрытия — 7 октября 2026 года. Указано, что исправленная версия 1.1.22.0 вышла 6 декабря 2021 года |
| Запись CVE | Опубликована 16 октября 2026 года |
| JVN | Опубликована и последний раз обновлена 9 ноября 2026 года |
| CISA KEV | Добавлена 10 ноября 2026 года (срок — 24 ноября) |
Между датой бюллетеня (2026 год) и указанной датой выпуска исправления (2021 год) — разрыв более четырёх лет. Причину этого по открытой информации подтвердить не удалось, и этот сайт не останавливается на какой-либо одной дате.
Кого это касается
| Параметр | Описание |
|---|---|
| Продукт | Openwave Messaging Webtop Media Transcoder |
| Затронутые версии | До 1.1.22.0 |
| Исправление | 1.1.22.0. Поставщик советует клиентам обновиться до последнего поддерживаемого выпуска Media Server 2.0 |
| Обходной путь | В бюллетене не указан |
| Порядок и загрузка | JVN отсылает к разработчику |
Как проверить, затронуты ли вы
Проверьте версию Webtop Media Transcoder
Узнайте работающую версию по конфигурационным записям платформы или через службу поддержки поставщика. Версия ниже 1.1.22.0 означает, что вы затронуты. Если боевая, тестовая и резервная системы разделены, проверьте каждую (чек-лист инвентаризации активов).
Составьте список путей к функции конвертации
Проверьте, достижима ли функция конвертации напрямую, а не только через интерфейс Webmail, например из внутренних сетей или сетей абонентов или через API.
Что сделать сегодня
Подтвердите версию и запросите у поставщика исправление
Если вы затронуты, обновитесь до 1.1.22.0 или новее (последний поддерживаемый выпуск Media Server 2.0), как советует поставщик. Спросите у поставщика, как его получить и какие меры предосторожности нужны при обновлении. Срок KEV — 24 ноября.
До этого сузьте круг тех, кто может до неё добраться
В бюллетене нет обходных мер. Это собственное дополнение сайта: ограничьте источники, которые могут обращаться к функции конвертации, теми, что нужны платформе Webmail. Это не заменяет обновление.
Поищите неожиданные конвертации или загрузки
В журналах конвертации ищите типы документов, которые администратор не разрешал, вызовы не через интерфейс Webmail и необычно большие объёмы. JVN упоминает получение информации, поэтому не ограничивайтесь обновлением; запишите, какой объём и за какой период вы проверили. Порядок действий описан в Плейбуке устранения уязвимостей.
Состояние эксплуатации
- JVN сообщает, что, по заявлению разработчика, наблюдались атаки с использованием этой уязвимости. В бюллетене поставщика об эксплуатации не говорится.
- CISA внесла её в KEV 10 ноября 2026 года со сроком 24 ноября (версия KEV 2026.11.10). Использование в атаках с вымогателями указано как Unknown, криминалистический разбор (forensic triage) — как No.
- В записи CVE есть оценка CISA (эксплуатация: active, не автоматизируема, частичное техническое воздействие).
- Открытой информации о масштабе, методах и ущербе подтвердить не удалось.
Источники
- Openwave Messaging (Ireland) Ltd — Public Security Advisory CAN-2026-2032674 (затронутые версии, исправленная версия, CVSS 4.3, дата раскрытия)
- JVN — JVNVU#93403064 (опубликовано 9 ноября 2026 года; заявление о наблюдавшихся атаках)
- CVE.org — CVE-2026-111793 (опубликовано 16 октября 2026 года; включает добавление CISA)
- CISA KEV — Known Exploited Vulnerabilities Catalog (добавлена 10 ноября, срок 24 ноября)
Последняя проверка: 11 ноября 2026 года.
Читайте далее
- Практика: Плейбук устранения уязвимостей / Чек-лист инвентаризации активов
- Решение: Приоритизация по CVSS, EPSS и KEV
- Термины: Что такое CVSS?