Лента угроз
Активно эксплуатируемые уязвимости (CISA KEV), сначала новые — для каждой указаны вероятность эксплуатации (EPSS) и серьёзность (CVSS), чтобы вы могли с точки зрения защиты решить «нужно ли исправлять это прямо сейчас?».
Ошибки переполнения буфера в куче в Fortinet FortiOS версии 7.6.0–7.6.3, 7.4.0–7.4.8, 7.2.0–7.2.11, 7.0.0–7.0.17, во всех версиях FortiOS 6.4 и в FortiSwitchManager версии 7.2.0–7.2.6 и 7.0.0–7.0.5 позволяют удалённому атакующему посредством специально сформированных сетевых пакетов выполнить неавторизованный код или команды.
Добавлено в KEV: 2026-09-09Официально (NVD) →Запись за пределами допустимой области в V8 в Google Chrome до версии 153.0.8010.36 позволяла удалённому злоумышленнику выполнить произвольный код внутри песочницы посредством специально сформированной HTML-страницы. (Уровень серьёзности в Chromium: средний)
Добавлено в KEV: 2026-09-09Официально (NVD) →В Adobe Commerce обнаружена уязвимость неправильной нейтрализации специальных элементов в движке шаблонов (Improper Neutralization of Special Elements Used in a Template Engine), которая может привести к выполнению произвольного кода в контексте текущего пользователя. Злоумышленник может использовать эту уязвимость для выполнения произвольного кода. Для эксплуатации этой уязвимости взаимодействие с пользователем не требуется. Область воздействия изменилась.
Добавлено в KEV: 2026-09-08Официально (NVD) →В N-central обнаружена уязвимость удалённого выполнения кода без предварительной аутентификации. Уязвимые версии N-central: до версии 2026.3.1.14 (включительно не затронуто).
Добавлено в KEV: 2026-09-08Официально (NVD) →Неправильное разрешение ссылок перед доступом к файлу (следование символическим ссылкам) в подсистеме обновления Windows позволяет аутентифицированному локальному злоумышленнику повысить привилегии.
Добавлено в KEV: 2026-09-08Официально (NVD) →Переполнение буфера в куче (heap-based) в компоненте Windows ALPC позволяет авторизованному злоумышленнику повысить привилегии локально.
Добавлено в KEV: 2026-09-08Официально (NVD) →Ошибка смешения типов (type confusion) в движке V8 в Google Chrome до версии 152.0.7977.82 позволяла удалённому атакующему выполнить произвольный код внутри песочницы через специально сформированную HTML-страницу. (Оценка серьёзности в Chromium: высокая)
Добавлено в KEV: 2026-09-04Официально (NVD) →Starlette — лёгкий ASGI-фреймворк/набор инструментов. До версии 1.0.1 заголовок HTTP Host не проверялся перед использованием при реконструкции request.url. Поскольку алгоритм маршрутизации опирается на «сырой» HTTP-путь, тогда как request.url строится на основе заголовка Host, некорректный заголовок мог привести к несоответствию request.url.path и фактически запрошенного пути. Это позволяло обходить middleware и конечные точки, применяющие ограничения безопасности на основании request.url (вместо «сырых» scope-путей). Рекомендуется обновиться до версии >= 1.0.1, в которой заголовок Host проверяется на соответствие грамматике RFC 9112 §3.2 / RFC 3986 §3.2.2 при построении request.url, а при неверных значениях выполняется откат к scope["server"].
Добавлено в KEV: 2026-09-02Официально (NVD) →В интерфейсе Work Place устройства SMA1000 обнаружена уязвимость SSRF до прохождения аутентификации из‑за непреднамеренного альтернативного пути доступа. Удалённый неаутентифицированный злоумышленник потенциально может использовать эту уязвимость для получения несанкционированного доступа к чувствительной функциональности и выполнения неавторизованных операций.
Добавлено в KEV: 2026-09-02Официально (NVD) →В Sangoma Switchvox SMB Edition 8.3 (104997) обнаружена уязвимость SQL-инъекции, доступная без аутентификации. Конечная точка /pa обрабатывает XML-содержимое, начинающееся с <PolycomIPPhone>, и напрямую конкатенирует контролируемое пользователем значение PhoneIP в PostgreSQL-запросы без санитизации и параметризации. Удалённый атакующий без авторизации может выполнить произвольные SQL‑операторы в бэкэнд‑базе данных PostgreSQL с помощью одного специально сформированного запроса, включая операции с базой данных и удалённое выполнение кода.
Добавлено в KEV: 2026-09-02Официально (NVD) →В JFrog Artifactory обнаружена уязвимость в механизме аутентификации, которая при настройках по умолчанию может позволить неаутентифицированному злоумышленнику с сетевым доступом получить привилегии администратора.
Добавлено в KEV: 2026-09-02Официально (NVD) →В консоли управления SMA1000 Appliance Management Console (AMC) обнаружена уязвимость — недостаточная нейтрализация специальных элементов в операционной команде после аутентификации (OS Command Injection). В определённых условиях она может позволить удалённому аутентифицированному злоумышленнику с правами администратора выполнить произвольные команды ОС, что приведёт к удалённому выполнению кода.
Добавлено в KEV: 2026-09-02Официально (NVD) →Kestra — это открытая платформа оркестрации событий. В версиях до 1.0.45 и 1.3.21 AuthenticationFilter в Kestra OSS использует request.getPath().endsWith("/configs") для исключения публичного эндпойнта конфигураций из проверки Basic Auth. Поскольку проверка выполняется как совпадение по суффиксу, а не как точное совпадение пути, любой API-путь, у которого последний сегмент пути равен configs, полностью обходит аутентификацию. Неаутентифицированный удалённый злоумышленник может воспользоваться этим, чтобы создать и выполнить произвольные рабочие процессы без учёта учётных данных. Поскольку Kestra по умолчанию поставляется с включёнными плагинами выполнения скриптов (plugin-script-shell, plugin-script-python и т.д.), это прямо приводит к неаутентифицированному удалённому выполнению кода с привилегиями root внутри контейнера рабочего процесса Kestra. Уязвимость исправлена в версиях 1.0.45 и 1.3.21.
Добавлено в KEV: 2026-09-02Официально (NVD) →LiteLLM — это прокси-сервер (AI Gateway) для вызова API больших языковых моделей в формате OpenAI (или нативном). До версии 1.84.0 конечная точка MCP Streamable HTTP в LiteLLM позволяла неаутентифицированному злоумышленнику с помощью поддельного заголовка Authorization активировать путь обхода OAuth2 passthrough, который при неудачной проверке ключа LiteLLM заменялся пустым объектом UserAPIKeyAuth(), в результате чего запросы могли достичь MCP-инструментария без действительного ключа LiteLLM. Уязвимость исправлена в версии 1.84.0.
Добавлено в KEV: 2026-09-02Официально (NVD) →В веб-интерфейсе управления PaperCut MF и PaperCut NG обнаружена уязвимость некорректной реализации контроля доступа. В определённых условиях неаутентифицированные удалённые запросы, адресованные административным функциям, могут вызывать выполнение действий на бэкенде до завершения проверки прав доступа. Это позволяет неаутентифицированному удалённому атакующему модифицировать отдельные системные конфигурации.
Добавлено в KEV: 2026-08-31Официально (NVD) →В утилитах подключения к базе данных PaperCut MF и PaperCut NG обнаружена уязвимость небезопасной динамической загрузки классов. Приложение создает экземпляры драйверов баз данных на основании настраиваемых имён драйверов без проверки по белому списку разрешённых драйверов. Если злоумышленнику удастся изменить параметры конфигурации системы, это позволяет выполнить произвольный Java-байткод, находящийся в classpath приложения, в контексте безопасности процесса сервера PaperCut.
Добавлено в KEV: 2026-08-31Официально (NVD) →В собственномCloud (owncloud/core) до версии 10.13.1 обнаружена уязвимость. Злоумышленник может получить доступ, изменить или удалить любой файл без аутентификации, если известно имя пользователя жертвы и у жертвы нет настроенного ключа подписи. Причина — принятие пред-подписанных (pre-signed) URL даже когда для владельца файлов не настроен ключ подписи. Наиболее ранняя уязвимая версия — 10.6.0.
Добавлено в KEV: 2026-08-27Официально (NVD) →В ядре Linux устранена следующая уязвимость: ipv6: учёт fraggap на пути с paged-аллоцацией В функции __ip6_append_data(), когда выбирается ветка paged-аллоцации (MSG_MORE / NETIF_F_SG / большой fraglen), alloclen и pagedlen вычисляются как alloclen = fragheaderlen + transhdrlen; pagedlen = datalen - transhdrlen; datalen уже включает fraggap (datalen = length + fraggap). Когда fraggap ненулевой, это не первый skb и transhdrlen равен нулю. Байты fraggap, перенесённые из предыдущего skb, копируются сразу после заголовков фрагмента в линейную область нового skb. Следовательно, линейная область оказывается на fraggap байт меньше, тогда как pagedlen перепоказан на ту же величину, и операция копирования выходит за пределы skb->end в область skb_shared_info в хвосте. Непривилегированный пользователь может спровоцировать это через UDPv6 сокет, используя MSG_MORE вместе с MSG_SPLICE_PAGES. Неправильный подсчёт был введён коммитом 773ba4fe9104 ("ipv6: avoid partial copy for zc"). До коммита ce650a166335 ("udp6: Fix __ip6_append_data()'s handling of MSG_SPLICE_PAGES") отрицательное значение копирования приводило к возврату -EINVAL. Последующий коммит разрешил выполнение MSG_SPLICE_PAGES в этом случае, что сделало возможной требуемую для эксплуатации порчу памяти. В непейджед-ветке alloclen устанавливается в fraglen, который уже учитывает fraggap, поскольку datalen это включает. Привести paged-ветку к тому же поведению — добавляя fraggap к alloclen и вычитая его из pagedlen. После этой корректировки значение copy больше не сводится к -fraggap на paged-пути, поэтому удалён устаревший комментарий, описывающий старую арифметику. Поскольку отрицательное значение copy больше не ожидается для корректного случая MSG_SPLICE_PAGES, исключение для MSG_SPLICE_PAGES удалено из проверки отрицательного copy.
Добавлено в KEV: 2026-08-27Официально (NVD) →Аутентифицированный пользователь может записывать данные за пределы предполагаемого пути кэша Docker при определённых условиях удалённого репозитория.
Добавлено в KEV: 2026-08-27Официально (NVD) →Все версии пакета ajaxpro.2 уязвимы к десериализации ненадёжных данных (Deserialization of Untrusted Data) — возможно выполнение десериализации произвольных классов .NET, что может быть использовано для получения удалённого выполнения кода.
Добавлено в KEV: 2026-08-26Официально (NVD) →Уязвимость удалённого выполнения кода в Microsoft SQL Server возникает из‑за некорректной обработки внутренних функций, также известная как «Уязвимость удалённого выполнения кода в Microsoft SQL Server».
Добавлено в KEV: 2026-08-26Официально (NVD) →Уязвимость переполнения памяти в NetScaler ADC и NetScaler Gateway, приводящая к непредсказуемому или ошибочному поведению и отказу в обслуживании (DoS) при условии, что устройство настроено как Gateway (SSL VPN, ICA Proxy, CVPN, RDP Proxy) или виртуальный сервер AAA.
Добавлено в KEV: 2026-08-26Официально (NVD) →В подсистеме уведомлений о событиях watch_queue в ядре Linux обнаружен дефект записи за границы выделенного буфера (out-of-bounds write). Эта уязвимость может перезаписать части состояния ядра, что потенциально позволяет локальному пользователю получить привилегированный доступ или вызвать отказ в обслуживании системы.
Добавлено в KEV: 2026-08-26Официально (NVD) →В версиях libuser до 0.56.13-8 и 0.60 до 0.60-7, используемых в программе userhelper пакета usermode, выполняется прямое изменение файла /etc/passwd. Это позволяет локальным пользователям вызвать отказ в обслуживании (неконсистентное состояние файла) путём провоцирования ошибки во время модификации. ПРИМЕЧАНИЕ: эта проблема может быть объединена с CVE-2015-3245 для повышения привилегий.
Добавлено в KEV: 2026-08-26Официально (NVD) →Программа помощи abrt-hook-ccpp в Automatic Bug Reporting Tool (ABRT) до версии 2.7.1 позволяет локальным пользователям с определёнными правами получить повышенные привилегии посредством атаки через символическую ссылку на файл с предсказуемым именем, как показано на примере /var/tmp/abrt/abrt-hax-coredump или /var/spool/abrt/abrt-hax-coredump.
Добавлено в KEV: 2026-08-26Официально (NVD) →В Gitea обнаружена уязвимость внедрения кода: злоумышленник с правами записи в репозиторий может отправить специально crafted патч на API-эндпоинт diffpatch, чтобы внедрить исполняемый Git-хук и выполнить shell-команды от имени учетной записи сервиса Gitea.
Добавлено в KEV: 2026-08-25Официально (NVD) →Уязвимость в Oracle HTTP Server и компоненте Oracle WebLogic Server Proxy Plug-in (компоненты: WebLogic Server Proxy Plug-in для Apache HTTP Server и WebLogic Server Proxy Plug-in для IIS) продукта Oracle Fusion Middleware. Затронутые поддерживаемые версии: 12.2.1.4.0, 14.1.1.0.0 и 14.1.2.0.0. Для WebLogic Server Proxy Plug-in для IIS уязвима только версия 12.2.1.4.0. Уязвимость легко эксплуатируема и позволяет неаутентифицированному атакующему с сетевым доступом по HTTP скомпрометировать Oracle HTTP Server и WebLogic Server Proxy Plug-in. Несмотря на то, что уязвимость находится в Oracle HTTP Server и WebLogic Server Proxy Plug-in, атаки могут значительно повлиять на дополнительные продукты (изменение области воздействия). Успешная эксплуатация может привести к несанкционированному созданию, удалению или изменению критических данных либо ко всем данным, доступным через Oracle HTTP Server и WebLogic Server Proxy Plug-in, а также к получению несанкционированного доступа к критическим данным или полному доступу ко всем данным, доступным через Oracle HTTP Server и WebLogic Server Proxy Plug-in. CVSS 3.1 базовый балл 10.0 (влияние на конфиденциальность и целостность). Вектор CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N.
Добавлено в KEV: 2026-08-24Официально (NVD) →В Zimbra Collaboration (ZCS) версий до 10.1.20 обнаружена уязвимость удалённого выполнения кода при установленном необязательном пакете zimbra-snmp и включённых уведомлениях SNMP. Из‑за некорректной очистки недоверенных данных при обработке SNMP‑уведомлений неаутентифицированный злоумышленник может отправить специально сформированные SMTP‑запросы, которые могут привести к выполнению произвольных команд операционной системы от имени пользователя zimbra.
Добавлено в KEV: 2026-08-21Официально (NVD) →Удалённый неавторизованный злоумышленник с сетевым доступом к порту 4307/TCP на сервере TrueConf версий 5.3.X–5.3.9, 5.4.X–5.4.9, 5.5.X–5.5.5 и более ранних может с помощью специально подготовленного скрипта выйти из изолированной среды и выполнить произвольный код на хост-системе.
Добавлено в KEV: 2026-08-20Официально (NVD) →Удалённый неавторизованный злоумышленник с сетевым доступом к порту 4307/TCP на сервере TrueConf версий 5.3.X — 5.3.9, 5.4.X — 5.4.9, 5.5.X — 5.5.5 и более ранних мог выполнить произвольный скрипт, вызвав недокументированную функцию.
Добавлено в KEV: 2026-08-20Официально (NVD) →MLflow — это платформа с открытым исходным кодом для инженерии ИИ (агенты, большие языковые модели и модели машинного обучения). В версиях до 3.15.0 неаутентифицированный POST /api/2.0/mlflow/webhooks/{id}/test вызывает _validate_webhook_url() в mlflow/utils/validation.py только для исходного URL, тогда как mlflow/webhooks/delivery.py перенаправления следует и повторно резолвит имя хоста без фиксации (pinning) проверенного адреса. Это позволяет злоумышленникам достучаться до внутренних сервисов или облачных metadata-сервисов и получить response_status и response_body. Исправлено в версии 3.15.0.
Добавлено в KEV: 2026-08-19Официально (NVD) →Двойное освобождение памяти в расширении Windows IKE позволяет неавторизованному злоумышленнику выполнить произвольный код по сети.
Добавлено в KEV: 2026-08-18Официально (NVD) →Ненадёжная аутентификация в Microsoft Office SharePoint позволяет неавторизованному злоумышленнику обойти механизм безопасности по сети.
Добавлено в KEV: 2026-08-18Официально (NVD) →В VMware vCenter обнаружена уязвимость обхода ограничений каталога (directory traversal) в компоненте Syslog-сервера. Злоумышленник с сетевым доступом к vCenter может использовать эту уязвимость для выполнения произвольного кода.
Добавлено в KEV: 2026-08-18Официально (NVD) →Исправлена уязвимость аутентификации за счёт улучшенного управления состоянием. Уязвимость устранена в macOS Sequoia 15.7.9, macOS Sonoma 14.8.9 и macOS Tahoe 26.6.1. Злоумышленник в сети мог иметь возможность пройти аутентификацию в службе Screen Sharing без действительных учётных данных.
Добавлено в KEV: 2026-08-18Официально (NVD) →Ray — это вычислительный движок для задач ИИ. В версиях до 2.52.0 разработчики, использующие Ray в процессе разработки, могли подвергнуться критической уязвимости удалённого выполнения кода (RCE), эксплуатируемой через браузеры Firefox и Safari. Уязвимость возникает из‑за недостаточной защиты от атак со стороны браузера: текущая защита опирается на заголовок User-Agent, начинающийся со строки "Mozilla". Такая защита недостаточна, поскольку спецификация fetch позволяет модифицировать заголовок User-Agent. В сочетании с атакой DNS rebinding против браузера это позволяет эксплуатировать уязвимость в отношении разработчика, запускающего Ray и случайно посещающего вредоносный сайт или подвергшегося вредоносной рекламе (malvertising). Проблема исправлена в версии 2.52.0.
Добавлено в KEV: 2026-08-17Официально (NVD) →В Metabase удалённый неаутентифицированный злоумышленник может внедрить произвольный SQL через конечную точку базы данных '/reset_password' и получить права администратора в подключённом экземпляре Metabase.
Добавлено в KEV: 2026-08-11Официально (NVD) →Уязвимость в службе Remote Access SSL VPN в программном обеспечении Cisco Secure Firewall Adaptive Security Appliance (ASA) и Cisco Secure Firewall Threat Defense (FTD) может позволить неаутентифицированному удалённому злоумышленнику вызвать непредвиденную перезагрузку устройства, что приведёт к состоянию отказа в обслуживании (DoS). Эта уязвимость вызвана недостаточной проверкой ошибок при обработке HTTP-запросов. Злоумышленник может эксплуатировать уязвимость, отправив специально сформированный HTTP-запрос службе Remote Access SSL VPN на уязвимом устройстве. Успешная эксплуатация может привести к перезагрузке затронутого устройства и возникновению состояния DoS.
Добавлено в KEV: 2026-08-11Официально (NVD) →Use-after-free в вспомогательном драйвере Windows Ancillary Function Driver for WinSock позволяет авторизованному локальному злоумышленнику повысить привилегии.
Добавлено в KEV: 2026-08-11Официально (NVD) →Уязвимость удалённого выполнения команд (OS Command Injection) в API продуктов Progress ADC позволяет неаутентифицированному злоумышленнику выполнить произвольные команды на устройстве LoadMaster путём эксплуатации ненадёжной обработки входных данных в нескольких командных конечных точках.
Добавлено в KEV: 2026-08-07Официально (NVD) →
Приоритет = KEV (активно эксплуатируется) + EPSS (вероятность эксплуатации в течение 30 дней) + CVSS (серьёзность). Это лента для защиты — без эксплойт-кода и PoC. Каждый CVE ссылается на официальный источник (NVD).