Для кого: для тех, кто отвечает за серверы, VPN-шлюзы, данные участников или внешние сервисы, и для тех, кто хочет понять, не затронут ли сервис, которым они пользуются. В статье подведены итоги публикаций этого сайта за октябрь и открытой информации CISA. Порядок проведения атак здесь не рассматривается.
Октябрь в цифрах
115 — это число статей этого сайта
Учтены только статьи с первым сообщением, опубликованные этим сайтом в октябре (статьи, вышедшие 1 ноября, не включены): 65 японских инцидентов, 28 зарубежных инцидентов, 4 глобальных инцидента и 18 уязвимостей. Инциденты, о которых мы не писали, не включены, и это не статистика какого-либо правительства или ведомства. По нему нельзя сказать, что инцидентов стало больше, чем в предыдущем месяце.
Эксплуатируемые уязвимости: что вошло в 36
KEV — это список CISA уязвимостей, которые, по её оценке, эксплуатируются. С 1 по 31 октября добавлено 36 записей, и каталог вырос до 1 766 записей. По типам продуктов:
Периферийные устройства и продукты удалённого доступа: 11
Plex, PHP, Ahsay, Zammad: 10
Прочие (Windows, ядро Linux, GitLab и другие): 10
Старые уязвимости, опубликованные в 2015–2023: 5
Для позиций, по которым на этом сайте есть статья, дана ссылка. Остальные перечислены так, как они указаны в KEV.
| Группа | Продукт и CVE | Добавлено | Статья этого сайта |
|---|---|---|---|
| Периферийное устройство | Ivanti Connect Secure CVE-2026-104935 | 13 окт. | Обзор уязвимостей периферийных устройств |
| Периферийное устройство | Ivanti Connect Secure CVE-2026-111357, CVE-2026-118527 | 30 окт. | Ivanti Connect Secure: продолжение |
| Периферийное устройство | Palo Alto Networks PAN-OS CVE-2026-0322 | 14 окт. | Обзор уязвимостей периферийных устройств |
| Периферийное устройство | Fortinet CVE-2025-61624 (FortiOS и другие) | 16 окт. | Обзор уязвимостей периферийных устройств |
| Периферийное устройство | Fortinet FortiMail CVE-2026-104286 | 1 окт. | Нет |
| Периферийное устройство | Cisco Secure Email Gateway CVE-2026-76519 | 14 окт. | Обзор уязвимостей периферийных устройств |
| Периферийное устройство | Cisco Secure Firewall ASA CVE-2026-76418 | 29 окт. | VPN в Cisco ASA и FTD |
| Периферийное устройство | Citrix NetScaler CVE-2026-88779 | 4 окт. | CVE-2026-88779 |
| Периферийное устройство | Arista VeloCloud Orchestrator CVE-2026-114625 | 23 окт. | VeloCloud Orchestrator |
| Периферийное устройство | BeyondTrust Remote Support CVE-2026-102764 | 16 окт. | Нет |
| Старые уязвимости | ISC BIND CVE-2015-5477, ProFTPD CVE-2015-3306, Apache Struts CVE-2016-3081, ONLYOFFICE Docs CVE-2021-3199, Strapi CVE-2023-22894 | 8 окт. (все пять) | Нет |
| Группа одного продукта | Plex Media Server CVE-2026-96652, 96654, 96655, 96656 | 20 окт. | Plex Media Server |
| Группа одного продукта | PHP CVE-2026-109618, CVE-2026-109619 | 26 окт. | Критическое обновление безопасности PHP |
| Группа одного продукта | Zammad CVE-2026-102489, CVE-2026-102490 | 2 окт. | Проникновение DIVD и Zammad |
| Группа одного продукта | Ahsay AhsayCBS CVE-2026-105133, CVE-2026-105134 | 14 окт. | Нет |
| Прочее | SiteGuard Server Edition (японская разработка) CVE-2026-106931 | 20 окт. | SiteGuard Server Edition |
| Прочее | Ядро Linux CVE-2026-46300 | 28 окт. | Ядро Linux CVE-2026-46300 |
| Прочее | VMware ESX CVE-2026-41709 | 28 окт. | Уязвимость журналирования VMware ESX |
| Прочее | GitLab CVE-2026-97229 | 29 окт. | Критическое обновление GitLab |
| Прочее | Adobe Commerce CVE-2026-48356 | 27 окт. | Adobe Commerce |
| Прочее | Google Brotli CVE-2026-111497 | 27 окт. | Brotli |
| Прочее | Collabora Online CVE-2026-110447 | 23 окт. | Collabora CODE |
| Прочее | Microsoft Windows CVE-2026-96951, Atlassian CVE-2026-21589, Siemens Software Center CVE-2026-110936 | 13, 15, 20 окт. | Только Atlassian: обзор уязвимостей периферийных устройств |
Группы «Периферийное устройство», «Группа одного продукта» и «Прочее» — собственные группы этого сайта, а не KEV.
Наша оценка: в октябрьском KEV выделяется не новый тип слабости, а периферийные устройства и старые продукты, которые часто перестают получать обновления. Пять уязвимостей, добавленных 8 октября, были опубликованы от 3 до 11 лет назад. Даже если вы не пользуетесь этими продуктами, это повод проверить, не работает ли где-то старое окружение. О том, как расставлять приоритеты исправлений, см. Как решить, какие CVE исправлять первыми (CVSS, EPSS, KEV).
Крупнейшие утечки в Японии
В таблице приведены официальные показатели в том виде, как они указаны в статьях этого сайта. Запись — это одна строка данных; «люди» означает приблизительный подсчёт без дубликатов. «Возможно» означает, что в объявлении не говорилось о подтверждённой утечке. Поскольку единицы и степень достоверности различаются, это не рейтинг. Даты — даты объявлений. Некоторые случаи, объявленные в октябре (Club Tourism, Tin Pan Alley, Northflank, Chainalysis, Linux CVE-2026-98432), были опубликованы на этом сайте 1 ноября.
| Организация и сервис | Объявлено | Показатель (использованная единица) | Достоверность (как объявлено) | Статья этого сайта |
|---|---|---|---|---|
| E-Store (ShopServe) | 16 окт. (итоговый отчёт) | Около 23,356 млн человек | Утечка (покупатели, операторы магазинов и партнёры вместе, без дубликатов, приблизительно) | ShopServe |
| Ryohin Keikaku (приложение MUJI) | 30 окт. | До примерно 27,26 млн записей | Возможная утечка (включая ушедших пользователей) | Приложение MUJI |
| Club Tourism | 31 окт. (первое уведомление) | Около 4,32 млн записей | Возможная утечка | Club Tourism |
| Hana Cupid | 28 окт. | До 4 238 242 записей | Утечка (число относится к «клиентам, которых могло затронуть») | Hana Cupid |
| Matsuya Foods Holdings (приложение Matsuya) | 30 окт. | 2 377 127 записей и более (участников приложения: 2 000, возможно до 3 000) | Утечка | Matsuya |
| Sony Network Communications (So-net) | 27 окт. | 2 141 986 записей участников So-net; 443 495 записей участников plala (курс S) | Утечка подтверждена | So-net |
| H2O Retailing (H2O ID) | 19 окт. | Около 1,26 млн записей | Утечка (часть данных почти всех участников H2O ID) | H2O ID |
| World (дочерняя компания Tin Pan Alley) | 30 окт. | Около 1,2 млн записей в сумме | Возможная утечка | Tin Pan Alley |
Утёкшие данные в разных случаях различаются. Например, в объявлении о приложении MUJI названы адрес электронной почты, дата рождения и пол, и сказано, что имена и адреса не входят. Hana Cupid называет идентификатор пользователя, зашифрованный пароль и адрес электронной почты. Свои данные смотрите в каждой статье.
Число записей — не число людей, а попадание в подсчёт не означает, что вас затронуло
Запись — это не человек, а в нескольких случаях в подсчёт входят и те, кто уже покинул сервис. Затронуты ли вы, подтверждается индивидуальными уведомлениями, которые, по словам компаний, они разошлют, и сообщением на официальном сайте.
Пять тем октября
(a) Утечки через сервис-провайдеров и SaaS
Даже если ваша компания ничего не нарушила, список, доверенный провайдеру, может утечь. В октябре инциденты затронули сервис рассылки писем, сервис оповещения о бедствиях по электронной почте, подрядчика по бронированию авиабилетов и IT-платформу управления.
- Blastmail: подтверждена утечка названий компаний и контактных лиц по всем договорам, а также списков получателей по 345 договорам
- SpeeCAN RAIDEN: сервис, который используют для муниципальных рассылок о бедствиях; могли утечь до примерно 3,136 млн адресов электронной почты (оценка)
- Подрядчик по бронированию JAL и ANA: по объявлениям, к данным бронирования примерно 92 000 человек (JAL и JTA) и примерно 37 800 человек (ANA) был получен доступ через подрядчика
- ConnectWise Cloud Backup: несанкционированный доступ к учётным данным приложения привёл к остановке сервиса; облачный провайдер сообщил о попытках входа в более чем 2 250 тенантов
(b) Базы участников и приложений
Утечки из баз участников и систем управления приложениями у розничных, ресторанных и телекоммуникационных брендов продолжались во второй половине октября. Помимо таблицы выше, в течение месяца этот сайт рассказал ещё о нескольких случаях.
- Приложение MUJI (до примерно 27,26 млн записей, возможно)
- Система управления приложением Matsuya (2 377 127 записей и более)
- Hana Cupid (до 4 238 242 записей)
- H2O ID (около 1,26 млн записей)
(c) Кражи криптовалюты
С конца сентября до конца октября инциденты один за другим затрагивали биржи и связанные сервисы. Суммы приведены так, как их объявили компании, причины в большинстве случаев ещё расследовались.
- Binance: 29 октября оценила последствия несанкционированных выводов примерно в 6,3 млрд долларов США и заявила, что покроет убыток
- Bitget: сообщила, что около 387,5 млн долларов США было похищено после эксплуатации zero-day в стороннем продукте безопасности (инцидент произошёл в конце сентября; статья этого сайта вышла в октябре)
- Bithumb: по сообщениям, несанкционированный доступ к внутреннему мобильному групповому ПО раскрыл персональные данные 844 клиентов
- Polymarket: сообщила, что был скомпрометирован сторонний провайдер (по сообщениям, через скрипт), приостановила торги и заявила, что компенсирует ущерб затронутым пользователям
(d) Платформы для AI-разработчиков и атаки с помощью AI
Инциденты затронули платформы, где хранятся API-ключи AI, инструменты для AI-разработчиков и размещённые AI-сервисы. Продолжали поступать и сообщения об атаках, использующих возможности AI.
- Northflank: призвала клиентов считать все сохранённые переменные окружения расшифрованными; сообщалось о неправомерном использовании API-ключей AI
- OpenCode: затронуты API-ключи AI-провайдеров, привязанные у части пользователей
- Zeabur: сообщила, что были прочитаны 3 218 965 переменных окружения и сведения о 321 810 аккаунтах
- Расширение для Cursor: изменённое расширение «Claude Code» распространялось в маркетплейсе около 11 часов
- Chainalysis: сообщила о несанкционированном доступе с применением того, что она называет «наступательными агентными методами»
- Cloudflare Workers AI: сообщила, что в 155 случаях в ответы попали данные из запросов других клиентов
Отдельно, как сообщается, исследовательская команда одной AI-компании продемонстрировала в лаборатории удалённое выполнение кода через уязвимость ядра Linux CVE-2026-98432. Это основано на собственном сообщении этой компании, которое пресса не проверяла. Насколько мы смогли выяснить, реальных атак замечено не было, и в KEV она не внесена. Общая картина изложена в статье Атаки с помощью AI и порядок защиты.
(e) Периферийные устройства
Помимо 11 в KEV, Ivanti Connect Secure была добавлена дважды, 13 и 30 октября, за разные уязвимости. Установка обновления не удаляет следы проникновения, произошедшего до неё.
- Эксплуатируемые уязвимости периферийных устройств, середина октября 2026
- Ivanti Connect Secure CVE-2026-111357 и CVE-2026-118527
- VeloCloud Orchestrator CVE-2026-114625
- Как защитить VPN-устройства и удалённый доступ
Что делать в ноябре
Сначала обновите периферийные устройства из KEV
Составьте список продуктов и версий всех VPN-шлюзов, межсетевых экранов и почтовых шлюзов и в течение нескольких дней переведите всё, что есть в KEV, на исправленную версию. Перед обновлением сохраните журналы и ограничьте источники, которые могут обращаться к интерфейсу администрирования, вашей сетью управления.
Составьте список внешних сервисов с вашими клиентскими списками
Перечислите сервисы, где хранятся адреса электронной почты и имена клиентов: рассылка писем, бронирование, управление участниками, резервное копирование. Проверьте также, остались ли данные после окончания договора.
Смените сохранённые ключи, если у платформы инцидент
Если облачная платформа или платформа для AI-разработчиков сообщает об инциденте, смените хранящиеся там переменные окружения, API-ключи и токены и проверьте записи об использовании на предмет незнакомых действий.
Будьте готовы к письмам от имени пострадавшей компании
После объявления об утечке писем от имени этой компании обычно становится больше. Не входите в систему и ничего не вводите по ссылкам из них; сверяйтесь с уведомлением на официальном сайте. Если вас могло затронуть, сначала смените пароли в сервисах, где вы использовали один и тот же.
О том, как распознавать такие письма, см. Что такое фишинг?.
Источники
- CISA, «Known Exploited Vulnerabilities Catalog» (JSON-канал; этот сайт подсчитал добавления с 1 по 31 октября 2026 года) — cisa.gov
- Статьи этого сайта: обзор уязвимостей периферийных устройств, ShopServe, приложение MUJI, Club Tourism, Hana Cupid, Matsuya, So-net, H2O ID, Tin Pan Alley (в каждой приведены официальные объявления)
- Число первых сообщений — это подсчёт этого сайта по японоязычным срочным статьям, опубликованным в октябре 2026 года
Читайте дальше
- Список за весь год: Хронология утечек данных и кибератак 2026 года
- Защита открытых устройств: Как защитить VPN-устройства и удалённый доступ
- Приоритеты исправлений: Как решить, какие CVE исправлять первыми (CVSS, EPSS, KEV)
- Атаки с помощью AI: Атаки с помощью AI и порядок защиты
- Проверка на компрометацию: Как проверить, не взломан ли сервер