patch management
12 статей с этим тегом
День исправлений SAP, ноябрь 2026: четыре уязвимости с CVSS 10.0. Сначала обновите Web Dispatcher и ICM, доступные из интернета; как проверить, затронуты ли вы, и что делать сегодня
10 ноября 2026 года в День исправлений безопасности SAP выпустила 35 новых заметок по безопасности и 4 рекомендации GitHub, а также обновила 3 прежние заметки. В списке SAP 9 строк помечены как Critical. Четыре из них имеют CVSS 10.0: повреждение памяти в Internet Communication Manager (ICM) NetWeaver AS ABAP (CVE-2026-76964) и в SAP Web Dispatcher (CVE-2026-89126), нарушение контроля доступа в SAP Gateway (CVE-2026-89103) и отсутствие аутентификации в поставщике услуг SAML2 AS ABAP (CVE-2026-120017). По описанию в записях CVE все четыре эксплуатируются без аутентификации, по сети и без участия пользователя (CVE-2026-120017 при определённых конфигурациях). Три имеют CVSS 9.9 (CVE-2026-109803, CVE-2026-76965, CVE-2026-109795) и требуют входа с низкими привилегиями. В списке SAP об эксплуатации не говорится, и ни одной CVE со страницы нет в каталоге KEV CISA (версия от 10 ноября, 19:00 UTC). Из оценок CISA, приложенных к записям CVE, четыре увиденные нами говорят: эксплуатация: нет. Текст заметок SAP требует входа в систему, и этот сайт его не читал. Вывод этого сайта: сначала обновите Web Dispatcher и ICM, доступные из интернета, подтвердите исправленные уровни в заметках SAP и спланируйте обновление вместе с перезапуском.
Срочное исправление OpenSSH 10.6p2 (CVE-2026-123158): добавлена в CISA KEV; в sshd на системах с musl без PAM, например Alpine, можно войти без пароля
5 ноября 2026 года OpenSSH выпустил 10.6p2 с важным обходным решением для проблемы обхода парольной аутентификации в sshd на некоторых системах Linux, собранных и запущенных с отключённым PAM, в частности использующих musl libc, например Alpine Linux. Идентификатор — CVE-2026-123158 (базовая оценка CVSS 3.1 — 8,1, из записи CVE). 9 ноября CISA добавила её в каталог известных эксплуатируемых уязвимостей (KEV) со сроком 12 ноября для федеральных агентств США. Одна частная компания по киберразведке сообщает, что видела попытки атак менее чем через девять часов после публикации и один успех в приманочной среде; о ущербе для рабочих систем не сообщалось, независимого подтверждения найти не удалось. Alpine Linux 5 ноября опубликовал бюллетень с исправленными пакетами для всех веток. По данным Alpine, затронут хост, у которого включена парольная аутентификация, у одной учётной записи в поле пароля стоит звёздочка, а у другой есть обычный хеш. Конфигурации с включённым PAM, с PasswordAuthentication no и контейнеры, не запускающие sshd, не затронуты. Вывод этого сайта: если вы запускаете sshd на Alpine или другой системе с musl, например OpenWrt или встраиваемом Linux, сегодня же обновитесь до исправленного пакета и перезапустите sshd, до этого отключите парольную аутентификацию и просмотрите журналы аутентификации.
Jenkins 2.588 и LTS 2.580.2 исправляют 15 уязвимостей (CVE-2026-117612–117626): как проверить версию и что проверить после обновления
28 октября 2026 года проект Jenkins опубликовал уведомление безопасности, исправляющее 15 уязвимостей в ядре Jenkins (CVE-2026-117612–CVE-2026-117626) в еженедельной версии 2.588 и LTS 2.580.2. Затронуты еженедельные версии 2.587 и ниже и LTS 2.580.1 и ниже. Уведомление оценивает 13 как High и 2 как Medium. Для большинства нужны какие-то права, например Overall/Read или Item/Configure (в некоторых конфигурациях Overall/Read выдан анонимным пользователям). Исключение — CVE-2026-117618, состояние гонки в мастере первоначальной настройки, которое позволяет неаутентифицированному пользователю создать учётную запись администратора во время первоначальной настройки; из-за этого выше приоритет у недавно установленных Jenkins, доступных из интернета. Единственные обходные меры, которые перечисляет уведомление, — настройки для отключения новых проверок, если обновление вызывает проблемы, и принудительная Content Security Policy, ограничивающая известное воздействие трёх XSS-уязвимостей; исправление — обновление. На 3 ноября этот сайт не нашёл достоверных сообщений об эксплуатации, и ни одной из 15 нет в каталоге известных эксплуатируемых уязвимостей (KEV) CISA. Вывод этого сайта: проверьте версию Jenkins, обновитесь до 2.588 (LTS 2.580.2), не выставляйте Jenkins в интернет и не давайте анонимным пользователям прав, а после обновления проверьте пользователей, администраторов и агентов.
Атаки программ-вымогателей на Synology DSM: устаревшие версии атакуют через уязвимость, исправленную в декабре 2024 года; что обновить и проверить сегодня (SA-24:20)
29 октября 2026 года Synology сообщила, что выявила злоумышленников, использующих уязвимость, исправленную в декабре 2024 года, против устройств с устаревшими версиями DSM с целью зашифровать данные и вымогать выкуп. Компания настоятельно призывает всех на уязвимых версиях немедленно обновить DSM и рекомендует включить автоматические обновления. Она ссылается на Synology-SA-24:20, где исправленные версии: 7.2.2-72806-1 и выше для DSM 7.2.2, 7.2.1-69057-6 для 7.2.1, 7.2-64570-4 для 7.2, 7.1.1-42962-7 для 7.1 и 6.2.4-25556-8 для 6.2. В бюллетене три CVE, и Synology не говорит, какая из них используется. Число жертв и название злоумышленников она не публиковала. Вывод этого сайта: проверьте версию DSM сегодня, обновитесь до исправленной версии или новее и не выставляйте интерфейс управления DSM в интернет. Держите резервную копию отдельно от NAS так, чтобы NAS не мог её перезаписать.
Уязвимость WordPress 7.1.4 CVE-2026-119977: исправлена гонка при обновлении ядра, которая может привести к удаленному выполнению кода. Проверьте версию и автообновления
28 октября 2026 года проект WordPress выпустил релиз безопасности 7.1.4, который устраняет уязвимость в процессе обновления ядра, способную привести к удаленному выполнению кода. Согласно рекомендации WordPress на GitHub, при обновлении ядра с полным пакетом WordPress распаковывал новые файлы в предсказуемый каталог внутри доступной из веба папки обновления, и неаутентифицированный злоумышленник, выигравший гонку с этой распаковкой, мог добиться удаленного выполнения кода (RCE). Исправление вошло в 7.1.4 и перенесено во все ветки вплоть до 4.7 (7.0.8, 6.9.11, 6.8.12 и так далее). CVE-2026-119977 опубликована 31 октября компанией Wordfence в роли CNA и оценена по CVSS v3.1 в 8,1 (High) при высокой сложности атаки; в рекомендации WordPress она оценена как Low, без балла. По данным SecurityWeek, первое срабатывание правила межсетевого экрана у одного поставщика защиты WordPress произошло через девять минут после его развертывания, а за первые 21 час было зафиксировано более 18 500 запросов к временным местам обновления; об успешном взломе поставщик не сообщал. CISA внесла эту CVE в свой каталог Known Exploited Vulnerabilities (KEV) 3 ноября (запись KEV устанавливает для федеральных агентств США срок 6 ноября, и помимо установки исправления CISA требует от них провести криминалистический первичный анализ по BOD 26-04). Сайты с автоматическими фоновыми обновлениями обновятся сами; на сайтах с отключенными автообновлениями обновление нужно запустить вручную на экране «Обновления». Вывод этого сайта: считайте уязвимость эксплуатируемой, обновитесь сегодня, а если обновились поздно, проверьте сайт на признаки взлома (совет этого сайта).
Программа-вымогатель у Capcom (2020) — почему входом стало старое VPN-устройство и как защититься от двойного вымогательства
Входом стало старое резервное VPN-устройство, оставленное работать в североамериканском филиале после того, как его заменили новые модели. Оттуда взломали сеть, украли данные, а затем программа-вымогатель зашифровала системы (двойное вымогательство). Под угрозой утечки оказались данные ~390 000 человек (без данных платёжных карт). Capcom отказалась платить, восстановилась из бэкапа и открыто раскрыла факты. Защита: выводить из эксплуатации неиспользуемое оборудование, патчить пограничные устройства и закрывать и кражу, и шифрование (сегментация, обнаружение, бэкапы).
Безопасность WordPress — практическая референс-инструкция по хардненингу продакшна
У WordPress крупнейшая доля, поэтому он и крупнейшая цель, но пути проникновения предсказуемы (уязвимости плагинов/тем, пропущенные обновления, слабые администраторы, открытые панели администрирования). Это рабочий референс: (1) приоритетный чек-лист хардненинга (P0–P2), (2) руководство по областям — автообновления, минимизация плагинов/тем, надёжный администратор + 2FA, снижение открытости админки (xmlrpc/перечисление через REST/редактирование файлов), wp-config и секреты, права на файлы, HTTPS/резервные копии, обновление PHP/зависимостей, и (3) чек-лист самопроверки. Только защита — без шагов атаки.
Что такое вредоносное ПО? Типы, каналы заражения и базовая защита
Вредоносное ПО (malicious software) — это общий термин для программ, созданных, чтобы навредить вашим устройствам или данным. Вирусы, черви, трояны, программы-вымогатели, шпионское ПО и боты — всё это его типы. Как бы по-разному они ни выглядели, защита одна и та же и состоит из трёх частей: предотвратить заражение (обновления, не открывать подозрительные вложения/макросы, MFA), обнаружить (EDR, антивирус) и суметь восстановиться (резервные копии). Правильно выстроить эти общие меры защиты куда важнее, чем заучивать названия типов.
Что такое программа-вымогатель? Как она работает, как проникает и как не платить
Программа-вымогатель — это вредонос, который шифрует ваши файлы и требует оплаты за возврат. Современные атаки добавляют двойное вымогательство — сначала крадут данные и угрожают их слить, поэтому одна расшифровка не останавливает утечку. Основные каналы входа: фишинг, слабый/без MFA доступ VPN/RDP и незакрытые уязвимости, доступные из интернета. Самая важная защита — офлайн/неизменяемые бэкапы плюс тесты восстановления, способность восстановиться, не платя. Также предотвращайте проникновение (MFA, патчи) и ограничивайте ущерб (минимум привилегий, сегментация).
Массовая утечка MOVEit (2023) — как zero-day SQL-инъекция достигла 2700+ организаций и как защититься
Входом стала zero-day SQL-инъекция (CVE-2023-34362) в выходящем в интернет MOVEit Transfer. Был установлен веб-шелл (LEMURLOOT), и данные массово украдены из базовой БД, затронув 2700+ организаций и ~93,3 млн человек. Большинство жертв задеты косвенно, потому что MOVEit использовал поставщик. В вашей среде: быстрый патчинг KEV, минимизация открытости, минимальные привилегии и сегментация web↔БД, инвентаризация поставщиков и минимизация данных.
Всё ещё на Windows 10? Риски безопасности после окончания поддержки
Обычная поддержка Windows 10 семейства Home/Pro версии 22H2 завершилась 14 октября 2025 года. В официальных материалах, проверенных 16 октября 2026 года, потребительская ESU действует до 12 октября 2027 года с автоматическим продолжением для уже зарегистрированных пользователей. Проверьте регистрацию, обновления и региональные условия, отдавая приоритет переходу на обновляемую ОС. LTSC/IoT и корпоративная ESU — отдельные программы.
Утечка Equifax (2017) — как неустановленное исправление Apache Struts привело к утечке данных 147M человек
Причиной стал известный, уже исправленный CVE (CVSS 10.0), оставленный без установки в публичной системе. Истёкший сертификат мониторинга скрывал эксфильтрацию 76 дней. В вашей среде: инвентаризация активов, SLA на патчинг, машинный мониторинг и работоспособное обнаружение.