RCE
5 статей с этим тегом
Уязвимость WordPress 7.1.4 CVE-2026-119977: исправлена гонка при обновлении ядра, которая может привести к удаленному выполнению кода. Проверьте версию и автообновления
28 октября 2026 года проект WordPress выпустил релиз безопасности 7.1.4, который устраняет уязвимость в процессе обновления ядра, способную привести к удаленному выполнению кода. Согласно рекомендации WordPress на GitHub, при обновлении ядра с полным пакетом WordPress распаковывал новые файлы в предсказуемый каталог внутри доступной из веба папки обновления, и неаутентифицированный злоумышленник, выигравший гонку с этой распаковкой, мог добиться удаленного выполнения кода (RCE). Исправление вошло в 7.1.4 и перенесено во все ветки вплоть до 4.7 (7.0.8, 6.9.11, 6.8.12 и так далее). CVE-2026-119977 опубликована 31 октября компанией Wordfence в роли CNA и оценена по CVSS v3.1 в 8,1 (High) при высокой сложности атаки; в рекомендации WordPress она оценена как Low, без балла. По данным SecurityWeek, первое срабатывание правила межсетевого экрана у одного поставщика защиты WordPress произошло через девять минут после его развертывания, а за первые 21 час было зафиксировано более 18 500 запросов к временным местам обновления; об успешном взломе поставщик не сообщал. CISA внесла эту CVE в свой каталог Known Exploited Vulnerabilities (KEV) 3 ноября (запись KEV устанавливает для федеральных агентств США срок 6 ноября, и помимо установки исправления CISA требует от них провести криминалистический первичный анализ по BOD 26-04). Сайты с автоматическими фоновыми обновлениями обновятся сами; на сайтах с отключенными автообновлениями обновление нужно запустить вручную на экране «Обновления». Вывод этого сайта: считайте уязвимость эксплуатируемой, обновитесь сегодня, а если обновились поздно, проверьте сайт на признаки взлома (совет этого сайта).
Небезопасная десериализация: чем опасно, когда внешние данные выбирают тип объекта, и как это предотвратить
Опасность десериализации не в том, что приходят плохие значения, а в том, что некоторые форматы позволяют внешним данным решать, объект какого типа создать. Поэтому ущерб не ограничивается испорченными данными: OWASP называет отказ в обслуживании, обход контроля доступа и удалённое выполнение кода. Две защиты: перейти на чистый формат данных, где ничто не выбирает типы за вас, и подписывать сериализованные сообщения, чтобы неподписанные никогда не восстанавливались. А некоторые механизмы вообще нельзя сделать безопасными настройкой — единственное решение не использовать их.
Уязвимости загрузки файлов: как предотвратить веб-шеллы и RCE на уровне архитектуры
Проблема уязвимости загрузки не в том, что сервер «принимает файл», а в том, куда его кладут и может ли он выполниться. Точка без аутентификации + нет проверки типа + хранение в корне сайта + там выполняются скрипты = веб-шелл → RCE. Защищайтесь слоями: (1) аутентификация/права + CSRF на точке загрузки, (2) белый список на сервере + проверка содержимого, (3) хранение вне корня сайта (или запрет выполнения), (4) случайные имена файлов, никакого доверия путям от пользователя. Не полагайтесь на одну меру: на каждом шаге должно быть что-то, что остановит атаку.
Что такое RCE (Remote Code Execution) — почему это худший класс багов
RCE позволяет атакующему выполнить произвольный код на вашем сервере — прямой путь к захвату, худший класс. То, насколько далеко распространится ущерб, задаётся привилегиями работающего процесса. Главные средства защиты — быстрые патчи, мониторинг CVE и минимум привилегий.
Из кода, написанного ИИ, утёк API-ключ, и им воспользовались для мошеннических списаний: причиной была незакрытая уязвимость CVSS 10.0
Скачок счёта был симптомом. Причиной была незакрытая опубликованная RCE с CVSS 10.0. Обезличенный случай, сведённый к урокам по защите.