удаленное выполнение кода
3 статей с этим тегом
Orkes Conductor CVE-2026-58138: выполнение команд ОС без аутентификации, зафиксированы попытки атак (обновитесь до 3.30.2 или новее)
CVE-2026-58138 — уязвимость в Conductor, движке рабочих процессов с открытым исходным кодом из проекта conductor-oss, который в записи CVE называется Orkes Conductor. В версиях с 3.21.21 до, но не включая, 3.30.2 удаленный злоумышленник может без аутентификации выполнять команды операционной системы, отправив в API рабочих процессов определение рабочего процесса с выражениями JavaScript или Python, потому что механизмы вычисления скриптов не были изолированы. CVE опубликована 30 июня 2026 года с оценками CVSS 9,8 (v3.1) и 9,3 (v4.0). Исправление вошло в выпуск 3.30.2 от 3 июня, в примечаниях к которому оно описано лишь как дополнительное ограничение движка JavaScript. В сентябре вендор сетевой безопасности сообщил, что его служба предотвращения вторжений заблокировала 1 290 попыток атак за сутки и 6 696 за семь дней. Это заблокированные попытки, а не подтвержденные компрометации. По состоянию на 31 октября CVE нет в каталоге KEV CISA, а NVD ее не анализировал (статус Deferred). Наш вывод: если вы сами эксплуатируете Conductor, сейчас же перейдите на 3.30.2 или новее, уберите его API из интернета и, если уязвимая версия была доступна извне, проверьте сервер как возможно скомпрометированный.
Plex2Shell: четыре CVE в Plex Media Server эксплуатируются на практике (обновитесь до 1.43.3.10861 или новее)
Plex2Shell — название, которое исследователь безопасности дал четырем уязвимостям в Plex Media Server: CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 и CVE-2026-96656. По словам Plex, объединенные в цепочку, они позволяют удаленному злоумышленнику без аутентификации выполнять код с привилегиями процесса Plex Media Server. Все четыре исправлены в версии 1.43.3.10861, выпущенной для всех пользователей 4 августа 2026 года. 19 октября (UTC) Plex написала, что после появления общедоступного proof of concept 16 октября уязвимости активно и массово эксплуатируются, а скомпрометированные серверы использовались для запуска майнеров криптовалюты и прокси-программ. CISA добавило все четыре в каталог Known Exploited Vulnerabilities (KEV) 20 октября со сроками 23 октября и 3 ноября. По отдельности каждая CVE получает лишь от 4,3 до 7,2 (CVSS v3.1). Наш вывод: если вы запускаете Plex Media Server, сегодня же проверьте, что установлена версия 1.43.3.10861 или новее, не открывайте порт 32400 напрямую, если удаленный доступ не нужен, а если старая версия была доступна из интернета, выполните проверки на компрометацию от Plex и при сомнениях переустановите сервер.
SharePoint Server CVE-2026-65660: выполнение кода вошедшим пользователем, уязвимость эксплуатируется (установите обновления августа 2026 года)
CVE-2026-65660 — уязвимость внедрения кода в локальном Microsoft SharePoint Server (Subscription Edition, 2019 и Enterprise 2016). По словам Microsoft, злоумышленник, прошедший аутентификацию и имеющий доступ низкого уровня, может отправить специально созданный запрос и выполнить код на сервере без участия пользователя. Оценка — CVSS 8,8. Исправление вошло в обновления безопасности от 11 августа 2026 года. Сначала Microsoft опубликовала ее как уязвимость подмены (spoofing), а 27 августа изменила на удаленное выполнение кода. 25 сентября Microsoft добавила, что имеет надежные доказательства наблюдаемых атак, и в тот же день CISA добавило ее в каталог KEV со сроком 28 сентября. 24 сентября компания по безопасности сообщила, что попытки атак на ловушку (honeypot) сочетали эту уязвимость с отдельной проблемой, исправленной, по имеющимся сведениям, в июне 2026 года, которая позволяет запросу дойти без входа на сайтах с анонимным просмотром. Наш вывод: если вы запускаете SharePoint Server, убедитесь, что каждый сервер имеет исправленную сборку или новее, что обновления июня 2026 года тоже установлены, пересмотрите анонимный доступ и проверьте серверы, отстававшие с обновлениями, на признаки компрометации.