самохостинг
3 статей с этим тегом
Уязвимость CVE-2026-110447 во встроенном сервере CODE Collabora в Nextcloud используется в атаках: кто затронут и что делать
14 октября 2026 года разработчики Collabora Online раскрыли CVE-2026-110447, неаутентифицированную уязвимость инъекции команд ОС в приложении Nextcloud Collabora Online - Built-in CODE Server (ID приложения richdocumentscode). Через proxy.php приложения команды могут выполняться от имени пользователя веб-сервера. Условие: встроенный сервер CODE не запущен, что может произойти после перезапуска контейнера, обновления или сбоя. Затронуты версии до 26.4.303; версия 26.4.303 вышла 11 сентября. Разработчики заявляют, что отключение приложения не устраняет проблему, и просят обновить или удалить его. На Nextcloud 29 и более ранних версиях обновите Nextcloud или удалите приложение. По словам разработчиков, отдельные серверы Collabora Online, Docker-образы, пакеты RPM/DEB и Nextcloud All-in-One не затронуты. Оценка CVSS v4.0 — 9.2. 23 октября CISA добавило уязвимость в каталог известных эксплуатируемых уязвимостей (KEV) со сроком до 26 октября. Пользователи сообщали об атаках примерно с 10 сентября в репозитории разработчиков, а по данным СМИ, были установлены веб-шеллы. Вывод этого сайта: если установлено встроенное приложение CODE, даже отключенное, сегодня проверьте его версию, обновите или удалите его, затем проверьте следы с 10 сентября.
GitLab CVE-2026-110264 (CVSS 10.0) и эксплуатируемая CVE-2026-97229: как проверить и обновить самостоятельно развёрнутый GitLab
21 октября 2026 года GitLab выпустил критические патч-версии 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 и 18.11.13 для Community Edition (CE) и Enterprise Edition (EE). Самая серьёзная уязвимость, CVE-2026-110264 (CVSS 10.0), представляет собой целочисленное переполнение при компиляции специально сформированного регулярного выражения, которое при определённых условиях может позволить неаутентифицированному пользователю выполнить произвольный код на сервере GitLab. Затронуты почти все версии начиная с 7.0. 29 октября CISA добавила родственную уязвимость CVE-2026-97229 (CVSS 10.0, CWE-190) в каталог известных эксплуатируемых уязвимостей (KEV) со сроком 1 ноября. Это ошибка того же рода (целочисленное переполнение в компиляторе регулярных выражений CI/CD, доступное неаутентифицированному пользователю); GitLab исправил её раньше, 12 октября, в версиях 19.4.2, 19.3.5 и 19.2.8, и затронуты только 19.2.0–19.2.7, 19.3.0–19.3.4 и 19.4.0–19.4.1. Кто всё ещё на версиях ниже 19.4.2, 19.3.5 или 19.2.8, подвержен эксплуатируемой уязвимости. Обновление до рекомендованных здесь версий (19.5.1, 19.4.3, 19.3.6, 19.2.9) исправляет и CVE-2026-97229. GitLab.com уже исправлен; самостоятельно развёрнутые установки нужно обновить. Тот же выпуск от 21 октября исправляет две уязвимости высокой степени серьёзности (CVSS 8.2 и 7.5) и другие, но эти исправления есть только в ветках 19.3.6, 19.4.3 и 19.5.1. Корень проблемы — в движке регулярных выражений Ruby (Onigmo); 23 октября Ruby выпустил 4.0.9, 3.4.12 и 3.3.13. Затронуты приложения, которые компилируют regexp из строк, контролируемых злоумышленником, а Regexp.timeout от этих ошибок не защищает. В уведомлениях GitLab не сказано, что CVE-2026-110264 эксплуатировалась, и на 30 октября её нет в KEV. Alpine Linux сообщила, что на ее собственном GitLab 20 и 21 октября была попытка атаки через CVE-2026-97229 и что одно лишь обновление GitLab (до 19.3.6) не закрыло уязвимость, потому что для исправления нужен был еще и пропатченный Ruby; она пересобрала инстанс и не нашла свидетельств того, что код злоумышленника выполнялся. Вывод этого сайта: обновите самостоятельно развёрнутый GitLab сегодня, проверив обязательные остановки, доведите установку до 19.3.6 или новее, а если вы собираете GitLab сами или используете собственный Ruby, проверьте, что и Ruby не ниже 3.3.13, 3.4.12 или 4.0.9. Ruby-приложениям нужно перейти на исправленный Ruby и перестать формировать regexp из пользовательского ввода.
Самохостинг Git vs GitHub: что на самом деле безопаснее?
Самохостинг Git не делает вас «безопаснее» — он перемещает риск. Класс случайной публичной выставленности исчезает, но патчинг сервера, резервные копии и обнаружение секретов в pre-commit переходят на вас. Правильный выбор, если вы продолжаете выполнять эту работу; хуже GitHub, если её забрасываете. Взгляд этого сайта: самохостинг работает только в связке с компенсирующими мерами.