уязвимость
45 статей с этим тегом
День исправлений SAP, ноябрь 2026: четыре уязвимости с CVSS 10.0. Сначала обновите Web Dispatcher и ICM, доступные из интернета; как проверить, затронуты ли вы, и что делать сегодня
10 ноября 2026 года в День исправлений безопасности SAP выпустила 35 новых заметок по безопасности и 4 рекомендации GitHub, а также обновила 3 прежние заметки. В списке SAP 9 строк помечены как Critical. Четыре из них имеют CVSS 10.0: повреждение памяти в Internet Communication Manager (ICM) NetWeaver AS ABAP (CVE-2026-76964) и в SAP Web Dispatcher (CVE-2026-89126), нарушение контроля доступа в SAP Gateway (CVE-2026-89103) и отсутствие аутентификации в поставщике услуг SAML2 AS ABAP (CVE-2026-120017). По описанию в записях CVE все четыре эксплуатируются без аутентификации, по сети и без участия пользователя (CVE-2026-120017 при определённых конфигурациях). Три имеют CVSS 9.9 (CVE-2026-109803, CVE-2026-76965, CVE-2026-109795) и требуют входа с низкими привилегиями. В списке SAP об эксплуатации не говорится, и ни одной CVE со страницы нет в каталоге KEV CISA (версия от 10 ноября, 19:00 UTC). Из оценок CISA, приложенных к записям CVE, четыре увиденные нами говорят: эксплуатация: нет. Текст заметок SAP требует входа в систему, и этот сайт его не читал. Вывод этого сайта: сначала обновите Web Dispatcher и ICM, доступные из интернета, подтвердите исправленные уровни в заметках SAP и спланируйте обновление вместе с перезапуском.
Срочное исправление OpenSSH 10.6p2 (CVE-2026-123158): добавлена в CISA KEV; в sshd на системах с musl без PAM, например Alpine, можно войти без пароля
5 ноября 2026 года OpenSSH выпустил 10.6p2 с важным обходным решением для проблемы обхода парольной аутентификации в sshd на некоторых системах Linux, собранных и запущенных с отключённым PAM, в частности использующих musl libc, например Alpine Linux. Идентификатор — CVE-2026-123158 (базовая оценка CVSS 3.1 — 8,1, из записи CVE). 9 ноября CISA добавила её в каталог известных эксплуатируемых уязвимостей (KEV) со сроком 12 ноября для федеральных агентств США. Одна частная компания по киберразведке сообщает, что видела попытки атак менее чем через девять часов после публикации и один успех в приманочной среде; о ущербе для рабочих систем не сообщалось, независимого подтверждения найти не удалось. Alpine Linux 5 ноября опубликовал бюллетень с исправленными пакетами для всех веток. По данным Alpine, затронут хост, у которого включена парольная аутентификация, у одной учётной записи в поле пароля стоит звёздочка, а у другой есть обычный хеш. Конфигурации с включённым PAM, с PasswordAuthentication no и контейнеры, не запускающие sshd, не затронуты. Вывод этого сайта: если вы запускаете sshd на Alpine или другой системе с musl, например OpenWrt или встраиваемом Linux, сегодня же обновитесь до исправленного пакета и перезапустите sshd, до этого отключите парольную аутентификацию и просмотрите журналы аутентификации.
SonicWall SonicOS SSL-VPN CVE-2026-19868: обход SAML и MFA, уязвимость в KEV CISA (обновите Gen7 и Gen8)
CVE-2026-19868 — уязвимость в службе SSL-VPN SonicWall SonicOS, операционной системы межсетевых экранов SonicWall. Согласно бюллетеню SonicWall SNWLID-2026-0014 от 6 ноября 2026 года, на межсетевом экране, где для входа в SSL-VPN включен SAML, пользователь с действующими учетными данными для альтернативного способа аутентификации может обойти механизмы аутентификации SAML, а вместе с ними и многофакторную аутентификацию (MFA), которую обеспечивает SAML. SonicWall сообщает, что ее команда безопасности расследовала сообщение, указывающее на возможную эксплуатацию. CISA добавило CVE в каталог Known Exploited Vulnerabilities (KEV) 6 ноября со сроком 20 ноября. Затронуты: межсетевые экраны Gen7 с SonicOS 7.3.3-7015 и старше и Gen8 с 8.2.2-8015 и старше. Исправлено: 7.3.4-7013 и 8.2.3-8015 или новее. Обходного решения нет. Тот же бюллетень охватывает еще шесть CVE, в том числе уязвимости интерфейса управления и уязвимость SSL-VPN до аутентификации, способную остановить службу. Наш вывод: если у вас межсетевой экран SonicWall Gen7 или Gen8, обновите его сейчас независимо от того, используете ли вы SAML, а если вход в VPN защищен SAML и MFA, проверьте, какие другие учетные записи все еще могут войти в SSL-VPN.
Jenkins 2.588 и LTS 2.580.2 исправляют 15 уязвимостей (CVE-2026-117612–117626): как проверить версию и что проверить после обновления
28 октября 2026 года проект Jenkins опубликовал уведомление безопасности, исправляющее 15 уязвимостей в ядре Jenkins (CVE-2026-117612–CVE-2026-117626) в еженедельной версии 2.588 и LTS 2.580.2. Затронуты еженедельные версии 2.587 и ниже и LTS 2.580.1 и ниже. Уведомление оценивает 13 как High и 2 как Medium. Для большинства нужны какие-то права, например Overall/Read или Item/Configure (в некоторых конфигурациях Overall/Read выдан анонимным пользователям). Исключение — CVE-2026-117618, состояние гонки в мастере первоначальной настройки, которое позволяет неаутентифицированному пользователю создать учётную запись администратора во время первоначальной настройки; из-за этого выше приоритет у недавно установленных Jenkins, доступных из интернета. Единственные обходные меры, которые перечисляет уведомление, — настройки для отключения новых проверок, если обновление вызывает проблемы, и принудительная Content Security Policy, ограничивающая известное воздействие трёх XSS-уязвимостей; исправление — обновление. На 3 ноября этот сайт не нашёл достоверных сообщений об эксплуатации, и ни одной из 15 нет в каталоге известных эксплуатируемых уязвимостей (KEV) CISA. Вывод этого сайта: проверьте версию Jenkins, обновитесь до 2.588 (LTS 2.580.2), не выставляйте Jenkins в интернет и не давайте анонимным пользователям прав, а после обновления проверьте пользователей, администраторов и агентов.
Атаки программ-вымогателей на Synology DSM: устаревшие версии атакуют через уязвимость, исправленную в декабре 2024 года; что обновить и проверить сегодня (SA-24:20)
29 октября 2026 года Synology сообщила, что выявила злоумышленников, использующих уязвимость, исправленную в декабре 2024 года, против устройств с устаревшими версиями DSM с целью зашифровать данные и вымогать выкуп. Компания настоятельно призывает всех на уязвимых версиях немедленно обновить DSM и рекомендует включить автоматические обновления. Она ссылается на Synology-SA-24:20, где исправленные версии: 7.2.2-72806-1 и выше для DSM 7.2.2, 7.2.1-69057-6 для 7.2.1, 7.2-64570-4 для 7.2, 7.1.1-42962-7 для 7.1 и 6.2.4-25556-8 для 6.2. В бюллетене три CVE, и Synology не говорит, какая из них используется. Число жертв и название злоумышленников она не публиковала. Вывод этого сайта: проверьте версию DSM сегодня, обновитесь до исправленной версии или новее и не выставляйте интерфейс управления DSM в интернет. Держите резервную копию отдельно от NAS так, чтобы NAS не мог её перезаписать.
Уязвимость WordPress 7.1.4 CVE-2026-119977: исправлена гонка при обновлении ядра, которая может привести к удаленному выполнению кода. Проверьте версию и автообновления
28 октября 2026 года проект WordPress выпустил релиз безопасности 7.1.4, который устраняет уязвимость в процессе обновления ядра, способную привести к удаленному выполнению кода. Согласно рекомендации WordPress на GitHub, при обновлении ядра с полным пакетом WordPress распаковывал новые файлы в предсказуемый каталог внутри доступной из веба папки обновления, и неаутентифицированный злоумышленник, выигравший гонку с этой распаковкой, мог добиться удаленного выполнения кода (RCE). Исправление вошло в 7.1.4 и перенесено во все ветки вплоть до 4.7 (7.0.8, 6.9.11, 6.8.12 и так далее). CVE-2026-119977 опубликована 31 октября компанией Wordfence в роли CNA и оценена по CVSS v3.1 в 8,1 (High) при высокой сложности атаки; в рекомендации WordPress она оценена как Low, без балла. По данным SecurityWeek, первое срабатывание правила межсетевого экрана у одного поставщика защиты WordPress произошло через девять минут после его развертывания, а за первые 21 час было зафиксировано более 18 500 запросов к временным местам обновления; об успешном взломе поставщик не сообщал. CISA внесла эту CVE в свой каталог Known Exploited Vulnerabilities (KEV) 3 ноября (запись KEV устанавливает для федеральных агентств США срок 6 ноября, и помимо установки исправления CISA требует от них провести криминалистический первичный анализ по BOD 26-04). Сайты с автоматическими фоновыми обновлениями обновятся сами; на сайтах с отключенными автообновлениями обновление нужно запустить вручную на экране «Обновления». Вывод этого сайта: считайте уязвимость эксплуатируемой, обновитесь сегодня, а если обновились поздно, проверьте сайт на признаки взлома (совет этого сайта).
Ядро Linux CVE-2026-98432: use-after-free в TCP, вызываемый по сети (CVSS 9.8). Установите исправленное ядро, перезагрузитесь и проверьте MPTCP
CVE-2026-98432 — use-after-free в коде IPv4 TCP ядра Linux, опубликованный 15 октября 2026 года. CNA проекта ядра оценивает его в CVSS v3.1 9.8 (сеть, без привилегий, без действий пользователя). Исследователи одной ИИ-компании, как сообщается, в лабораторных условиях и по собственному отчёту продемонстрировали удалённое выполнение кода с правами root на сервере со слушающим сокетом Multipath TCP (MPTCP). BleepingComputer пишет, что удалённое выполнение кода на обычных TCP-серверах публично не показано, а эксплуатация в реальных атаках не подтверждена; этот сайт 1 ноября не нашёл CVE в каталоге KEV от CISA. Исправления из основной ветки есть в 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56 и 7.2.10 и более поздних. На 1 ноября у Debian есть исправленные ядра, у SUSE — часть, а Ubuntu и Red Hat указывают исправления как находящиеся в работе. Одного отключения MPTCP недостаточно. Вывод этого сайта: обновляйте доступные из интернета серверы Linux по мере выхода исправлений, перезагружайтесь и пользуйтесь временной мерой поставщика только до тех пор.
Что проверить после экстренного обновления PHP: веб-PHP и PHP в командной строке, set -e и коды возврата diff, а также повторная проверка на взлом
Во время реагирования в октябре 2026 года на критические уязвимости PHP на сайте, которым управляет оператор этого сайта, обновили веб-PHP, но PHP в командной строке, которым пользовался cron, по-прежнему указывал на старую версию. Проверяйте веб и CLI отдельно. При set -e утилиты diff и grep возвращают код выхода 1 для «найдены различия» или «совпадений нет», и это останавливает скрипт; коды 0, 1 и 2 нужно обрабатывать отдельно. После обновления запустите один и тот же чек-лист проверки на взлом на каждом сервере и разрешите подозрительную запись в журнале, сравнив живые файлы с эталонной копией, которая была развёрнута.
Кибератаки и утечки данных в октябре 2026: 36 эксплуатируемых уязвимостей и крупные утечки
В октябре 2026 года CISA добавила в каталог известных эксплуатируемых уязвимостей (KEV) 36 уязвимостей, на семь меньше, чем 43 в сентябре. Одиннадцать относились к периферийным устройствам и продуктам удалённого доступа, таким как VPN-шлюзы и межсетевые экраны, пять были старыми уязвимостями, опубликованными в 2015–2023 годах (все добавлены 8 октября), десять касались Plex, PHP, Ahsay и Zammad, ещё десять — других продуктов. В октябре этот сайт опубликовал 115 первых сообщений об инцидентах и уязвимостях (65 японских инцидентов, 28 зарубежных, 4 глобальных, 18 уязвимостей); это число статей этого сайта, а не национальная статистика. В Японии продолжались утечки из баз участников и приложений. Крупнейшие объявленные показатели: ShopServe (около 23,356 млн человек), приложение MUJI (до примерно 27,26 млн записей, возможно), Club Tourism (около 4,32 млн записей, возможно) и Hana Cupid (до 4 238 242 записей). Продолжались также утечки у сервис-провайдеров и SaaS, кражи на криптобиржах и инциденты на платформах для AI-разработчиков. Наш вывод на ноябрь: в первую очередь обновите периферийные устройства из KEV, составьте список внешних сервисов с вашими клиентскими базами и будьте готовы к фишингу от имени пострадавшей компании.
Cisco Catalyst SD-WAN Manager CVE-2026-76504: доступ администратора без входа, уязвимость эксплуатируется (обновитесь до исправленного выпуска)
CVE-2026-76504 — уязвимость в аутентификации сеансов API Cisco Catalyst SD-WAN Manager (ранее vManage), системы управления SD-WAN от Cisco. Согласно бюллетеню Cisco от 30 сентября 2026 года, из-за неправильной обработки URI-кодирования в HTTP-запросе удаленный злоумышленник без аутентификации может обойти правило аутентификации и получить доступ к API с привилегиями пользователя admin. Продукт затронут независимо от конфигурации; оценка CVSS — 9,8. Cisco сообщает, что ее команда безопасности узнала об активной эксплуатации в сентябре 2026 года. Обходного решения нет; исправление — обновиться до первого исправленного выпуска своей ветки (20.9.10.1, 20.12.8.2, 20.15.6.1, 20.18.4.1, 26.1.2.1 или 26.2.1). Облачная служба, управляемая Cisco, уже исправлена. CISA добавило уязвимость в каталог KEV 30 сентября со сроком 3 октября. Наш вывод: если вы запускаете SD-WAN Manager локально, обновитесь сейчас, уберите его интерфейсы управления из интернета и проверьте журналы по признакам из бюллетеня Cisco, потому что система могла быть открыта неделями.
Drupal Commerce Core CVE-2026-118539: обход доступа без аутентификации, активно эксплуатируется (обновитесь до 8.x-2.41 или 3.3.13)
28 октября 2026 года команда безопасности Drupal опубликовала SA-CONTRIB-2026-254 для модуля Commerce Core (CVE-2026-118539). Модуль недостаточно защищает определенные маршруты и поля сущностей, что допускает обход доступа, который может иметь финансовые последствия для владельца магазина. Drupal оценивает уязвимость как Highly critical (21/25), не требующую аутентификации, и заявляет, что она активно эксплуатируется на практике. Затронуты версии ниже 8.x-2.41 и с 3.0.0 до, но не включая, 3.3.13; исправленные версии — 8.x-2.41 и 3.3.13. В записи NVD указана более низкая оценка CVSS v3.1 6,5, добавленная ADP CISA, и запись все еще ожидает анализа. По состоянию на 31 октября ее нет в каталоге KEV CISA. Наш вывод: если вы управляете интернет-магазином на Drupal Commerce, обновитесь сейчас и проверьте недавние заказы и платежи на предмет несоответствий.
Ivanti Connect Secure CVE-2026-111357 и CVE-2026-118527: еще две уязвимости добавлены в CISA KEV (что делать после октябрьских атак)
30 октября 2026 года CISA добавила в каталог известных эксплуатируемых уязвимостей (KEV) две уязвимости Ivanti Connect Secure: CVE-2026-111357, локальное повышение привилегий до root, и CVE-2026-118527, ошибку с предсказуемыми идентификаторами, которая позволяет удаленному аутентифицированному злоумышленнику размещать файлы с контролируемым им содержимым в известном месте. CISA говорит, что обе можно объединять с CVE-2026-104935, обходом аутентификации, добавленным в KEV 13 октября. 2 ноября американская исследовательская компания сообщила, что Ivanti обновила свой бюллетень 29 октября, добавив две CVE, и выпустила исправления (сам бюллетень Ivanti нам прочитать не удалось, поэтому мы опираемся на цитирование этой компании): 25.1.1.3 для 25.1.1.2 и ниже и 22.8R2.6 для 22.8R2.5 и ниже. Исправления от 13 октября (25.1.1.2 и 22.8R2.5) эти две уязвимости не закрывают. Ivanti рекомендует перейти с 22.8.x на 25.1.1.3 или новее либо установить 22.8R2.6, если это невозможно сразу. Ivanti говорит, что эксплуатация до раскрытия затронула ограниченное число клиентов в сочетании с CVE-2026-104935. Срок для федеральных агентств США — 2 ноября для CVE-2026-111357 и 13 ноября для CVE-2026-118527. Другая исследовательская компания сообщает об эксплуатации с 3 октября, краже учетных данных и запросах к Active Directory за паролями Windows LAPS и ключами восстановления BitLocker. CISA и эта компания предупреждают, что Integrity Checker Tool от Ivanti может не обнаружить эксплуатацию. Наш вывод: установите исправления сейчас и даже после этого считайте любое устройство, доступное из интернета с начала октября, возможно скомпрометированным, пока криминалистическая проверка не скажет иное. Сохраните память и журналы до любой перезагрузки или сброса и замените учетные данные, включая пароли локальных администраторов под управлением LAPS и ключи восстановления BitLocker. Номера версий подтверждайте в бюллетене Ivanti.
Orkes Conductor CVE-2026-58138: выполнение команд ОС без аутентификации, зафиксированы попытки атак (обновитесь до 3.30.2 или новее)
CVE-2026-58138 — уязвимость в Conductor, движке рабочих процессов с открытым исходным кодом из проекта conductor-oss, который в записи CVE называется Orkes Conductor. В версиях с 3.21.21 до, но не включая, 3.30.2 удаленный злоумышленник может без аутентификации выполнять команды операционной системы, отправив в API рабочих процессов определение рабочего процесса с выражениями JavaScript или Python, потому что механизмы вычисления скриптов не были изолированы. CVE опубликована 30 июня 2026 года с оценками CVSS 9,8 (v3.1) и 9,3 (v4.0). Исправление вошло в выпуск 3.30.2 от 3 июня, в примечаниях к которому оно описано лишь как дополнительное ограничение движка JavaScript. В сентябре вендор сетевой безопасности сообщил, что его служба предотвращения вторжений заблокировала 1 290 попыток атак за сутки и 6 696 за семь дней. Это заблокированные попытки, а не подтвержденные компрометации. По состоянию на 31 октября CVE нет в каталоге KEV CISA, а NVD ее не анализировал (статус Deferred). Наш вывод: если вы сами эксплуатируете Conductor, сейчас же перейдите на 3.30.2 или новее, уберите его API из интернета и, если уязвимая версия была доступна извне, проверьте сервер как возможно скомпрометированный.
Plex2Shell: четыре CVE в Plex Media Server эксплуатируются на практике (обновитесь до 1.43.3.10861 или новее)
Plex2Shell — название, которое исследователь безопасности дал четырем уязвимостям в Plex Media Server: CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 и CVE-2026-96656. По словам Plex, объединенные в цепочку, они позволяют удаленному злоумышленнику без аутентификации выполнять код с привилегиями процесса Plex Media Server. Все четыре исправлены в версии 1.43.3.10861, выпущенной для всех пользователей 4 августа 2026 года. 19 октября (UTC) Plex написала, что после появления общедоступного proof of concept 16 октября уязвимости активно и массово эксплуатируются, а скомпрометированные серверы использовались для запуска майнеров криптовалюты и прокси-программ. CISA добавило все четыре в каталог Known Exploited Vulnerabilities (KEV) 20 октября со сроками 23 октября и 3 ноября. По отдельности каждая CVE получает лишь от 4,3 до 7,2 (CVSS v3.1). 6 ноября QNAP заявила, что некоторые пользователи сообщили о признаках компрометации Plex Media Server на своих NAS; по ее словам, собственные операционные системы QNAP, QTS и QuTS hero, не затронуты, а владельцев, у которых Plex был доступен из интернета, она просит считать NAS возможно скомпрометированным. Наш вывод: если вы запускаете Plex Media Server, сегодня же проверьте, что установлена версия 1.43.3.10861 или новее, не открывайте порт 32400 напрямую, если удаленный доступ не нужен, а если старая версия была доступна из интернета, выполните проверки на компрометацию от Plex и при сомнениях переустановите сервер (на NAS QNAP следуйте FAQ QNAP).
SharePoint Server CVE-2026-65660: выполнение кода вошедшим пользователем, уязвимость эксплуатируется (установите обновления августа 2026 года)
CVE-2026-65660 — уязвимость внедрения кода в локальном Microsoft SharePoint Server (Subscription Edition, 2019 и Enterprise 2016). По словам Microsoft, злоумышленник, прошедший аутентификацию и имеющий доступ низкого уровня, может отправить специально созданный запрос и выполнить код на сервере без участия пользователя. Оценка — CVSS 8,8. Исправление вошло в обновления безопасности от 11 августа 2026 года. Сначала Microsoft опубликовала ее как уязвимость подмены (spoofing), а 27 августа изменила на удаленное выполнение кода. 25 сентября Microsoft добавила, что имеет надежные доказательства наблюдаемых атак, и в тот же день CISA добавило ее в каталог KEV со сроком 28 сентября. 24 сентября компания по безопасности сообщила, что попытки атак на ловушку (honeypot) сочетали эту уязвимость с отдельной проблемой, исправленной, по имеющимся сведениям, в июне 2026 года, которая позволяет запросу дойти без входа на сайтах с анонимным просмотром. Наш вывод: если вы запускаете SharePoint Server, убедитесь, что каждый сервер имеет исправленную сборку или новее, что обновления июня 2026 года тоже установлены, пересмотрите анонимный доступ и проверьте серверы, отстававшие с обновлениями, на признаки компрометации.
VMware ESX CVE-2026-41709 (CVSS 2.7): CISA включила уязвимость с низкой серьёзностью в журналировании в список эксплуатируемых; примените весь VMSA-2026-0006 и проверьте свои хосты
CVE-2026-41709 — уязвимость недостаточного журналирования в VMware ESX (CVSS 2.7, Low): злоумышленник, уже имеющий права администратора, может выполнять определённые операции так, что они не попадают в журналы. Broadcom исправила её в бюллетене VMSA-2026-0006 29 июля 2026 года, обходного решения нет. 28 октября 2026 года (по времени США) CISA добавила её в каталог Known Exploited Vulnerabilities (KEV) со сроком 11 ноября для федеральных агентств США. В отчёте об угрозах одной компании по безопасности сказано, что связанная с Китаем группа использовала её как zero-day в нескольких проникновениях в американские организации, вплоть до начала 2026 года, а SecurityWeek описывает цель как снижение видимости аудиторского следа; этот сайт независимо этот отчёт не проверял. Сама по себе уязвимость не даёт входа, но означает, что в журналах затронутого хоста может не быть следов действий злоумышленника. В тот же бюллетень входят две уязвимости vCenter с оценкой 9,8, одну из которых (CVE-2026-59310) CISA внесла в список эксплуатируемых 18 августа, поэтому если исправить только уязвимость ESX, точки входа останутся открытыми. Вывод этого сайта: обновите ESX и vCenter до исправленных сборок по всему бюллетеню, отправляйте журналы хостов на отдельный сервер и ищите признаки компрометации, не полагаясь только на журналы.
Уязвимость VPN в Cisco ASA и FTD CVE-2026-76418: неаутентифицированный атакующий может перезагрузить устройство (как проверить, исправленные версии)
28 октября 2026 года (UTC) Cisco раскрыла CVE-2026-76418 (CVSS v3.1 8.6) в службе SSL VPN удалённого доступа Cisco Secure Firewall ASA и Secure Firewall Threat Defense (FTD). Неаутентифицированный удалённый атакующий может вызвать неожиданную перезагрузку устройства, что приводит к отказу в обслуживании. Причина — логическая ошибка, когда для туннельной группы (профиля VPN-подключения) настроена вторичная аутентификация; она срабатывает от специально сформированного запроса при подключении к SSL VPN. В бюллетене не описано ни выполнение кода, ни утечка данных. Обходного решения нет, и Cisco настоятельно рекомендует обновиться. Cisco PSIRT сообщает, что узнала об эксплуатации в октябре 2026 года, но подробностей не приводит. CISA добавила её в каталог известных эксплуатируемых уязвимостей (KEV) 29 октября со сроком 1 ноября для федеральных агентств США. Наш вывод: если вы выставляете SSL VPN на ASA или FTD, проверьте, использует ли какая-либо туннельная группа вторичную аутентификацию, и если да, обновитесь. Временные меры Cisco существуют, но снижают безопасность.
Fragnesia в ядре Linux (CVE-2026-46300): CISA внесла её в список эксплуатируемых со сроком 31 октября; обновите PHP и ядро, затем перезагрузитесь
CVE-2026-46300, получившая название Fragnesia, — уязвимость в ядре Linux, позволяющая локальному пользователю с низкими привилегиями получить root (CVSS v3.1 7.8, локальный вектор атаки). Когда ядро перемещает фрагменты данных между сетевыми буферами, оно может потерять метку, говорящую, что данные используются совместно с файлом в памяти, и тогда код IPsec ESP может расшифровать данные поверх кэшированной копии файла, доступного только для чтения. Проект ядра опубликовал CVE 23 мая 2026 года, а исправления есть в ядрах 5.10.257, 5.15.208, 6.1.174, 6.6.141, 6.12.91, 6.18.33 и 7.0.10 и новее. 28 октября 2026 года (по времени США) CISA внесла её в каталог Known Exploited Vulnerabilities (KEV) на основании свидетельств активной эксплуатации, со сроком 31 октября для федеральных ведомств США. В описании CISA сказано, что её можно связать с PHP-уязвимостями CVE-2026-109618 и CVE-2026-109619, чтобы внедрить PHP-веб-шеллы и выполнять команды от имени root. Компания по безопасности сообщила, что эта цепочка использовалась против 25 серверов (в основном межсетевых экранов), а SecurityWeek повторил это сообщение; этот сайт независимо не проверял числа. Ubuntu, Red Hat и Debian выпустили исправленные ядра, а обновление ядра действует только после перезагрузки. Вывод этого сайта: если вы запускаете PHP-сайты на Linux, обновите PHP и ядро, перезагрузитесь и проверьте наличие веб-шеллов.
Уязвимость Adobe Commerce и Magento CVE-2026-48356: CISA подтверждает эксплуатацию (KEV), июльское исправление и как проверить следы вторжения
27 октября 2026 года CISA внесло CVE-2026-48356, уязвимость загрузки файлов в Adobe Commerce и Magento Open Source, в каталог известных эксплуатируемых уязвимостей (KEV). Срок для федеральных гражданских ведомств США — 10 ноября. Adobe исправила эту уязвимость вместе с 13 другими в бюллетене безопасности APSB26-73 14 июля 2026 года. Затронуты Adobe Commerce с 2.4.4 по 2.4.9, Magento Open Source с 2.4.6 по 2.4.9, Adobe Commerce B2B и Adobe Commerce Events. Исправление — июльское исправление безопасности 2026-jul для каждой линейки выпусков (1.21.0 для Events). В таблице бюллетеня Adobe оценка CVSS 9.6, а в записи CVE от Adobe и в NVD — 9.3; различается только влияние на доступность. В бюллетене Adobe (обновлён 11 августа) по-прежнему сказано, что Adobe не известно об эксплуатации. 24 октября компания по безопасности электронной коммерции сообщила, что веб-шеллы, размещённые через эту уязвимость (которую она называет PolyShell) и другие уязвимости, использовались для внедрения JavaScript на страницы магазинов в кампании, затронувшей с июля 2025 года 953 магазина, в основном на Magento, и что внедрённый код она нашла и в магазинах с установленными исправлениями. По состоянию на 28 октября ни одно японское государственное ведомство не выпустило предупреждения, и ни один японский магазин не сообщил о том, что пострадал. Вывод этого сайта: магазинам на Adobe Commerce и Magento следует сегодня убедиться, что июльское исправление применено, и даже если оно применено, проверить папки загрузки, CMS-блоки и учётные записи администраторов на следы вторжения.
Уязвимость Brotli CVE-2026-111497 (Node2Shell): как проверить Node.js, Python и .NET и что обновить
21 октября 2026 года (по времени США) Google выпустил Brotli 1.2.1, 1.1.1 и 1.0.10, исправляющие CVE-2026-111497 — запись за пределы буфера в официальной библиотеке Brotli. Затронуты Brotli 1.0.3–1.0.9, 1.1.0 и 1.2.0. Распаковка специально сформированных данных Brotli может повредить память и привести к сбою, раскрытию содержимого памяти или, потенциально, к выполнению произвольного кода. Google оценивает уязвимость в 9.2 по CVSS v4.0. Node.js в тот же день выпустил 22.23.4, 24.22.1 и 26.12.1, а 22 октября пакеты PyPI были исправлены в brotli 1.2.1 и brotlicffi 1.2.1.0. Microsoft опубликовал исправления для .NET 8, 9 и 10 (8.0.33, 9.0.22, 10.0.14) 25 октября (по времени США); исправления выпустили также Bun (1.4.4) и Envoy. JPCERT/CC, японская команда реагирования на компьютерные инциденты, 26 октября выпустила предупреждение, в котором упоминаются прозвища Node2Shell и HTTP2Shell. Многие программы содержат собственную копию Brotli, поэтому обновление библиотеки операционной системы не исправляет копии внутри официальных сборок Node.js, Python-wheel из PyPI, образов контейнеров и однофайловых исполняемых файлов. 27 октября (по времени США) CISA добавила уязвимость в каталог известных эксплуатируемых уязвимостей (KEV), сославшись на признаки активной эксплуатации, и обязала федеральные ведомства США устранить её до 10 ноября. Подробностей CISA не опубликовала. Одна компания по анализу угроз сообщила, что зафиксировала эксплойт-трафик против Node.js 24.22.0, хотя в собственном тесте компании этот трафик не сработал, а Microsoft по-прежнему отмечает уязвимость как неэксплуатируемую. СМИ сообщают, что опубликован код доказательства концепции (PoC). Вывод этого сайта: если сервис на Node.js, Bun, Python или .NET распаковывает данные, полученные извне, обновите его сегодня, не дожидаясь окна обслуживания, затем пересоберите контейнеры и исполняемые файлы. Сайты на WordPress и PHP: компании по безопасности поясняют 2 ноября, что это не ошибка ядра WordPress, плагинов или тем, поэтому обновление WordPress её не исправляет. WordPress не включает Brotli и использует библиотеку операционной системы, так что обновите пакет libbrotli ОС, пересоберите контейнеры и после этого перезапустите PHP-FPM или Apache (перезапуск — наше дополнение). Одна компания воспроизвела выполнение кода в лаборатории через пингбеки XML-RPC и говорит, что на 2 ноября не нашла публичных сообщений о фактической компрометации сайта на WordPress.
Уязвимость CVE-2026-110447 во встроенном сервере CODE Collabora в Nextcloud используется в атаках: кто затронут и что делать
14 октября 2026 года разработчики Collabora Online раскрыли CVE-2026-110447, неаутентифицированную уязвимость инъекции команд ОС в приложении Nextcloud Collabora Online - Built-in CODE Server (ID приложения richdocumentscode). Через proxy.php приложения команды могут выполняться от имени пользователя веб-сервера. Условие: встроенный сервер CODE не запущен, что может произойти после перезапуска контейнера, обновления или сбоя. Затронуты версии до 26.4.303; версия 26.4.303 вышла 11 сентября. Разработчики заявляют, что отключение приложения не устраняет проблему, и просят обновить или удалить его. На Nextcloud 29 и более ранних версиях обновите Nextcloud или удалите приложение. По словам разработчиков, отдельные серверы Collabora Online, Docker-образы, пакеты RPM/DEB и Nextcloud All-in-One не затронуты. Оценка CVSS v4.0 — 9.2. 23 октября CISA добавило уязвимость в каталог известных эксплуатируемых уязвимостей (KEV) со сроком до 26 октября. Пользователи сообщали об атаках примерно с 10 сентября в репозитории разработчиков, а по данным СМИ, были установлены веб-шеллы. Вывод этого сайта: если установлено встроенное приложение CODE, даже отключенное, сегодня проверьте его версию, обновите или удалите его, затем проверьте следы с 10 сентября.
GitLab CVE-2026-110264 (CVSS 10.0) и эксплуатируемая CVE-2026-97229: как проверить и обновить самостоятельно развёрнутый GitLab
21 октября 2026 года GitLab выпустил критические патч-версии 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 и 18.11.13 для Community Edition (CE) и Enterprise Edition (EE). Самая серьёзная уязвимость, CVE-2026-110264 (CVSS 10.0), представляет собой целочисленное переполнение при компиляции специально сформированного регулярного выражения, которое при определённых условиях может позволить неаутентифицированному пользователю выполнить произвольный код на сервере GitLab. Затронуты почти все версии начиная с 7.0. 29 октября CISA добавила родственную уязвимость CVE-2026-97229 (CVSS 10.0, CWE-190) в каталог известных эксплуатируемых уязвимостей (KEV) со сроком 1 ноября. Это ошибка того же рода (целочисленное переполнение в компиляторе регулярных выражений CI/CD, доступное неаутентифицированному пользователю); GitLab исправил её раньше, 12 октября, в версиях 19.4.2, 19.3.5 и 19.2.8, и затронуты только 19.2.0–19.2.7, 19.3.0–19.3.4 и 19.4.0–19.4.1. Кто всё ещё на версиях ниже 19.4.2, 19.3.5 или 19.2.8, подвержен эксплуатируемой уязвимости. Обновление до рекомендованных здесь версий (19.5.1, 19.4.3, 19.3.6, 19.2.9) исправляет и CVE-2026-97229. GitLab.com уже исправлен; самостоятельно развёрнутые установки нужно обновить. Тот же выпуск от 21 октября исправляет две уязвимости высокой степени серьёзности (CVSS 8.2 и 7.5) и другие, но эти исправления есть только в ветках 19.3.6, 19.4.3 и 19.5.1. Корень проблемы — в движке регулярных выражений Ruby (Onigmo); 23 октября Ruby выпустил 4.0.9, 3.4.12 и 3.3.13. Затронуты приложения, которые компилируют regexp из строк, контролируемых злоумышленником, а Regexp.timeout от этих ошибок не защищает. В уведомлениях GitLab не сказано, что CVE-2026-110264 эксплуатировалась, и на 30 октября её нет в KEV. Alpine Linux сообщила, что на ее собственном GitLab 20 и 21 октября была попытка атаки через CVE-2026-97229 и что одно лишь обновление GitLab (до 19.3.6) не закрыло уязвимость, потому что для исправления нужен был еще и пропатченный Ruby; она пересобрала инстанс и не нашла свидетельств того, что код злоумышленника выполнялся. Вывод этого сайта: обновите самостоятельно развёрнутый GitLab сегодня, проверив обязательные остановки, доведите установку до 19.3.6 или новее, а если вы собираете GitLab сами или используете собственный Ruby, проверьте, что и Ruby не ниже 3.3.13, 3.4.12 или 4.0.9. Ruby-приложениям нужно перейти на исправленный Ruby и перестать формировать regexp из пользовательского ввода.
Эксплуатируется уязвимость VeloCloud Orchestrator CVE-2026-114625: исправленные версии и что проверить
22 октября 2026 года Arista раскрыла CVE-2026-114625 — уязвимость типа SQL-инъекция (CVSS v4.0 9.4, v3.1 9.9) в локальной (on-premises) версии VeloCloud Orchestrator (VCO), платформы управления SD-WAN. По данным Arista, компания сама обнаружила проблему, и о ней известно, что она активно эксплуатируется. Любой аутентифицированный пользователь, вплоть до самой низкой встроенной роли арендатора (Enterprise Read Only), может получить права оператора и выдать себя за локального оператора-суперпользователя. Исправленные выпуски: 5.2.3.18, 6.1.3.10 и 6.4.2.12. В бюллетене сказано, что выпуски, не указанные в списке, не уязвимы; ветка 7.0 в списке отсутствует, причина не названа. Облачный (hosted) VCO, включая Dedicated, уже обновлён. CISA добавило уязвимость в каталог Known Exploited Vulnerabilities (KEV) 23 октября со сроком устранения 26 октября. Это третья эксплуатируемая уязвимость VCO за три месяца после CVE-2026-16812 в июле (внедрение команд ОС, без аутентификации, CVSS 10.0) и CVE-2026-93952 в сентябре (неправильная проверка входных данных, без аутентификации, CVSS v3.1 10.0). Вывод этого сайта: организациям, использующим VCO on-prem, следует сегодня перейти на последний исправленный выпуск своей ветки, ограничить интерфейс управления доверенными административными сетями, а перед обновлением сохранить журналы и проверить систему на компрометацию.
Эксплуатируемые уязвимости периферийных устройств, середина октября 2026: Ivanti, PAN-OS, FortiOS, Cisco
С 13 по 16 октября 2026 года CISA добавила в каталог известных эксплуатируемых уязвимостей (Known Exploited Vulnerabilities, KEV) четыре уязвимости в широко используемых периферийных устройствах (оборудовании на границе между сетью и интернетом): Ivanti Connect Secure CVE-2026-104935 (обход аутентификации, вход не нужен, CVSS 8.6), Palo Alto Networks PAN-OS CVE-2026-0322 (выполнение кода в интерфейсе управления, нужен вход с высокими привилегиями, CVSS v4.0 8.6), Fortinet FortiOS и связанные продукты CVE-2025-61624 (обход пути, нужен вход администратора, CVSS 6.0) и Cisco Secure Email Gateway CVE-2026-76519 (запись произвольного файла, вход не нужен, CVSS 9.8). 15 октября следом была добавлена Atlassian Data Center CVE-2026-21589 (чтение файлов, вход не нужен). Все федеральные сроки уже истекли. Вывод этого сайта: если вы используете любой из этих пяти продуктов, сегодня же перейдите на исправленную версию, ограничьте доступ к управлению административными сетями и проверьте устройство на компрометацию до обновления.
Компрометация промежуточных CA eMudhra (emSign): что делать пользователям Python с pip, certifi и uv
17 октября 2026 года появилось сообщение о том, что закрытые ключи восьми промежуточных сертификатов индийского центра сертификации eMudhra (шесть для TLS) были сгенерированы настолько плохо, что любой мог их восстановить. eMudhra отозвала все восемь 18 октября, а Chrome и Firefox заблокировали их 17 октября через механизмы push-обновлений. 20 октября Mozilla приняла решение об экстренном исключении доверия к родительскому корневому сертификату emSign ECC Root CA - G3, а Chrome удалит его 27 октября (по тихоокеанскому времени). Браузеры защищены, но TLS-клиенты вне браузера могут доверять поддельным сертификатам, пока не обновится их собственная копия списка CA. В Python pip всегда загружает встроенную копию certifi, поэтому старый pip остаётся уязвимым даже после исправления системного хранилища. Проекты Python опубликовали уведомление 20 октября (обновлено до 22 октября), в котором просят пользователей обновиться как минимум до certifi 2026.10.19, pip 26.2.2, uv 0.13.4, sigstore 4.5.1, conda 26.9.4 и pixi 0.82.1 и пересобрать образы контейнеров без кеша слоёв. 21 октября они выпустили Python 3.15.1, 3.14.9 и 3.13.17 со встроенным pip 26.2.2. Выпуска 3.11 или 3.12 с более новым pip не будет. Это не ошибка выполнения кода в CPython: злоумышленник, находящийся на сетевом пути, может перенаправить соединения с PyPI, python.org и других сайтов на поддельный сервер. По состоянию на 24 октября эксплуатация не была объявлена. 22 октября eMudhra сообщила, что уходит с глобального рынка сертификатов SSL/TLS. Мнение этого сайта: обновите pip до 26.2.2 или новее и certifi до 2026.10.19 или новее во всех окружениях, пересоберите образы Docker без кеша и поднимите все закрепления certifi в lock-файлах.
Уязвимость CVE-2026-106931 в SiteGuard Server Edition используется в атаках: кого она касается и что делать
14 октября 2026 года EG Secure Solutions раскрыла CVE-2026-106931 — уязвимость внедрения команд ОС в функции статистики SiteGuard Server Edition, своего межсетевого экрана веб-приложений (WAF) уровня хоста, и сообщила, что эксплуатация уже подтверждена. Эксплуатация может позволить выполнять произвольные команды ОС с правами root или SYSTEM на сервере, где работает продукт. Затронуты версии Ver2.20 и новее с включённой функцией статистики (по умолчанию она включена): выпуски для Apache, Nginx и IIS до Ver8.00 Update5 и выпуски для FreeBSD Apache и Nginx до Ver7.00 Update6. Выпуск для IIS с Ver3.10 по Ver4.00 Update4 не затронут. Исправления — Ver8.00 Update5 и Ver7.00 Update6; для систем, которые нельзя обновить, доступен патч, в том числе для версий, снятых с поддержки. Производитель оценивает уязвимость как локальный вектор атаки с низкими требуемыми привилегиями (CVSS v3.0 7.8, v4.0 8.5). JPCERT/CC выпустил предупреждение, сообщив, что подтвердил широкое использование продукта в Японии, и что отключение функции статистики позволяет избежать проблемы. CISA добавила уязвимость в каталог известных эксплуатируемых уязвимостей (KEV) 20 октября со сроком 23 октября. Вывод этого сайта: если вы используете Server Edition, сегодня же проверьте версию и функцию статистики, сохраните диагностические данные перед обновлением, затем установите исправленную версию или патч.
[Срочно] Уязвимости PHP CVE-2026-109618 и CVE-2026-109619 уже эксплуатируются и добавлены в каталог KEV CISA. Обновите до 8.5.12, 8.4.27, 8.3.36 или 8.2.35 немедленно
21 октября 2026 года команда безопасности PHP выпустила PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35, которые устраняют две критические уязвимости, позволяющие выполнять удаленный код без аутентификации (RCE), и призвала всех пользователей немедленно обновиться. CVE-2026-109618 связана с обработкой нехватки памяти, CVE-2026-109619 связана с устаревшим внутренним состоянием, сохраняющимся между запросами; обе оценены в 9,2 по CVSS v4.0. Под угрозой находятся все установки PHP, обрабатывающие веб-запросы (PHP-FPM, Apache mod_php, php-cgi, FrankenPHP, LiteSpeed). Команда считает mod_php наиболее опасным вариантом, ссылаясь на продемонстрированный эксплойт, в котором запрос без аутентификации запускает атаку до выполнения какого-либо кода приложения. Официальных обновлений для PHP 8.1 и более старых версий не выпущено; команда предоставила минимальные бэкпорты исходного кода для 7.4, 8.0 и 8.1. Дистрибутивы Linux получили патчи заранее. Полного способа защиты нет, обновление — единственный безопасный вариант. 22 октября IPA и JPCERT/CC Японии выпустили предупреждения, а JVN опубликовала JVNVU#99905564. CISA, которая не наблюдала эксплуатацию на момент первой публикации своего предупреждения, 26 октября добавила обе уязвимости в каталог Known Exploited Vulnerabilities (KEV) и установила для федеральных гражданских ведомств США срок до 29 октября. По сообщениям СМИ, на honeypot-системах исследователя безопасности с неисправленным PHP 8.4.26 под mod_php 24 октября было зафиксировано успешное удаленное выполнение кода. Honeypot-системы крупного облачного провайдера фиксировали попытки эксплуатации начиная с 17 октября, за четыре дня до раскрытия. Насколько удалось установить этому сайту, по состоянию на 27 октября ни один взлом за пределами honeypot-систем не был обнародован. Большинство крупных японских провайдеров общего хостинга сообщили, что исправление применено, однако некоторые, например KAGOYA, этого не сделали. 23 октября команда PHP раскрыла третью проблему (CVE-2026-115560), которую выпуски от 21 октября не устраняют. Она может привести к выполнению кода только при определенном сочетании конфигурации и кода приложения; команда считает такой сценарий маловероятным на практике, исправление и полное описание выйдут со следующим регулярным релизом, а до тех пор рекомендуется установить session.upload_progress.enabled=0. Затронутые версии и оценка CVSS не опубликованы, сообщений об эксплуатации нет. По состоянию на 29 октября (проверено на php.net) исправленный релиз для этой проблемы еще не вышел. 28 октября CISA также внесла уязвимость ядра Linux CVE-2026-46300 в KEV (срок для федеральных ведомств США — 31 октября) и сообщила, что её можно использовать в цепочке с этими двумя уязвимостями, чтобы внедрять PHP-веб-шеллы и выполнять команды с правами root. Мнение этого сайта: эксплуатация теперь подтверждена, поэтому выясните, обновляете ли PHP для каждого сайта вы или ваш провайдер, и перейдите на исправленную версию сегодня. Также проверьте логи с 17 октября и далее на признаки взлома. На общем хостинге проверьте уведомление провайдера о завершении работ на его официальном сайте.
Массовая утечка MOVEit (2023) — как zero-day SQL-инъекция достигла 2700+ организаций и как защититься
Входом стала zero-day SQL-инъекция (CVE-2023-34362) в выходящем в интернет MOVEit Transfer. Был установлен веб-шелл (LEMURLOOT), и данные массово украдены из базовой БД, затронув 2700+ организаций и ~93,3 млн человек. Большинство жертв задеты косвенно, потому что MOVEit использовал поставщик. В вашей среде: быстрый патчинг KEV, минимизация открытости, минимальные привилегии и сегментация web↔БД, инвентаризация поставщиков и минимизация данных.
Что такое CORS — как он работает и что открывает неправильная настройка
CORS — это то, как браузер управляет тем, может ли JS другого источника читать ответы вашего API. Неправильная настройка — отражение любого Origin или Access-Control-Allow-Origin:* с учётными данными — позволяет стороннему сайту читать данные с активным сеансом. Базовая защита: allowlist, не отражать Origin вслепую, запрет по умолчанию.
Что такое фиксация сессии — заставить жертву войти с ID, который атакующий уже знает
Фиксация сессии заставляет жертву использовать известный атакующему ID сессии, а затем выдаёт себя за неё после её входа с этим ID. Основная защита: регенерировать ID сессии при входе (и при смене привилегий). Не принимайте ID из URL и выставляйте cookie флаги HttpOnly/Secure/SameSite.
Что такое кликджекинг? Атака, заставляющая нажимать кнопки на прозрачной странице, наложенной поверх другой
Кликджекинг невидимо накладывает ваш настоящий сайт поверх страницы злоумышленника, чтобы пользователь выполнил непреднамеренное действие (перевод, изменение настроек, согласие). Основная защита — отказ помещаться во фрейм: CSP frame-ancestors плюс X-Frame-Options.
Что такое IDOR: уязвимость, раскрывающая чужие данные при изменении идентификатора
IDOR позволяет пользователю изменить ?id=124 на 125 и прочитать чужой счёт или персональные данные — нарушение контроля доступа. Основная защита: на сервере при каждом доступе проверять, разрешён ли вошедшему пользователю этот объект. Трудноугадываемые идентификаторы — не решение.
Что такое открытый редирект: уязвимость, перенаправляющая пользователей с вашего доверенного URL на чужой сайт
Открытый редирект позволяет параметру вроде ?next= перенаправить пользователя на любой внешний сайт, заимствуя доверие к вашему домену для фишинга. Основная защита: никогда не принимать внешние URL как цель редиректа; только относительные пути и allowlist.
Что такое path traversal — чтение файлов, которые сервер не должен отдавать, через ../
Path traversal подмешивает ../ во ввод имени файла, чтобы выйти из базового каталога и читать/писать .env, конфиги или ключи. Основная защита: никогда не использовать пользовательский ввод как сырой путь к файлу и нормализовать-затем-ограничивать внутри разрешённого базового каталога.
Что такое CSRF (Cross-Site Request Forgery): атака, заставляющая вошедшего пользователя отправлять запросы, которых он не собирался отправлять
CSRF заставляет браузер вошедшего пользователя отправить непреднамеренное действие, злоупотребляя привычкой браузера автоматически прикреплять куки. Основная защита — CSRF-токены плюс куки SameSite. Никогда не используйте GET для изменений состояния.
Что такое SQL-инъекция (SQLi): уязвимость, позволяющая вводу переписать команды вашей базы данных
SQLi — это когда ввод читается как «часть команды», а не данные, меняя смысл запроса и напрямую ведя к чтению/изменению/удалению. Основная защита — перестать склеивать SQL строками и передавать значения через плейсхолдеры (подготовленные выражения).
Что такое XSS (Cross-Site Scripting): уязвимость, при которой скрипт атакующего выполняется в браузере другого пользователя
XSS заставляет подставленную атакующим строку выполниться «как скрипт» в браузере другого пользователя, что напрямую ведёт к краже сессии и выдаче себя за него. Основная защита — экранирование на выводе. Не отключайте авто-экранирование вашего фреймворка.
Что такое CVE? Как устроена общая система идентификаторов уязвимостей
CVE — это глобально общий идентификатор уязвимости (например, CVE-2025-12345). CVE = имя, CVSS = серьёзность, KEV = эксплуатируется ли она. Это якорь для мониторинга. Отслеживайте машинами, а не вручную.
Что такое CVSS? Оценка серьёзности уязвимости и как она вычисляется
CVSS оценивает серьёзность от 0.0 до 10.0. Оценка вычисляется из определённых метрик (вектор атаки, сложность, привилегии, взаимодействие пользователя, область, воздействие на CIA) по публичной формуле — а не на глаз. Зная шкалу, вы поймёте, что означает 10.0. И всё же расставляйте приоритеты по KEV (эксплуатируется ли она) и тому, используете ли вы её.
Что такое RCE (Remote Code Execution) — почему это худший класс багов
RCE позволяет атакующему выполнить произвольный код на вашем сервере — прямой путь к захвату, худший класс. То, насколько далеко распространится ущерб, задаётся привилегиями работающего процесса. Главные средства защиты — быстрые патчи, мониторинг CVE и минимум привилегий.
Что такое SSRF (Server-Side Request Forgery)
SSRF злоупотребляет URL из внешнего ввода, чтобы заставить сервер обратиться к внутренним ресурсам (внутренние IP, облачные метаданные). Если вы загружаете URL, нужен allowlist назначений, блокировка внутренних целей и защита от обхода через редиректы/DNS-rebinding. Это стало причиной утечки Capital One.
Утечка Equifax (2017) — как неустановленное исправление Apache Struts привело к утечке данных 147M человек
Причиной стал известный, уже исправленный CVE (CVSS 10.0), оставленный без установки в публичной системе. Истёкший сертификат мониторинга скрывал эксфильтрацию 76 дней. В вашей среде: инвентаризация активов, SLA на патчинг, машинный мониторинг и работоспособное обнаружение.
Heartbleed (CVE-2014-0160) — баг OpenSSL, через который утекала память сервера
Чтение памяти за границей в OpenSSL могло раскрыть приватные ключи и сессии. Причина: сервер доверял заявленной длине и читал соседнюю память. Урок: действуйте так, будто утекло всё (перевыпускайте сертификаты, ротируйте все секреты), отслеживайте широко используемые базовые библиотеки и цените безопасность работы с памятью.
Log4Shell (CVE-2021-44228) — уязвимость библиотеки логирования и почему командам было трудно быстро понять, используют ли они её
Баг CVSS 10.0 в Log4j. Главная проблема — транзитивная зависимость: быть затронутым через библиотеку, об использовании которой вы не знали. Пассивный путь логирования стал вектором атаки. SBOM, машинный мониторинг, быстрый патчинг и отслеживание последующих CVE — вот уроки.
Бэкдор XZ Utils (CVE-2024-3094) — атака на цепочку поставок со стороны доверенного со-мейнтейнера
Доверенный мейнтейнер внедрил бэкдор в xz — это атака на цепочку поставок. Один инженер заметил, что вход стал медленным, и нашёл бэкдор прямо перед стабильными релизами. Целью был не код, а люди и доверие. Минимизируйте зависимости, закрепляйте версии, собирайте воспроизводимо, разбирайтесь в аномалиях и поддерживайте мейнтейнеров.