🤖Про небезопасность Как вы знаете, в последнее время пол интернета шатает из-за бесконечного количества уязвимостей, которые находят ИИ агенты.
Так как взломов было настолько много, что тяжело подробно описать все, то предлагаю ограничиться довольно длинным обзорным списком:
Citrix NetScaler ADC/Gateway — CVE-2026-88771 / 88772 («PitScaler»)
88771 — RCE без аутентификации на всех инсталляциях NetScaler ADC и Gateway. 88772 — переполнение памяти, которое при включённом DTLS ведёт к RCE или DoS. CVSS 9.5. До выхода патчей 88771 эксплуатировали как zero-day минимум три недели. На GitHub уже лежат публичные PoC. Злоумышленники ставят PHP-вебшеллы вроде WHIPSHOT и Python-туннелер SLAPSHOT. Фикс: 14.1-73.37 и 13.1-64.23.
Ivanti Connect Secure — CVE-2026-104935
Цепочка из обхода аутентификации и RCE на корпоративном VPN. Формально это только high (8.6), но эксперты требуют ставить её в приоритет. Эксплуатация началась не позже 1 октября. Integrity Checker от Ivanti может её не увидеть, потому что команды выполняются в памяти. Третья уязвимость цепочки (повышение привилегий) пока без патча, его обещают «в ближайшие недели».
BeyondTrust Remote Support — CVE-2026-102764
Связанная с Китаем группировка эксплуатировала баг 47 дней до раскрытия: атаки начались 29 августа, раскрытие было 15 октября. CVSS 9.3.
Fortinet FortiMail — CVE-2026-104286
Запись произвольных файлов без аутентификации, CVSS 9.8. Использовалась в zero-day атаках.
Windows Shell — CVE-2026-96951
Обход Mark of the Web, CVSS 8.8. Единственный эксплуатируемый zero-day октябрьского Patch Tuesday.
Nextcloud (встроенный Collabora CODE Server) — CVE-2026-110447
Админы находили вебшеллы с 10 сентября. CERT Polska пишет, что уязвимость используют для ransomware-атак и захвата серверов.
PHP2Shell — CVE-2026-109618 / 109619
Две уязвимости в самом PHP: RCE через специально сформированный HTTP-запрос без логина. Оценка 9.2. Исправлено в 8.5.12, 8.4.27, 8.3.36 и 8.2.35 (21 октября). Детали утекли 20 октября, до выхода фикса. Цифра CVSS 10, которая гуляла в соцсетях, тоже из утечки. Корень проблемы — use-after-free в механизме session upload progress, рабочий PoC уже на GitHub.
GitLab — CVE-2026-110264, CVSS 10.0
RCE без логина на self-managed, затронуты все версии начиная с 7.0 (2014 год). Важно: если вы обновились 12 октября, вы снова в зоне риска. Причина — целочисленное переполнение в компиляторе регулярок Ruby. Фикс: 19.5.1 плюс шесть бэкпортов.
Cisco Expressway — CVE-2026-76466, CVSS 9.8
Неаутентифицированный атакующий с сетевым доступом выполняет команды ОС от root.
Microsoft Patch Tuesday
Рекорд: 1 413 уязвимостей. Среди них QUIC RCE CVE-2026-100219 и CVE-2026-105016 с CVSS 9.8. Ещё пять RCE в Outlook с оценкой 9.8. Для Windows 11 24H2 Home и Pro это последнее обновление.
Oracle CPU (20 октября)
CVSS 9.9 в Siebel CRM, SOA Suite и Essbase.
Apache Traffic Server — CVE-2026-111813, CVSS 10
Актуально только если сервер собран с экспериментальными плагинами и включён magick без ключа подписи
🔐 Компрометация CA eMudhra (мое любимое)
Приватные ключи восьми промежуточных сертификатов оказались настолько слабыми, что восстанавливаются почти мгновенно. У одного из них ключ буквально равен 4. Браузеры уже заблокировали эти сертификаты. Свои сборки нужно обновить: Go 1.27.3/1.26.10 (CVE-2026-111943), certifi 2026.10.19. CA-бандлы в контейнерах тоже.
Claude Agent SDK (Python) — CVE-2026-96620, 9.2
Параметр resume передаётся в CLI без валидации. Через него можно подсунуть флаг --mcp-config с stdio MCP-сервером и выполнить произвольные команды в обход permission-контролей SDK. Фикс в 0.2.121. Опасно, если session ID приходит от пользователя.
OpenCode — RCE через вредоносный MCP-сервер
Заражённый MCP-сервер выполнял код на машине разработчика с Windows/WSL во время входа. Затронуты версии 1.0.137–1.18.32. CVE не запрашивали, поэтому сканеры уязвимость не покажут. Pillar оценивает её в 9.8.
Так что обновляемся.
А вообще предлагаю поставить черный заслон (кто знает — тот знает)
#security
@techn0danya
