Обзор критических уязвимостей и активных атак

🤖Про небезопасность Как вы знаете, в последнее время пол интернета шатает из-за бесконечного количества уязвимостей, которые находят ИИ агенты. Так как взломов было настолько много, что тяжело подробно описать все, то предлагаю ограничиться довольно длинным обзорным списком: Citrix NetScaler ADC/Gateway — CVE-2026-88771 / 88772 («PitScaler») 88771 — RCE без аутентификации на всех инсталляциях NetScaler ADC и Gateway. 88772 — переполнение памяти, которое при включённом DTLS ведёт к RCE или DoS. CVSS 9.5. До выхода патчей 88771 эксплуатировали как zero-day минимум три недели. На GitHub уже лежат публичные PoC. Злоумышленники ставят PHP-вебшеллы вроде WHIPSHOT и Python-туннелер SLAPSHOT. Фикс: 14.1-73.37 и 13.1-64.23. Ivanti Connect Secure — CVE-2026-104935 Цепочка из обхода аутентификации и RCE на корпоративном VPN. Формально это только high (8.6), но эксперты требуют ставить её в приоритет. Эксплуатация началась не позже 1 октября. Integrity Checker от Ivanti может её не увидеть, потому что команды выполняются в памяти. Третья уязвимость цепочки (повышение привилегий) пока без патча, его обещают «в ближайшие недели». BeyondTrust Remote Support — CVE-2026-102764 Связанная с Китаем группировка эксплуатировала баг 47 дней до раскрытия: атаки начались 29 августа, раскрытие было 15 октября. CVSS 9.3. Fortinet FortiMail — CVE-2026-104286 Запись произвольных файлов без аутентификации, CVSS 9.8. Использовалась в zero-day атаках. Windows Shell — CVE-2026-96951 Обход Mark of the Web, CVSS 8.8. Единственный эксплуатируемый zero-day октябрьского Patch Tuesday. Nextcloud (встроенный Collabora CODE Server) — CVE-2026-110447 Админы находили вебшеллы с 10 сентября. CERT Polska пишет, что уязвимость используют для ransomware-атак и захвата серверов. PHP2Shell — CVE-2026-109618 / 109619 Две уязвимости в самом PHP: RCE через специально сформированный HTTP-запрос без логина. Оценка 9.2. Исправлено в 8.5.12, 8.4.27, 8.3.36 и 8.2.35 (21 октября). Детали утекли 20 октября, до выхода фикса. Цифра CVSS 10, которая гуляла в соцсетях, тоже из утечки. Корень проблемы — use-after-free в механизме session upload progress, рабочий PoC уже на GitHub. GitLab — CVE-2026-110264, CVSS 10.0 RCE без логина на self-managed, затронуты все версии начиная с 7.0 (2014 год). Важно: если вы обновились 12 октября, вы снова в зоне риска. Причина — целочисленное переполнение в компиляторе регулярок Ruby. Фикс: 19.5.1 плюс шесть бэкпортов. Cisco Expressway — CVE-2026-76466, CVSS 9.8 Неаутентифицированный атакующий с сетевым доступом выполняет команды ОС от root. Microsoft Patch Tuesday Рекорд: 1 413 уязвимостей. Среди них QUIC RCE CVE-2026-100219 и CVE-2026-105016 с CVSS 9.8. Ещё пять RCE в Outlook с оценкой 9.8. Для Windows 11 24H2 Home и Pro это последнее обновление. Oracle CPU (20 октября) CVSS 9.9 в Siebel CRM, SOA Suite и Essbase. Apache Traffic Server — CVE-2026-111813, CVSS 10 Актуально только если сервер собран с экспериментальными плагинами и включён magick без ключа подписи 🔐 Компрометация CA eMudhra (мое любимое) Приватные ключи восьми промежуточных сертификатов оказались настолько слабыми, что восстанавливаются почти мгновенно. У одного из них ключ буквально равен 4. Браузеры уже заблокировали эти сертификаты. Свои сборки нужно обновить: Go 1.27.3/1.26.10 (CVE-2026-111943), certifi 2026.10.19. CA-бандлы в контейнерах тоже. Claude Agent SDK (Python) — CVE-2026-96620, 9.2 Параметр resume передаётся в CLI без валидации. Через него можно подсунуть флаг --mcp-config с stdio MCP-сервером и выполнить произвольные команды в обход permission-контролей SDK. Фикс в 0.2.121. Опасно, если session ID приходит от пользователя. OpenCode — RCE через вредоносный MCP-сервер Заражённый MCP-сервер выполнял код на машине разработчика с Windows/WSL во время входа. Затронуты версии 1.0.137–1.18.32. CVE не запрашивали, поэтому сканеры уязвимость не покажут. Pillar оценивает её в 9.8. Так что обновляемся. А вообще предлагаю поставить черный заслон (кто знает — тот знает) #security @techn0danya