← Архив

#cve

9 ноября 2026 г.November 9, 2026 день целиком 1 новостьstory

• Безопасность sshole начали массово перебирать: в логах honeypot — длинные пароли с командамиsshole is being mass-scanned: honeypots log long passwords containing shell commands После раскрытия CVE-2026-123158 honeypot-сети фиксируют резкий рост попыток входа по SSH с необычно длинными паролями, часть из них содержит shell-команды. Первые попытки эксплуатации отмечены 5 ноября, источники — множество адресов из разных автономных систем; исправление по-прежнему одно — OpenSSH 10.6p2.Since CVE-2026-123158 was disclosed, honeypot networks have recorded a sharp rise in SSH login attempts with unusually long passwords, some containing shell commands. The first exploitation attempts appeared on 5 November from many addresses across different autonomous systems; the fix is still OpenSSH 10.6p2.

8 ноября 2026 г.November 8, 2026 день целиком 1 новостьstory

• Безопасность Важно Эксплуатируется SonicWall: обход SAML-аутентификации в SSL-VPN эксплуатируют, CISA дала срок до 20 ноябряSonicWall: SAML authentication bypass in SSL-VPN is exploited, CISA sets 20 November deadline CVE-2026-19868 в SonicOS позволяет обойти SAML-аутентификацию, включая MFA, имея действующие учётные данные другого метода входа. Уязвимость уже эксплуатируют, CISA внесла её в KEV; патчи вышли в 7.3.4-7013 и 8.2.3-8015, обходных путей нет.CVE-2026-19868 in SonicOS lets an attacker bypass SAML authentication, including MFA, with valid credentials for another login method. It is being exploited, CISA added it to KEV, and fixes shipped in 7.3.4-7013 and 8.2.3-8015, with no workarounds.

7 ноября 2026 г.November 7, 2026 день целиком 1 новостьstory

• Безопасность Firecracker: побег из microVM до root на хосте — но только без jailerFirecracker: escape from a microVM to host root — but only without the jailer Опубликован proof of concept побега из microVM Firecracker (CVE-2026-99999): гость может выбраться на хост и выполнить код с правами root. Условие узкое — Firecracker запущен от root и без jailer, что для продакшена всё же встречается.A proof of concept for escaping a Firecracker microVM (CVE-2026-99999) has been published: a guest can break out to the host and run code as root. The condition is narrow — Firecracker running as root without the jailer — yet it does occur in production.

6 ноября 2026 г.November 6, 2026 день целиком 4 новостиstories

• Безопасность Важно sshhole: в OpenSSH на musl-системах любой длинный пароль открывал учётные записи без пароляsshhole: on musl systems OpenSSH accepted any long password for passwordless accounts Уязвимость sshhole, жившая с 2016 года, позволяла войти в учётную запись с паролем «*», если ввести от 257 до 1024 символов. Под ударом Alpine, OpenWrt, Buildroot, Yocto и множество Docker-образов; исправление — в OpenSSH 10.6p2.The sshhole flaw, present since 2016, allowed logging into an account whose password is "*" by entering 257 to 1024 characters. Alpine, OpenWrt, Buildroot, Yocto and many Docker images are affected; the fix is in OpenSSH 10.6p2.
• Безопасность Важно Эксплуатируется Zyxel GS1900: неаутентифицированный RCE с правами root, атакованы почти тысяча коммутаторовZyxel GS1900: unauthenticated root RCE, with nearly a thousand switches attacked В веб-интерфейсе коммутаторов Zyxel GS1900 нашли CVE-2026-107441: неаутентифицированный атакующий выполняет команды с правами root. GreyNoise видит атаки на 996 устройств в 48 странах, а первый патч Zyxel проблему не закрыл.CVE-2026-107441 in the Zyxel GS1900 web interface lets an unauthenticated attacker run commands as root. GreyNoise sees attacks on 996 devices across 48 countries, and Zyxel's first patch did not close the hole.
• Безопасность Важно В APT нашли дыру: подмена «проверенных» пакетов даёт root в Debian и UbuntuA hole in APT lets a man-in-the-middle swap 'verified' packages and gain root on Debian and Ubuntu CVE-2026-109518 (CVSS 7.7) в пакетном менеджере APT позволяет атакующему в позиции man-in-the-middle подменить пакет, который система считает проверенным, и выполнить код с правами root. Уязвимость включена по умолчанию в Debian 12 и Ubuntu 22.04 и новее; исправления уже вышли.CVE-2026-109518 (CVSS 7.7) in the APT package manager lets a man-in-the-middle substitute a package the system considers verified and run code as root. The flaw is on by default in Debian 12 and Ubuntu 22.04 and later; fixes are available.
• Безопасность Важно Xen: две уязвимости в grant copy позволяют виртуальной машине читать и писать память других, включая dom0Xen: two grant-copy flaws let a guest VM read and write other VMs' memory, including dom0 CVE-2026-102703 и CVE-2026-102704 в гипервизоре Xen позволяют вредоносной гостевой системе выйти за свои границы и получить доступ к памяти других ВМ, включая dom0. Уязвимости нашёл Anthropic с помощью Claude; для Xen 4.6–4.16 патчей нет.CVE-2026-102703 and CVE-2026-102704 in the Xen hypervisor let a malicious guest VM step outside its bounds and access other VMs' memory, including dom0. Anthropic found them with Claude; there are no patches for Xen 4.6 through 4.16.

5 ноября 2026 г.November 5, 2026 день целиком 2 новостиstories

• Безопасность Важно Эксплуатируется WordPress: RCE через гонку в обновлении ядра уже в CISA KEV, нужна 7.1.4WordPress: an upgrade-window RCE is already in CISA KEV, 7.1.4 required CVE-2026-119977 — состояние гонки в процессе обновления ядра WordPress, позволяющее неаутентифицированному атакующему выполнить код во время апгрейда. 3 ноября CISA внесла уязвимость в каталог эксплуатируемых; исправления вышли в 7.1.4 и бэкпортах для веток с 4.7.CVE-2026-119977 is a race condition in WordPress core updates that lets an unauthenticated attacker run code during the upgrade. On 3 November CISA added it to the known-exploited catalog; fixes shipped in 7.1.4 and backports for branches from 4.7.
• Безопасность Важно Barracuda закрыла две уязвимости, которые вместе дают root на почтовом шлюзе и других продуктахBarracuda patched two flaws that together grant root on its email gateway and other products Barracuda выпустила патчи для CVE-2026-116606 (обход авторизации, CVSS 9.3, Email Security Gateway) и CVE-2026-111560 (инъекция команд, CVSS 8.6, шесть продуктов). По отдельности они требуют доступа к админ-интерфейсу, вместе позволяют получить root на устройстве.Barracuda released patches for CVE-2026-116606 (authorisation bypass, CVSS 9.3, Email Security Gateway) and CVE-2026-111560 (command injection, CVSS 8.6, six products). Individually they need admin interface access; combined they grant root on the device.

4 ноября 2026 г.November 4, 2026 день целиком 3 новостиstories

• Безопасность Важно Эксплуатируется Критическую дыру в Node-RED эксплуатируют: на серверы ставят Linux-бота и веб-шеллыCritical Node-RED flaw is being exploited to plant a Linux bot and web shells VulnCheck поймала эксплуатацию CVE-2026-58115 с оценкой 10.0: атакующий одним запросом разворачивает flow, который скачивает и запускает бинарь. Под ударом не только серверы автоматизации, но и промышленные устройства с Node-RED внутри.VulnCheck caught exploitation of CVE-2026-58115, rated 10.0: a single request deploys a flow that downloads and runs a binary. The target is not only automation servers but industrial devices with Node-RED inside.
• Безопасность Эксплуатируется StyleSmuggler: через дыру в Magento ставят PSK Agent RAT и превращают магазины в плацдармStyleSmuggler: a Magento flaw is used to drop PSK Agent RAT and turn stores into footholds Imperva описала кампанию StyleSmuggler: через CVE-2026-75650 атакуют Magento и Adobe Commerce, ставят веб-шеллы и RAT PSK Agent, а успех проверяют через DNS. Пострадавшие есть в Западной Европе, Северной Америке и Азиатско-Тихоокеанском регионе.Imperva described the StyleSmuggler campaign: CVE-2026-75650 is used against Magento and Adobe Commerce to plant web shells and the PSK Agent RAT, with success confirmed via DNS. Victims are reported in Western Europe, North America and Asia-Pacific.
• Безопасность Эксплуатируется В WordPress-плагине CryptoPayment нашли дыру, которую уже используют: он удалён из каталога, но патча нетA CryptoPayment WordPress plugin flaw is already being exploited: pulled from the directory, still unpatched CVE-2026-81648 в плагине CryptoPayment Gateway позволяет без аутентификации удалять файлы и вытаскивать данные кошельков. Плагин закрыли в каталоге WordPress 28 августа, но его продолжают скачивать, а исправления так и нет.CVE-2026-81648 in the CryptoPayment Gateway plugin lets unauthenticated attackers delete files and extract wallet credentials. The plugin was closed in the WordPress directory on 28 August but is still being downloaded, and no patch exists.

2 ноября 2026 г.November 2, 2026 день целиком 2 новостиstories

• Безопасность Важно В LXD, MicroCloud и Incus нашли обход mTLS с оценкой 10.0: чужой сертификат выдаёт за доверенного клиентаLXD, MicroCloud and Incus mTLS bypass rated 10.0 lets a public certificate impersonate a trusted client CVE-2026-112816 в HTTPS-API LXD, MicroCloud и Incus позволяет аутентифицироваться как доверенный клиент, не имея его приватного ключа: достаточно открытого сертификата, который не является секретом. Атакующий с доступом к API может получить root на хосте и контроль над кластером.CVE-2026-112816 in the LXD, MicroCloud and Incus HTTPS APIs lets an attacker authenticate as a trusted client without its private key: the public certificate is enough and is not a secret. With network access to the API, an attacker may gain root on the host and control of the cluster.
• DevOps Gitea 28.3.0 закрыла больше десятка дыр — в основном вокруг областей действия токеновGitea 28.3.0 fixes more than a dozen flaws, mostly around token scopes В Gitea 28.3.0 вошла большая пачка исправлений безопасности: токены с ограниченной областью действия обходили проверки, а токен CI-задачи мог видеть все приватные репозитории инстанса. Один из багов — запуск workflow с секретами из чужого коммита — нашла Anthropic.Gitea 28.3.0 ships a large batch of security fixes: scoped tokens bypassed checks, and an Actions job token could list every private repository on the instance. One flaw — workflows running with secrets from an attacker's commit — was reported by Anthropic.

1 ноября 2026 г.November 1, 2026 день целиком 1 новостьstory

• Безопасность Важно В ядре Linux — TCP use-after-free с оценкой 9.8: Ubuntu и RHEL остались без патчаLinux kernel TCP use-after-free rated 9.8: Ubuntu and RHEL still have no fix CVE-2026-98432 — use-after-free в обработке TCP-соединений IPv4: удалённый неаутентифицированный пир может испортить память ядра или добиться выполнения кода. Исправление вышло 11–15 октября, но в ядрах Ubuntu и RHEL на 31 октября его не было.CVE-2026-98432 is a use-after-free in IPv4 TCP connection handling that lets an unauthenticated remote peer corrupt kernel memory or achieve code execution. The upstream fix landed on 11–15 October, yet Ubuntu and RHEL kernels still lacked it on 31 October.

31 октября 2026 г.October 31, 2026 день целиком 1 новостьstory

• Безопасность Важно Эксплуатируется Цепочку zero-day в Ivanti Connect Secure использовали для root-доступа и кражи учётных данныхIvanti Connect Secure zero-day chain used for root access and credential theft Volexity связала атаки на VPN-аппараты Ivanti с группой UTA0576: злоумышленники прошли аутентификацию, выполнили код и получили root, а затем собирали пароли LAPS и ключи BitLocker. Ivanti 29 октября раскрыла три CVE и выпустила патчи.Volexity has tied attacks on Ivanti VPN appliances to a group it calls UTA0576: the intruders bypassed authentication, executed code and gained root, then harvested LAPS passwords and BitLocker keys. Ivanti disclosed three CVEs and shipped fixes on 29 October.

30 октября 2026 г.October 30, 2026 день целиком 1 новостьstory

• Безопасность Эксплуатируется CISA внесла в KEV уязвимость ESXi с оценкой 2.7: она позволяет действовать без следов в журналахCISA adds a CVSS 2.7 ESXi flaw to KEV: it lets admins act without leaving log entries CVE-2026-41709 в VMware ESX сама по себе не даёт ни доступа, ни повышения прав. Но атакующий с правами администратора может выполнять часть операций без записи в журнал. CISA подтверждает эксплуатацию и требует обновиться до 11 ноября.CVE-2026-41709 in VMware ESX grants neither access nor privilege escalation, but an attacker with admin rights can perform some operations without them being logged. CISA confirms exploitation and sets an 11 November deadline.

29 октября 2026 г.October 29, 2026 день целиком 3 новостиstories

• Безопасность Важно Эксплуатируется CISA подтвердила эксплуатацию Node2Shell: уязвимость Brotli добавлена в KEV, срок для ведомств — 10 ноябряCISA confirms Node2Shell exploitation: Brotli flaw added to KEV with a November 10 federal deadline CVE-2026-111497 в декодере Brotli теперь в каталоге активно эксплуатируемых уязвимостей CISA. Imperva показала выполнение кода на официальной сборке Node.js без отладчика и модификаций — это уже не лабораторный PoC.CVE-2026-111497 in the Brotli decoder is now in CISA's Known Exploited Vulnerabilities catalog. Imperva showed code execution on an official, unmodified Node.js build, moving the bug beyond a lab proof of concept.
• Безопасность Важно 16-летняя уязвимость в PXE-драйвере EDK II позволяет выполнить код до Secure Boot на серверах с сетевой загрузкой16-year-old flaw in EDK II's PXE driver can run code before Secure Boot on network-booting servers CVE-2026-97631 (CVSS 9.5) — переполнение буфера при обработке ICMP-ошибок в сетевом загрузчике эталонной реализации UEFI. Исправление влито в основную ветку EDK II, но ни в один стабильный релиз пока не попало.CVE-2026-97631 (CVSS 9.5) is a buffer overflow in how the reference UEFI implementation's network boot driver handles ICMP errors. The fix is merged into EDK II main but not yet in any stable release.
• Безопасность Важно Хакеры начали искать Oracle E-Business Suite с непропатченной критической уязвимостью CVE-2026-101767Attackers start probing Oracle E-Business Suite for unpatched critical CVE-2026-101767 Через несколько дней после октябрьского CPU ловушки Defused Cyber зафиксировали попытки эксплуатации SQL-инъекции без аутентификации в EBS (CVSS 9.8). Уязвимость даёт выполнение команд на сервере и доступ к финансовым и кадровым данным.Days after Oracle's October CPU, Defused Cyber's honeypots caught exploitation attempts against an unauthenticated SQL injection in EBS (CVSS 9.8). The flaw leads to command execution and access to financial and HR data.

27 октября 2026 г.October 27, 2026 день целиком 2 новостиstories

• Безопасность Важно PHP2Shell: критические RCE в PHP уже эксплуатируются, CISA внесла их в KEVPHP2Shell: critical PHP RCE flaws now exploited in the wild, added to CISA KEV Две уязвимости PHP с оценкой CVSS 9.2 позволяют выполнить код без аутентификации почти на любом PHP начиная с 5.4. Патчи вышли 21 октября, к 24-му зафиксированы успешные атаки, 26-го CISA добавила обе CVE в каталог эксплуатируемых.Two PHP flaws rated CVSS 9.2 allow unauthenticated code execution on nearly every PHP version since 5.4. Patches shipped Oct 21, successful attacks were confirmed by Oct 24, and CISA added both CVEs to its exploited catalog on Oct 26.
• Безопасность Важно HTTP2Shell: уязвимость в декодере Brotli вызвала экстренные патчи Node.js, .NET, Python и PHPHTTP2Shell: Brotli decoder flaw triggers emergency patches for Node.js, .NET, Python and PHP CVE-2026-111497 — запись за границей буфера в C-декодере Brotli, библиотеке сжатия, встроенной в огромное количество рантаймов. Публичные PoC есть, Imperva показала RCE на официальной сборке Node.js. Обновлять нужно сами рантаймы, системный libbrotli не спасает.CVE-2026-111497 is an out-of-bounds write in Brotli's C decoder, a compression library bundled into a huge number of runtimes. Public PoCs exist and Imperva demonstrated RCE on an official Node.js build. Runtimes themselves must be updated — patching the system libbrotli is not enough.

26 октября 2026 г.October 26, 2026 день целиком 1 новостьstory

• Безопасность Две критические уязвимости в Wasmtime позволяют WebAssembly-модулю выйти из песочницыTwo critical Wasmtime flaws let WebAssembly modules escape the sandbox CVE-2026-115889 и CVE-2026-115893 с оценкой CVSS 9.9 ломают главную гарантию WebAssembly — изоляцию. Исправления вышли в Wasmtime 36.0.19, 48.0.7, 49.0.4 и 50.0.0; обходных путей нет, приложения со встроенным Wasmtime нужно пересобрать.CVE-2026-115889 and CVE-2026-115893, rated CVSS 9.9, break WebAssembly's core guarantee — isolation. Fixes are in Wasmtime 36.0.19, 48.0.7, 49.0.4 and 50.0.0; there are no workarounds and apps embedding Wasmtime must be rebuilt.

25 октября 2026 г.October 25, 2026 день целиком 1 новостьstory

• Безопасность Важно GitLab: критический патч закрывает RCE без аутентификации с CVSS 10.0GitLab critical patch fixes an unauthenticated RCE rated CVSS 10.0 CVE-2026-110264 — переполнение целого в компиляторе регулярных выражений позволяет неаутентифицированному пользователю выполнить код на сервере через специально составленную регулярку. Затронуты все версии с 7.0; self-managed инсталляции нужно обновить немедленно.CVE-2026-110264 is an integer overflow in the regex compiler that lets an unauthenticated user run code on the server via a crafted regular expression. Every version since 7.0 is affected; self-managed instances must be updated now.

24 октября 2026 г.October 24, 2026 день целиком 1 новостьstory

• Безопасность VeraCrypt 1.26.30 закрывает повышение привилегий в Windows и LinuxVeraCrypt 1.26.30 fixes privilege escalation on Windows and Linux Новая версия популярной программы для шифрования дисков исправляет несколько уязвимостей: переполнение кучи в привилегированном сервисе на Linux, macOS и BSD, захват root через универсальный установщик и повышение привилегий при обновлении Windows. Заодно исправлены регрессии драйвера из 1.26.29.The new release of the popular disk-encryption tool fixes several vulnerabilities: a heap overflow in the privileged service on Linux, macOS and BSD, a root takeover via the generic installer, and privilege escalation during Windows feature updates. It also fixes driver regressions from 1.26.29.

23 октября 2026 г.October 23, 2026 день целиком 1 новостьstory

• Безопасность Pillow 13.0.0 закрывает критические уязвимости, включая выполнение команд через EPSPillow 13.0.0 fixes critical flaws, including command execution via EPS В популярнейшей Python-библиотеке для изображений исправлены несколько уязвимостей с оценкой CVSS 9.2 — от инъекции команд через Ghostscript до переполнений буфера в JPEG и TIFF. Часть багов нашли с помощью Claude. Pillow скачивают около 436 млн раз в месяц.The most popular Python imaging library fixed several flaws rated CVSS 9.2 — from command injection via Ghostscript to buffer overflows in JPEG and TIFF handling. Some were found with Claude. Pillow is downloaded about 436 million times a month.

21 октября 2026 г.October 21, 2026 день целиком 2 новостиstories

• Безопасность Важно PHP выпустил экстренные патчи для двух критических RCE без аутентификацииPHP ships emergency patches for two critical unauthenticated RCE flaws Вышли PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35 с исправлением CVE-2026-109618 и CVE-2026-109619 (CVSS 4.0 9.2). Под угрозой любая установка, обслуживающая веб-запросы, а полноценных обходных мер нет — нужно обновлять рантайм.PHP 8.5.12, 8.4.27, 8.3.36 and 8.2.35 fix CVE-2026-109618 and CVE-2026-109619 (CVSS 4.0 9.2). Any installation serving web requests is at risk and there are no complete workarounds — the runtime itself must be updated.
• Безопасность Node.js закрыл 10 уязвимостей, включая RCE в декодере BrotliNode.js fixes 10 vulnerabilities, including an RCE in the Brotli decoder Октябрьский выпуск безопасности Node.js — версии 26.12.1, 24.22.1 и 22.23.4 — исправляет десять CVE, из них четыре высокой опасности. Главная — запись за границей буфера во встроенном декодере Brotli. Заодно обновлено хранилище сертификатов из-за компрометации eMudhra.The October Node.js security release — 26.12.1, 24.22.1 and 22.23.4 — fixes ten CVEs, four of them rated High. The headline issue is an out-of-bounds write in the bundled Brotli decoder. The CA store was also updated over the eMudhra compromise.