#cve
-
Критическую уязвимость SonicWall SMA 1000 начали эксплуатировать через два дня после патча
Уязвимость CVE-2026-102255 с максимальным баллом CVSS 10.0 позволяет без аутентификации проводить атаки типа SSRF. Исследователи зафиксировали 135 попыток эксплуатации.
-
Citrix призывает срочно установить патч против новой RCE-уязвимости в NetScaler
Критическая брешь в NetScaler ADC и NetScaler Gateway позволяет выполнить произвольный код или вызвать отказ в обслуживании. Пока активных атак не зафиксировано, но в сети открыты более 21 тысячи устройств.
-
curl 8.23.0 выйдет раньше срока из-за серьёзной уязвимости
Проект curl ускорил релиз 8.23.0 на 14 октября: вместе с ним будет закрыта 21 менее опасная уязвимость и одна с рейтингом HIGH.
-
Atlassian закрывает критическую уязвимость доступа к файлам в Jira и Confluence
Уязвимость CVE-2026-21589 позволяет неаутентифицированному злоумышленнику читать отдельные файлы в корне веб-приложения. Затронуты self-hosted продукты Data Center, включая Confluence, Jira и Bitbucket.
-
Microsoft устранила брешь в Exchange Server: злоумышленник мог читать чужую почту
Внеплановые обновления закрывают уязвимость CVE-2026-96940 (8.8 по CVSS): авторизованный пользователь мог получить доступ к ящикам коллег по организации.
-
Атака на HFS: слабый генератор случайных чисел открывает путь к подделке сессии администратора
Критическая уязвимость в Rejetto HTTP File Server уже эксплуатируется: предсказуемый ключ подписи позволяет подделать cookie администратора и выполнить произвольный код.
-
Citrix срочно закрыла эксплуатируемую 0-day в NetScaler
Citrix выпустила экстренные обновления для NetScaler из-за уязвимости CVE-2026-88779, которую уже применяют в атаках. Заявлен отказ в обслуживании, но исследователи подозревают и удалённое выполнение кода.
-
GitLab закрыл критическую уязвимость AI Gateway с выполнением команд на серверах
Ошибка с оценкой 9.9 позволяла авторизованному пользователю Duo Agent Platform выбраться из песочницы шаблона промпта и выполнить произвольные команды на шлюзе. Действовать нужно только тем, кто размещает AI Gateway у себя.
-
Dell закрыла критические уязвимости в Container Storage Modules для Kubernetes
Компания устранила две уязвимости максимальной степени опасности в модулях авторизации CSM, позволявшие неаутентифицированному злоумышленнику получить полный административный контроль над корпоративными хранилищами.
-
Debian закрыл в ядре Linux рекордно длинный список уязвимостей
Обновление DSA-6528-1 устраняет сотни уязвимостей ядра, грозивших повышением привилегий, отказом в обслуживании и утечками данных. В стабильном выпуске Debian они исправлены версией 6.12.111-1.
-
Debian обновляет rsync до 3.5.0 из-за 33 уязвимостей
Вместо бэкпортирования отдельных патчей сопровождающий поднял версию целиком. Вместе с исправлениями приходят изменения в поведении, способные сломать существующие конфигурации.
-
Атака на Zimbra: злоумышленники внедряют веб-шеллы и крадут ключи аутентификации
По данным Microsoft, злоумышленники использовали уже закрытую уязвимость Zimbra Collaboration Suite для развёртывания веб-шеллов, кражи почты и служебных секретов серверов.
-
OpenSSL закрыл опасную уязвимость в DTLS: утечка памяти и аварийное завершение
29 сентября проект OpenSSL выпустил исправления для уязвимости высокого уровня опасности в DTLS, из-за которой содержимое кучи может уходить собеседнику в открытом виде или приводить к падению программы.
-
Один пиксель лишний: 0-click-уязвимость в декодере EXR от Apple
Исследователь ironPeak описал уязвимость CVE-2026-86869: декодер формата EXR в iOS, iPadOS и macOS переполнял буфер, а атаку можно было провести через iMessage без единого касания жертвы.
-
Гонка в AF_ALG: 14-летняя дыра в ядре Linux принесла $113 337
Исследователь STAR Labs нашёл в криптоподсистеме ядра Linux состояние гонки, позволяющее обычному пользователю стать root и выйти за пределы Docker-контейнера. Уязвимость CVE-2025-39964 просуществовала около четырнадцати лет.
-
Критическую уязвимость Roundcube начали активно эксплуатировать
Канадский центр кибербезопасности предупредил, что закрытую ещё в мае уязвимость веб-почты Roundcube теперь используют в реальных атаках.
-
Критическая уязвимость в AI-шлюзе Bifrost позволяет выполнять команды без авторизации
Критическая брешь в открытом AI-шлюзе Bifrost, маршрутизирующем запросы к более чем 20 провайдерам LLM, позволяет неаутентифицированному злоумышленнику выполнить произвольные команды одним HTTP-запросом.
-
Критическая уязвимость VeloCloud Orchestrator с оценкой 10.0 уже эксплуатируется
Arista предупредила об активной эксплуатации новой уязвимости в локальном VeloCloud Orchestrator. Под угрозой — только оркестраторы, аутентифицирующие Edge-устройства по сертификатам.
-
Comment2Shell: комментарий в WordPress мог превратиться в захват сервера
Уязвимость в ядре WordPress позволяла анонимному посетителю оставить комментарий со скрытым скриптом, который срабатывал при открытии страницы администратором. Исправление вышло 17 сентября в версии 7.1.1.
-
SolarWinds закрыла уязвимость с зашитым ключом в Access Rights Manager
Компания SolarWinds выпустила обновления безопасности, устранив в Access Rights Manager брешь, позволявшую выполнять произвольный код без аутентификации. Причиной стал жёстко прописанный статический ключ.
- Дальше