SecAtor

Под конец рабочей недели отметим наиболее трендовые угрозы: 1. GitLab предупредила о серьезной уязвимости, которая позволяет хакерам захватить контроль над собственными серверами. Она представляет собой RCE до аутентификации с CVSS 10/10. CVE-2026-110264 затрагивает все версии GitLab, начиная с версии 7.0, выпущенной в 2014 году. 2. Arista Networks выпустила патч для устранения новой 0-day в локальных серверах VeloCloud Orchestrator, которая позволяет удаленным злоумышленникам получать доступ к внутренним функциям без аутентификации. CVE-2026-114625 - уже третья 0-day в VeloCloud, исправленная в этом году. 3. Голландская Eye Security удалила заброшенное и уязвимое пиратское приложение Popcorn Time с более чем 2 млн. компьютеров под управлением Windows и macOS. Для этого использовала уязвимость в домене с истекшим сроком действия для запуска обновления приложения и его удаления с систем, которые отреагировали. Eye сделала это в обход правоохранительных органов, а пакет обновления впоследствии был помечен как вредоносный некоторыми приложениями безопасности. 4. PHP предупредила об еще одном способе запуска кода на сервере, спустя два дня после выпуска экстренных исправлений для PHP2Shell. CVE-2026-115560 затрагивает только веб-приложения, с нетипичной конфигурацией. PHP рассматривает её угрозой с маловероятным риском и не намерена выпускать экстренное исправление. Вместо этого рекомендуется отключить функцию, называемую прогресс загрузки сессии, до тех пор, пока исправление не будет доступно в следующем плановом релизе. Кроме того, Sophos сообщает, что злоумышленники пытались использовать PHP2Shell для установки Potassium, который, по ее мнению, является вариантом ботнета Mirai. Sansec, предсказывавшая ранее массовую эксплуатацию уязвимости в течение 15 минут после выпуска патча, пересмотрела свою точку зрения. В обновлении от 22 октября компания заявила, что для успеха необходимы подробные знания о сервере, а общедоступные экспромты не работают против установок PHP с настройками по умолчанию. Исследователи назвали рандомизацию размещения адресного пространства (ASLR), которая случайным образом определяет местоположение кода и данных в памяти, серьезным препятствием для выполнения кода. VulnCheck утверждает, что нашла способ обойти эту проблему. Censys отслеживает установку исправлений для PHP2Shell в режиме реального времени с помощью общедоступной панели мониторинга, которая показывает, сколько доступных из интернета PHP-сервисов по-прежнему используют уязвимую версию. 5. Исследователи Imperva продемонстрировали RCE-уязвимость Node2Shell на сборке Node.js. Вредоносные данные Brotli могут привести к тому, что приложение на официальной сборке Node.js будет запускать предоставленный злоумышленником код. Node.js сообщила о CVE-2026-111497 и выпустила исправления 21 октября. По состоянию на 22 октября сообщений об использовании данного недостатка в дикой природе не поступало. 6. Критическая CVE-2026-112900 в популярной библиотеке изображений Pillow для Python позволяет выполнять код с помощью специально созданного изображения. Разработчики Pillow исправили багу в версии 13.0.0, выпущенной 16 октября. 7. На серверах Linux под управлением KSMBD, встроенного в ядро сервера SMB, обнаружены две RCE-уязвимости, получившие оценку 9.0 от Zero Day Initiative, которые до сих пор не исправлены в основной ветке ядра. Первая ZDI-CAN-33774 может быть активирована до любой сетевой аутентификации. Другая, ZDI-CAN-33549, требует использования транспортного протокола SMB Direct и сетевого интерфейса с поддержкой RDMA. 8. Уязвимость в агенте OpenCode AI позволяла вредоносному или взломанному MCP-серверу запускать код на компьютере разработчика под управлением Windows или WSL, когда разработчик входил в систему. Anomaly исправила уязвимость в версии 1.18.33 28 сентября, но не запрашивала CVE и не публиковала бюллетень, поэтому сканеры уязвимостей не будут отмечать сборки, которые все еще находятся под угрозой: с 1.0.137 по 1.18.32.