🎃 Октябрьский листопад патчепад
🎃 Октябрьский листопад патчепад
Даже тем, кто презирает Хэллоуин, есть чем себя попугать в октябре. Например, новыми цифрами в бюллетенях об уязвимостях. В последние недели впервые появились CVE ID с шестизначными номерами. Telegram считает их номерами телефонов 🤪. Просто для примера: CVE-2026-111111.
Вчерашний Patch Tuesday тоже впервые в истории вырвался за пределы трёх разрядов, в нём 1414 CVE. В Microsoft поняли, что осмыслить такие крупные пакеты багов клиенты не в состоянии, и запустили группировку дефектов по «когортам риска». Попросту говоря, это группировка уязвимостей, которые эксплуатируются в одинаковых условиях и влияют на одни и те же системы. Когорты не замещают ни оценку критичности, ни индивидуальные бюллетени для каждой CVE. Это вспомогательный аналитический инструмент для тех, кто не использует автоматизированную платформу для учёта и оценки уязвимостей.
1102 дефекта в октябрьском пакете затрагивают Windows, 134 — Office, 36 — SharePoint Server, 22 — SQL server, 7 — Exchange Server. Подавляющее большинство (677) приводят к повышению привилегий, 317 — RCE, 40 — к обходу функций безопасности, 73 — DoS.
Критических дефектов устранено 86, из которых 68 приводят к RCE, 14 — к повышению привилегий, 3 — к спуфингу и 1 — к утечке данных. Помимо этого, две уязвимости были разглашены до устранения и одна эксплуатируется в реальных атаках.
Эксплуатируемый зиродей — CVE-2026-96951 (CVSS 8.8) является обходом функций безопасности в Windows Shell, он сухо описан как инъекция команд, позволяющая обойти функцию безопасности при доступе через сеть. За разглашение благодарят экспертов из Fujitsu и Anthropic. Все эти кусочки плохо складываются в паззл, ждём глубокого анализа.
Разглашены до устранения: CVE-2026-108398 (баг в .NET Framework, обход защиты WDAC) и CVE-2026-92707 (дефект в стороннем компоненте для сериализации MessagePack-CSharp, приводящий к DoS).
Среди прочих дефектов, сочетающих относительно простую эксплуатацию с серьёзным импактом, стоит обратить внимание на CVE-2026-65674 (RCE в SQL Server) -70571 (RCE в Exchange Server), -70229 (RCE в AD domain services).
В Adobe по мере сил стараются не отставать, в пакете обновлений устранили 174 дефекта в своих продуктах, среди которых выделяются критические уязвимости (CVSS 10) в ColdFusion и Commerce/Magento. Эти системы обычно доступны из внешней сети, что делает их особенно привлекательными для атакующих.
Пользователям SAP тоже не скучно, октябрьский бюллетень содержит 20 уязвимостей, включая CVE-2026-89111 — SSRF в Cloud SDK for Python. Уязвимость, потянувшая на CVSS 10, позволяет угнать токены OAuth.
Ещё один срочный патч вечером в понедельник выкатили в GitLab — CVE-2026-97229 (CVSS 10) позволяет неаутентифицированному пользователю выполнить код на сервере GitLab.
Если вы давно не слышали в новостях слово Ivanti, не беспокойтесь — всё стабильно, всё в порядке. Активно эксплуатируемая CVE-2026-104935 в Ivanti Connect Secure позволяет неаутентифицированному атакующему выполнить код на сервере.
Ещё одной шестизначной CVE «порадовал» Docker — CVE-2026-105445 в Docker Hub позволяет переназначать личные токены доступа (PAT), получая доступ к чужим репозиториям.
Даже тем, кто презирает Хэллоуин, есть чем себя попугать в октябре. Например, новыми цифрами в бюллетенях об уязвимостях. В последние недели впервые появились CVE ID с шестизначными номерами. Telegram считает их номерами телефонов 🤪. Просто для примера: CVE-2026-111111.
Вчерашний Patch Tuesday тоже впервые в истории вырвался за пределы трёх разрядов, в нём 1414 CVE. В Microsoft поняли, что осмыслить такие крупные пакеты багов клиенты не в состоянии, и запустили группировку дефектов по «когортам риска». Попросту говоря, это группировка уязвимостей, которые эксплуатируются в одинаковых условиях и влияют на одни и те же системы. Когорты не замещают ни оценку критичности, ни индивидуальные бюллетени для каждой CVE. Это вспомогательный аналитический инструмент для тех, кто не использует автоматизированную платформу для учёта и оценки уязвимостей.
1102 дефекта в октябрьском пакете затрагивают Windows, 134 — Office, 36 — SharePoint Server, 22 — SQL server, 7 — Exchange Server. Подавляющее большинство (677) приводят к повышению привилегий, 317 — RCE, 40 — к обходу функций безопасности, 73 — DoS.
Критических дефектов устранено 86, из которых 68 приводят к RCE, 14 — к повышению привилегий, 3 — к спуфингу и 1 — к утечке данных. Помимо этого, две уязвимости были разглашены до устранения и одна эксплуатируется в реальных атаках.
Эксплуатируемый зиродей — CVE-2026-96951 (CVSS 8.8) является обходом функций безопасности в Windows Shell, он сухо описан как инъекция команд, позволяющая обойти функцию безопасности при доступе через сеть. За разглашение благодарят экспертов из Fujitsu и Anthropic. Все эти кусочки плохо складываются в паззл, ждём глубокого анализа.
Разглашены до устранения: CVE-2026-108398 (баг в .NET Framework, обход защиты WDAC) и CVE-2026-92707 (дефект в стороннем компоненте для сериализации MessagePack-CSharp, приводящий к DoS).
Среди прочих дефектов, сочетающих относительно простую эксплуатацию с серьёзным импактом, стоит обратить внимание на CVE-2026-65674 (RCE в SQL Server) -70571 (RCE в Exchange Server), -70229 (RCE в AD domain services).
В Adobe по мере сил стараются не отставать, в пакете обновлений устранили 174 дефекта в своих продуктах, среди которых выделяются критические уязвимости (CVSS 10) в ColdFusion и Commerce/Magento. Эти системы обычно доступны из внешней сети, что делает их особенно привлекательными для атакующих.
Пользователям SAP тоже не скучно, октябрьский бюллетень содержит 20 уязвимостей, включая CVE-2026-89111 — SSRF в Cloud SDK for Python. Уязвимость, потянувшая на CVSS 10, позволяет угнать токены OAuth.
Ещё один срочный патч вечером в понедельник выкатили в GitLab — CVE-2026-97229 (CVSS 10) позволяет неаутентифицированному пользователю выполнить код на сервере GitLab.
Если вы давно не слышали в новостях слово Ivanti, не беспокойтесь — всё стабильно, всё в порядке. Активно эксплуатируемая CVE-2026-104935 в Ivanti Connect Secure позволяет неаутентифицированному атакующему выполнить код на сервере.
Ещё одной шестизначной CVE «порадовал» Docker — CVE-2026-105445 в Docker Hub позволяет переназначать личные токены доступа (PAT), получая доступ к чужим репозиториям.