Немного ИБ

Опубликован перечень сведений о принятых национальных и международных стандартах за III квартал 2026 года

https://fstec.ru/tk-362/standarty/svedeniya-o-prinyatykh-natsionalnykh-i-mezhdunarodnykh-standartakh/svedeniya-o-prinyatykh-natsionalnykh-i-mezhdunarodnykh-standartakh-za-iii-kvartal-2026-goda

#ФСТЭК #ТК #Регуляторы #ИБ

библиотеки PyJWT, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации

BDU:2026-14812
Уязвимость компонента EmailTrack панели управления веб-хостингом cPanel, позволяющая нарушителю выполнить произвольный код и получить полный контроль над сервером

BDU:2026-14048
Уязвимость обработчика JavaScript-сценариев V8 браузера Google Chrome, позволяющая нарушителю выполнить произвольный код

BDU:2026-14924
Уязвимость библиотеки vm2 пакетного менеджера NPM, связанная с нарушением механизма защиты данных, позволяющая нарушителю выполнить произвольный код

BDU:2026-14925
Уязвимость библиотеки vm2 пакетного менеджера NPM, связанная с нарушением механизма защиты данных, позволяющая нарушителю выполнить произвольный код

BDU:2026-14926
Уязвимость библиотеки vm2 пакетного менеджера NPM, связанная с неверным управлением генерацией кода, позволяющая нарушителю выполнить произвольный код

Выявленные критические уязвимости за сентябрь 2026 г. в наиболее известных продуктах и сервисах с существующими эксплойтами
=========
Источник: https://bdu.fstec.ru

BDU:2026-15713
Уязвимость прикладного программного интерфейса централизованной системы управления сетью Cisco Catalyst SD-WAN Manager, позволяющая нарушителю обойти существующие механизмы безопасности и получить несанкционированный доступ к защищаемой информации

BDU:2026-15730
Уязвимость системного фреймворка Apple CoreGraphics операционных систем iOS, MacOS и iPadOS, позволяющая нарушителю выполнить произвольный код

BDU:2026-15794
Уязвимость библиотеки регулярных выражений PCRE2, связанная с записью за границами буфера, позволяющая нарушителю производить запись произвольных файлов

BDU:2026-15799
Уязвимость агента для разработки программного обеспечения на основе искусственного интеллекта OpenCode, связанная с неконтролируемым расходом ресурсов, позволяющая нарушителю выполнить произвольный код

BDU:2026-15214
Уязвимость программной платформы на базе git для совместной работы над кодом GitLab, связанная с ошибкой повторного освобождения памяти, позволяющая нарушителю выполнить произвольный код

BDU:2026-15215
Уязвимость программной платформы на базе git для совместной работы над кодом GitLab, связанная с целочисленным переполнением, позволяющая нарушителю выполнить произвольный код

BDU:2026-15756
Уязвимость программного обеспечения TrueConf Server, связанная с непринятием мер по нейтрализации специальных элементов, позволяющая нарушителю выполнить произвольный код

BDU:2026-15200
Уязвимость функции get_page_template() ядра системы управления содержимым сайта WordPress, позволяющая нарушителю выполнить произвольный код

BDU:2026-15201
Уязвимость компонента ImageResponse пакета next/og программной платформы создания веб-приложений Next.js, позволяющая нарушителю выполнить произвольный код

BDU:2026-15199
Уязвимость ядра системы управления содержимым сайта WordPress, связанная с непринятием мер по защите структуры веб-страницы, позволяющая нарушителю выполнить произвольный код

BDU:2026-14799
Уязвимость прикладного программного интерфейса платформы управления политиками соединений Cisco Identity Services Engine (ISE), позволяющая нарушителю обойти существующие механизмы безопасности и получить несанкционированный доступ к защищаемой информации

BDU:2026-14921
Уязвимость программного обеспечения централизованного управления Check Point Security Management Server и Multi-Domain Security Management Server, связанная с выходом операции за границы буфера в памяти, позволяющая нарушителю выполнить произвольный код

BDU:2026-14807
Уязвимость компонента Cellular Modem операционной системы Andorid телефонов Pixel, позволяющая нарушителю обойти существующие механизмы защиты и повысить свои привилегии

BDU:2026-14611
Уязвимость функции smux_accept() модуля SMUX набора программного обеспечения для развертывания и использования протокола SNMP Net-SNMP, позволяющая нарушителю вызвать отказ в обслуживании

BDU:2026-14615
Уязвимость механизма анализа электронных писем операционной системы Cisco AsyncOS средств защиты Cisco Secure Email, позволяющая выполнить произвольные команды

BDU:2026-14613
Уязвимость компонента addressparser библиотеки для отправки писем Nodemailer, позволяющая нарушителю вызвать отказ в обслуживании

BDU:2026-15793
Уязвимость функции HMACAlgorithm.prepare_key() библиотеки PyJWT, позволяющая нарушителю обойти существующие механизмы безопасности и получить несанкционированный доступ к защищаемой информации

BDU:2026-15800
Уязвимость функции is_pem_format() файла jwt/utils.py библиотеки PyJWT, позволяющая нарушителю обойти существующие механизмы безопасности и раскрыть защищаемую информацию

BDU:2026-15802
Уязвимость функции HMACAlgorithm.prepare_key() сценария jwt/algorithms.py библиотеки PyJWT, позволяющая нарушителю обойти существующие механизмы безопасности

BDU:2026-15806
Уязвимость метода HMACAlgorithm.from_jwk

Adobe Acrobat может сливать документы с компьютеров российских госведомств через вредоносные PDF — ФСТЭК обнаружила в программе три опасные уязвимости для Windows и macOS.

Схема строится на подмене обычного рабочего файла: злоумышленники перехватывают реальное письмо между ведомствами, вшивают в PDF вредоносный код и отправляют его дальше. Для сотрудника документ выглядит как настоящий — текст и печати остаются на месте, но стоит открыть док, и  уязвимость даёт доступ к памяти компьютера и позволяет вытаскивать хранящиеся на нём PDF-файлы.

За последний год российские госструктуры потратили на продукты Adobe больше 16,4 млн рублей. Среди заказчиков — суды, правоохранительные органы, МЧС, региональные министерства связи и Московский университет МВД.

Adobe при этом отдельно имеет госконтракты с США примерно на 780 млн долларов, а также программу JELA с Минобороны страны. Её софт используют Пентагон, армия и ВВС США, а с кодом компании работают Киберкомандование и АНБ. Сама Adobe ушла из России и блокировала российские аккаунты, но её программы продолжают использоваться в отечественных госорганах.

Вышел приказ ФСБ России N297 от 06.08.2026 "Об утверждении Порядка взаимодействия операторов государственных информационных систем, иных информационных систем государственных органов, государственных унитарных предприятий, государственных учреждений с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации, включая информирование ФСБ России о компьютерных инцидентах, повлекших неправомерную передачу содержащейся в указанных информационных системах информации".

Положения приказа вступает в силу с 1 сентября 2026.

Опубликованы программы ScanOVAL для операционных систем:
РЕД ОС 8
Astra Linux SE 1.8
Альт 10

ФСТЭК России опубликавал на официальном сайте Перечень нормативных правовых актов, содержащих обязательные требования, соблюдение которых оценивается при лицензировании деятельности по технической защите конфиденциальной информации

#ФСТЭК #Регуляторы #ИБ

Выявленные критические уязвимости за июнь 2026 г. в наиболее известных продуктах и сервисах
=========
Источник: https://bdu.fstec.ru (https://bdu.fstec.ru/)

BDU:2026-08690
Уязвимость программного обеспечения для удалённого доступа и управления AnyDesk, связанная с переполнением буфера в динамической памяти, позволяющая нарушителю выполнить произвольный код

BDU:2026-08916
Уязвимость программного обеспечения управления аккаунтами JetBrains Hub, связанная с ошибками в коде генератора псевдослучайных чисел при генерации ключей хоста, позволяющая нарушителю получить полный контроль над приложением

BDU:2026-08780
Уязвимость функции internal/database/org.go программного средства создания самоуправляемых Git-репозиториев Gogs, позволяющая нарушителю выполнить произвольный код

BDU:2026-08700
Уязвимость компонента Client Bundle программного комплекса управления корпоративным контентом Oracle WebCenter Enterprise Capture, позволяющая нарушителю получить полный контроль над системой

BDU:2026-08708
Уязвимость компонента OUD Core приложения для упрощенного развертывания Oracle Unified Directory программной платформы Oracle Fusion Middleware, позволяющая нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации

BDU:2026-08710
Уязвимость компонента Security Framework веб-платформы Oracle WebCenter Portal, позволяющая нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации

BDU:2026-08657
Уязвимость компонента Security Framework веб-платформы Oracle WebCenter Portal, позволяющая нарушителю получить полный контроль над приложением

BDU:2026-08638
Уязвимость компонента Enterprise Infrastructure Security системы управления ресурсами предприятия JD Edwards EnterpriseOne Tools, позволяющая нарушителю получить полный доступ к системе

BDU:2026-08612
Уязвимость функции ssh2_transport_read() библиотеки libssh2, позволяющая нарушителю выполнить произвольный код

BDU:2026-09243
Уязвимость функции pickle.loads() нейросетевой модели видео для создания реалистичных видеороликов NVIDIA GEN3C, позволяющая нарушителю выполнить произвольный код

BDU:2026-08303
Уязвимость редактора исходного кода Microsoft Visual Studio Code, связанная с недостатками процедуры авторизации, позволяющая нарушителю повысить свои привилегии

BDU:2026-08129
Уязвимость службы DHCP Client Service операционных систем Windows, позволяющая нарушителю выполнить произвольный код

BDU:2026-08115
Уязвимость драйвера HTTP.sys операционной системы Windows, позволяющая нарушителю выполнить произвольный код

BDU:2026-08113
Уязвимость компонента Kernel операционной системы Windows, позволяющая нарушителю выполнить произвольный код

BDU:2026-08107
Уязвимость клиента удаленного рабочего стола Remote Desktop Client операционной системы Windows, позволяющая нарушителю выполнить произвольный код

BDU:2026-08425
Уязвимость расширения Joomla Content Editor (JCE) системы управления контентом Joomla, позволяющая нарушителю выполнить произвольный код

BDU:2026-08016
Уязвимость интерфейса Webview API редактора исходного кода Visual Studio Code, позволяющая нарушителю осуществить подмену данных и проводить межсайтовые сценарные атаки (XSS)

#WeeklyVulns #bdu #vulns

Выявленные критические уязвимости за март 2026 г. в наиболее известных продуктах и сервисах
=========
Источник: https://bdu.fstec.ru (https://bdu.fstec.ru/)

BDU:2026-05259
Уязвимость системы управления серверами Cockpit, связанная с непринятием мер по нейтрализации специальных элементов, позволяющая нарушителю выполнить произвольный код

BDU:2026-04940
Уязвимость функции recognize() библиотеки node-tesseract-ocr программной платформы Node.js, позволяющая нарушителю оказать влияние на конфиденциальность, целостность и доступность защищаемой информации

BDU:2026-04537
Уязвимость пользовательского интерфейса Nginx UI сервера nginx, позволяющая нарушителю получить несанкционированный доступ к системе

BDU:2026-04355
Уязвимость реализации JOSE библиотеки Authlib для серверов OAuth и OpenID Connect, связанная с ошибками проверки криптографической подписи, позволяющая нарушителю обойти существующие механизмы безопасности

BDU:2026-04141
Уязвимость функции gdi_surface_bits() RDP-клиента FreeRDP, позволяющая нарушителю выполнить произвольный код

BDU:2026-03524
Уязвимость контроллера доставки приложений NetScaler ADC (ранее Citrix ADC) и системы контроля доступа к виртуальной среде NetScaler Gateway (ранее Citrix Gateway), связанная с чтением за пределами допустимого диапазона в памяти, позволяющая нарушителю обойти существующие механизмы безопасности

BDU:2026-03475
Уязвимость компонента REST WebServices диспетчера идентификации Oracle Identity Manager программной платформы Oracle Fusion Middleware и компонента Web Services Security приложения Oracle Web Services Manager, позволяющая нарушителю получить несанкционированный доступ к системе

BDU:2026-03114
Уязвимость add_slc() сервера telnetd пакета сетевых программ inetutils, позволяющая нарушителю выполнить произвольный код

BDU:2026-02720
Уязвимость пользовательского интерфейса Nginx UI сервера nginx, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации

BDU:2026-02531
Уязвимость веб-интерфейса управления программного обеспечения администрирования сети Cisco Secure Firewall Management Center (ранее Cisco Firepower Management Center), позволяющая нарушителю выполнить произвольный код с правами ТН


#WeeklyVulns #bdu #vulns