Ошибки в PHP и Windows вошли в рейтинг опасных уязвимостей октября
3 мин
40
В подборку наиболее опасных брешей октября по версии R-Vision вошли уязвимости Windows Shell, Gihttps://nvd.nist.gov/vuln/detail/cve-2026-109619tLab CE/EE и TrueConf Server. Особое внимание уделено критическим проблемам безопасности PHP CVE-2026-109618 (BDU:2026-17191), CVE-2026-109619 (BDU:2026-17192) в ядре Zend языка PHP получили название PHP2Shell. Их оценка — 9,2 балла из 10 по шкале CVSS. Обе позволяют выполнить код на сервере через сеть без учётных данных.
CVE-2026-109618 связана с нехваткой памяти при обработке HTTP-запроса. PHP принимает старые данные за объект. Атакующий может подготовить его через POST-запрос и исчерпать память для выполнения команд. CVE-2026-109619 задействует обращение к освобождённой памяти после сбоя запроса. Злоумышленник отправляет два запроса одному рабочему процессу. Первый повреждает его состояние, второй — запускает код. Затронуты версии PHP начиная с 5.4. Исправления вышли в выпусках 8.2.35, 8.3.36, 8.4.27 и 8.5.12. Однако до момента их релиза уже были зафиксированы атаки. 21 октября CISA внесла ошибки в каталог KEV и рекомендовала отключить незащищённые системы от сети. Многие российские компании временно перевели PHP-сервисы на техническое обслуживание до установки исправлений.
Следующей в подборке R-Vision стала уязвимость CVE-2026-96951 (BDU:2026-16527) в Windows Shell с оценкой 8,8 балла из 10 по CVSS. Неверная обработка специальных элементов позволяет внедрять команды и обходить Mark of the Web. На её основе SmartScreen и Microsoft Office показывают предупреждения, включают защищённый просмотр или блокируют запуск. Для обхода проверок нужно убедить пользователя открыть подготовленный файл из письма или сообщения. Microsoft закрыла ошибку 13 октября, а CISA в тот же день внесла её в KEV. Затронуты Windows 10, Windows 11 и Windows Server от 2012 R2 до 2025.
Одной из самых серьёзных уязвимостей названа CVE-2026-110264 (BDU:2026-17391) в GitLab CE/EE, получившая максимальные 10 баллов по CVSS. Ошибка находится в Onigmo — движке регулярных выражений Ruby. Шаблон с большим числом повторений вызывает целочисленное переполнение.
Для эксплуатации уязвимости приложение должно компилировать выражение из строки под контролем злоумышленника. Censys связывает возможный путь атаки с отображением файлов Org-mode в публичных проектах. Затронуты версии GitLab начиная с 7.0. Исправления вышли 21 октября в выпусках 18.11.13, 19.0.10, 19.1.9, 19.2.9, 19.3.6, 19.4.3 и 19.5.1. GitLab Dedicated уже защищён. Обновление от 12 октября эту ошибку не устраняет, так как вышло для исправления CVE-2026-97229. На 27 октября атаки с использованием уязвимости не зафиксированы. Записи в KEV и публичного эксплойта для выполнения кода нет, однако есть стенды для воспроизведения сбоя Onigmo.
Также высокую оценку без подтверждения использования в атаках получила BDU:2026-15756 в TrueConf Server — 9,8 балла из 10 по CVSS. Брешь выявили специалисты «СайберОК» и «Дэйтли». Запрос записывает вредоносный объект в кэш. Десериализация без проверки позволяет выполнить команду по сети через цепочку вызовов существующих классов. Учётные данные и действия пользователя для этого не требуются. Проблема затрагивает версии с 4.5.0.15891 по 5.5.5.10304 включительно. Публичного примера атаки пока нет. Аналитики считают продукт TrueConf приоритетной целью для политически мотивированных группировок из-за его широкого применения в компаниях и госсекторе России.
