Собрали главное из мира информационной безопасности за последние две недели. В подборке — новая разновидность Spectre v2, критическая уязвимость GitLab с опубликованным эксплоитом, проблемы в Telegram Desktop, FreeBSD и Linux, а также важные обновления для Apache, OpenSSL, CUPS и других популярных компонентов.
Новая атака Spectre v2 угрожает процессорам Intel, AMD и Arm
Исследователи обнаружили новую разновидность Spectre v2 — Branch Target Reuse (BTR). Она использует особенности JIT-компиляторов и рассинхронизацию между кодом в памяти и предсказателем переходов процессора. После замены удалённого кода CPU может сохранить старую цель перехода и спекулятивно выполнить фрагмент новой программы. Это позволяет извлекать данные из памяти через побочный канал.
На Linux специалисты продемонстрировали два эксплоита для cBPF и менее чем за пять минут получили хеш root-пароля. Эффект, лежащий в основе атаки, подтвердили на процессорах Intel, AMD и Arm. BTR также исследовали в Firefox SpiderMonkey и Oracle GraalVM, однако полноценные эксплоиты для этих сред создать не удалось.
Связанные с атакой проблемы получили идентификаторы CVE-2026-64507 и CVE-2026-64508. Исправления уже добавили в Linux, но полностью устранить подобные угрозы, по мнению исследователей, можно только на аппаратном уровне.
FreeBSD устранила несколько уязвимостей
В конце сентября разработчики FreeBSD сообщили об исправлении ряда проблем безопасности в ОС.
Уязвимости в semop(2) и KQUEUE_CPONFORK могли из-за состояния гонки привести к use-after-free и потенциальному повышению привилегий. Другие ошибки позволяли при определённых условиях обходить ограничение FD_RESOLVE_BENEATH и выходить за пределы файловой системы jail.
Проблема в ядерном TLS могла вызвать kernel panic при обработке специально подготовленного соединения с удалённым TLS 1.3-сервером. Она не затрагивает системы, где kernel TLS отключён.
Также исправлены ошибки OpenSSL при работе с DTLS, способные привести к утечке содержимого памяти или сбою, и проблема sendto() в UDPv6. Последняя позволяла процессам внутри jail обращаться к сервисам хоста, работающим на loopback-адресе.
Обновления выпущены для FreeBSD 14.4-RELEASE-p10, 14.5-RELEASE-p1, 15.0-RELEASE-p14 и 15.1-RELEASE-p4.
Уязвимость в Telegram Desktop позволяла красть файлы через ссылки
В Telegram Desktop обнаружили уязвимость CVE-2026-107181, связанную с некорректной обработкой разделителей в IPC-командах. При переходе по специально сформированной ссылке злоумышленник мог заставить клиент без уведомления отправить ему файлы с компьютера жертвы.
Проблема затрагивала ссылки формата tg://. Символ ; позволял добавлять к ним дополнительные команды, включая запуск служебных сценариев через URI-схему interpret:. Из-за отсутствия очистки путей с ../ атакующий мог обращаться к файлам за пределами служебного каталога и использовать их для несанкционированной отправки.
Жертве отправляли обычную ссылку, которая после перенаправления превращалась в вредоносную tg://-команду. Telegram Desktop автоматически загружал указанные файлы в группу или канал злоумышленника. Среди них могли оказаться данные из каталога tdata, включая ключи авторизации. При отсутствии локального пароля это создавало риск клонирования сеанса Telegram.
Уязвимость исправили в версии Telegram Desktop 7.2.9.
Let’s Encrypt сократит срок действия TLS-сертификатов
С 10 февраля 2027 года Let’s Encrypt начнёт выдавать новые и продлённые TLS-сертификаты сроком на 64 дня вместо 90. Сертификаты, выпущенные ранее, сохранят первоначальный срок действия. Одновременно период подтверждённой авторизации домена сократится с 30 до 10 дней.
С 16 февраля 2028 года сертификаты будут действовать 45 дней, а авторизация — всего 7 часов.
Изменения связаны с требованиями CA/Browser Forum, которые постепенно должны внедрить все удостоверяющие центры. К марту 2029 года максимальный срок действия сертификата составит 47 дней. После этого браузеры будут выдавать ошибку ERR_CERT_VALIDITY_TOO_LONG при обработке сертификатов, действующих дольше установленного срока.
Сокращение сроков позволит быстрее отзывать скомпрометированные сертификаты, чаще проверять право владения доменом и снижать риски фишинга. Владельцам сайтов следует учитывать новые сроки действия сертификатов и заранее подготовиться к более частому их обновлению.
Обнаружены уязвимости в популярных Linux-компонентах и библиотеках
Специалисты выявили десятки проблем безопасности в Apache httpd, FreeBSD, ядре Linux, офисных пакетах, CUPS, OpenSSL и других проектах. Уязвимости могут приводить к удалённому выполнению кода, повышению привилегий, утечке данных и обходу изоляции контейнеров.
Наиболее значимые проблемы:
- Apache httpd — 20 уязвимостей, включая переполнения буфера и
use-after-free. Некоторые из них могут привести к удалённому выполнению кода. Исправления доступны в версии 2.4.69. - FreeBSD — 9 проблем, позволяющих повышать привилегии, обходить изоляцию
jailи вызывать сбой ядра. Исправления выпущены для версий 115.1-RELEASE-p4, 15.0-RELEASE-p14, 14.5-RELEASE-p1 и 14.4-RELEASE-p10. - Linux — уязвимость в реализации сокетов
AF_UNIX, связанная с состоянием гонки иuse-after-free, позволяет выйти из контейнера и выполнить код на уровне ядра. Проблема устранена в августовских обновлениях ядра. - LibreOffice и Apache OpenOffice — открытие специально подготовленных документов могло привести к выполнению кода, чтению или записи файлов. Исправления для LibreOffice доступны в версиях 26.2.5 и 26.8.0.
- CUPS — удалённое выполнение кода с правами пользователя
lpи повышение привилегий. Проблемы устранены в версии 2.4.20. - Next.js — уязвимость в библиотеке Satori позволяла выполнять код на сервере через обработку специально подготовленных SVG. Исправления вошли в версии Next.js 15.5.26, 16.3.6 и 16.4.0.
- Handlebars — ошибки в обработке AST-объектов могли привести к удалённому выполнению JavaScript на сервере. Проблема исправлена в версии 4.7.10.
- Flatpak — 6 уязвимостей, среди которых те, что позволяли удалять и записывать файлы хост-системы с правами root. Исправление доступно в версии 1.18.4.
- PCRE2, wolfSSL и OpenSSL — обнаружены переполнения буфера, обход аутентификации, утечки памяти и возможность восстановления закрытых ключей через побочные каналы. Исправления доступны в PCRE2 10.49, wolfSSL 5.9.4 и версиях OpenSSL 4.0.3, 3.6.5, 3.5.9 и 3.4.8.
- PostgreSQL и Gitea — устранены проблемы, связанные с выполнением кода и обходом аутентификации. В Gitea также исправлены ошибки, позволявшие обходить подтверждение pull-запросов и запускать код в CI из форка. Исправления вошли в PostgreSQL 18.6, 17.11, 16.15, 15.19 и 14.24, а также Gitea 28.0.0 и 28.1.0.
Обновления также получили libexpat, FreeIPMI и ряд Java-библиотек. Пользователям и администраторам рекомендуется установить актуальные версии затронутого ПО.
В GitLab исправили критическую уязвимость с доступным эксплоитом
GitLab выпустил обновления 19.4.2, 19.3.5 и 19.2.8, устраняющие 24 уязвимости. Самая опасная — CVE-2026-97229 с максимальной оценкой 10/10 — позволяет неаутентифицированному атакующему удалённо выполнить код на сервере через специально подготовленное регулярное выражение в конфигурации CI/CD.
Уязвимость связана с целочисленным переполнением при компиляции регулярных выражений. Подробности проблемы пока не раскрыты, однако эксплоит уже опубликован в открытом доступе. Сканирование показало, что более 25 тысяч хостов всё ещё используют уязвимые версии GitLab. Администраторам рекомендуется срочно установить исправления.
