В выпуске собрали громкие инциденты июля. Локальный пользователь получает root через гонку в файловой системе XFS (CVE-2026-64600), а WordPress без патчей пускает злоумышленника на сайт через цепочку wp2shell — обе уязвимости уже эксплуатируются в атаках.
Отдельный сюжет — охота на ИИ: на GitHub обнаружили 7600 репозиториев-приманок, которые маскируются под скиллы для агентов и MCP-серверы. Также разбираем два инфраструктурных обновления: 20 уязвимостей в гипервизоре Xen, 12 из которых нарушают изоляцию гостей, и критические баги в Samba AD, позволяющие рядовому пользователю захватить домен. В статье — что делать и как защититься.
RefluXFS: гонка в XFS открывает root любому пользователю
Специалисты Qualys обнаружили в файловой системе XFS уязвимость CVE-2026-64600 под названием RefluXFS: локальный непривилегированный пользователь может перезаписать защищённые файлы и получить права root. Баг появился ещё в Linux 4.11 (2017 год) и с тех пор присутствовал во всех стабильных версиях ядра. Нашли его с помощью ИИ — закрытой модели Claude Mythos Preview из программы Anthropic Project Glasswing. Ей поставили задачу поискать в ядре состояния гонки, похожие на легендарную Dirty COW, она обнаружила проблему в XFS и подготовила рабочий PoC, а исследователи уже проверили детали и воспроизвели атаку.
Уязвимость затрагивает XFS с включённой функцией reflink (в mkfs.xfs она включена по умолчанию с 2019 года и бэкпортирована в RHEL 8). Атакующий создаёт reflink-клон защищённого файла — например, /etc/passwd или SUID-бинарника /usr/bin/su, — а затем запускает несколько параллельных операций прямой записи через O_DIRECT. Из-за гонки один из запросов использует устаревшие данные и перезаписывает участок диска, который всё ещё принадлежит оригиналу. В итоге меняется содержимое защищённого файла, хотя атакующий работает со своей копией. Метаданные при этом не трогаются — владелец, права и SUID-бит сохраняются, запись идёт прямо на диск, переживает перезагрузку и не оставляет следов в журнале ядра. В тестовой среде исследователи обычно выигрывали гонку меньше чем за десять секунд.
Такая конфигурация встречается по умолчанию в RHEL, CentOS Stream, Oracle Linux, Rocky, AlmaLinux, CloudLinux, Fedora Server и Amazon Linux — по оценке Qualys, под угрозой более 16,4 млн систем. RHEL 7 не подвержен, поскольку создан до появления reflink, а Debian, Ubuntu, SLES и openSUSE обычно не используют XFS в качестве корневой ФС. Стандартные механизмы защиты — SELinux, seccomp, kernel lockdown, изоляция контейнеров, KASLR, SMEP и SMAP — против этой атаки бесполезны: проблема в обработке reflink-копий, а не в работе с памятью.
Что делать: установить корректирующие выпуски ядра — исправление вошло в 7.1.4, 6.18.39 и 6.12.96. Обновляйтесь как можно скорее, в первую очередь на публичных и многопользовательских серверах. Про предыдущую волну повышений привилегий в ядре мы рассказывали в прошлом дайджесте.
wp2shell: дыра в ядре WordPress пускает злоумышленника без пароля
Цепочку уязвимостей wp2shell в ядре WordPress уже эксплуатируют в реальных атаках. Она позволяет неаутентифицированному злоумышленнику выполнить произвольный код на сайте с установкой WordPress без каких-либо дополнительных плагинов. Складывается wp2shell из двух багов: SQL-инъекции CVE-2026-60137 в параметре author__not_in класса WP_Query (появилась в 6.8) и ошибки CVE-2026-63030 в пакетном эндпоинте REST API (появилась в 6.9).
Инъекция срабатывает, если вместо ожидаемого массива передать строку: проверка обходится, и необработанное значение попадает в SQL-запрос. Сама по себе она не даёт выполнить код без аутентификации — для этого нужен второй баг. Маршрут /wp-json/batch/v1 выполняет несколько вложенных запросов и хранит данные о них в двух параллельных массивах; ошибка в одном запросе рассинхронизирует массивы, следующий запрос попадает в чужой обработчик, обходит список разрешённых эндпоинтов и передаёт вредоносные данные в уязвимый WP_Query. Полная RCE-цепочка работает в версиях 6.9.0–6.9.4 и 7.0.0–7.0.1, а в 6.8.0–6.8.5 опасна только инъекция. По CVSS CVE-2026-60137 получила 9,1 балла, CVE-2026-63030 — 7,5.
PoC-эксплоиты появились почти сразу после выхода патчей: специалисты изучили изменения в коде. Первое сканирование зафиксировали 17 июля, а попытку эксплуатации инъекции — уже через 13 минут. Атакующие массово ищут уязвимые сайты, загружают вредоносные плагины и веб-шеллы, создают учётные записи администраторов и читают wp-config.php. Веб-шелл нередко кладут в /wp-content/cache/ под случайным именем, которое заодно служит паролем в параметре URL. По данным Cloudflare, выполнение кода возможно только на сайтах без постоянного объектного кеша (в стандартной конфигурации его нет); Redis или Memcached могут нарушить цепочку, но не устраняют инъекцию.
Что делать: немедленно обновить WordPress до 6.8.6, 6.9.5 или 7.0.2. Разработчики включили принудительную установку патчей через автообновления, но там, где автообновления отключены, придётся обновиться вручную. Если пропатчиться прямо сейчас нельзя — закройте оба варианта обращения к пакетному API (/wp-json/batch/v1 и rest_route=/batch/v1) на уровне WAF или запретите анонимный доступ к REST API, проверьте логи, каталог /wp-content/cache/, новые PHP-файлы и неизвестные аккаунты администраторов.
FakeGit: 7600 репозиториев-приманок охотятся на ИИ-агентов
Аналитики Island раскрыли кампанию FakeGit: злоумышленники создали около 7600 репозиториев на GitHub, из которых более 800 маскировались под скиллы для ИИ-агентов и MCP-серверы. Вредоносные файлы скачали более 14 млн раз. Под кампанию завели примерно 6600 аккаунтов, накручивали звёзды и форки, писали правдоподобные README, копировали описания популярных инструментов и имена настоящих разработчиков.
В README предлагали скачать ZIP-архив — якобы инсталлятор или релиз проекта, а внутри лежала написанная на Lua нагрузка, запускавшая загрузчик SmartLoader. Он закреплялся в системе через планировщик задач, получал адрес управляющего сервера из смарт-контракта в сети Polygon и подтягивал зашифрованные компоненты с GitHub. В финале на устройство попадал инфостилер StealC.
Отдельно опасна техника AgentBaiting: вредоносный репозиторий ищет не человек, а его ИИ-агент, которому поручили найти навык или MCP-сервер. Агент может принять README за обычную документацию и порекомендовать пользователю заражённый проект. Во время тестов ChatGPT, Gemini и Claude находили связанные с FakeGit репозитории даже без прямой ссылки и иногда пересказывали инструкции по установке; в одном случае Claude Code самостоятельно клонировал репозиторий и скачал файлы на тестовую машину — но затем счёл их подозрительными и остановился, не запустив вредонос. Доверия приманкам добавляли и публичные каталоги: более 600 связанных с FakeGit публикаций нашли на LobeHub, Glama, MCP.so и MCP Market.
Что делать: использовать только проверенные каталоги навыков и MCP-серверов, тестировать новые инструменты в изолированной среде и проверять авторов и репозитории — особенно если поиск и установку вы доверяете ИИ-агенту.
20 багов в Zeb, которые позволяют гостю выполнить код на хосте
В гипервизоре Xen устранено 20 уязвимостей, 12 из которых позволяют гостевой системе нарушить изоляцию и выполнить код на хосте.
Главные уязвимости:
- XSA-508 – pygrub даёт гостевой системе привилегии для управления хостом.
- CVE-2026-62429 – гонка в vNUMA → утечка и повышение привилегий.
- CVE-2026-42494…425 – переполнения буфера в libfsimage (iso9660) → код на хосте через pygrub.
- CVE-2026-62434 – PoD позволяет повредить память Xen.
- CVE-2026-62433 – DM_OP даёт доступ к данным других гостей.
- CVE-2026-62435, 62436, 62432 – гонки в grant-table и evtchn → выполнение кода на хосте (в т.ч. из PV-гостей на x86).
- CVE-2026-62428 – Type Confusion в grant-copy → доступ к хосту.
Остальные уязвимости опубликованы здесь.
Что делать: установить опубликованные патчи Xen.
Критические уязвимости в Samba, позволяющие захватить домен Active Directory
Выпущены обновления Samba 4.24.5, 4.23.10 и 4.22.11, устраняющие 6 уязвимостей в контроллере домена AD, DNS-сервере, Kerberos и CTDB. Две критических (CVSS 8.8) позволяют авторизованному пользователю захватить домен:
- CVE-2026-58221 — через LDAP подмена модулей LDB → добавление себя в Domain Admins.
- CVE-2026-58222 — LDAP Compare → извлечение ключа GKDI и паролей gMSA для повышения привилегий.
Остальные проблемы ведут к отказу в обслуживании (DNS, KDC, CTDB) или утечке памяти.
Что делать:
- Обновитесь до Samba 4.24.5 / 4.23.10 / 4.22.11 — для двух критических уязвимостей временных обходных мер нет.
- Исходники, GPG-подписи и патчи доступны на сайте проекта Samba.
- Для CVE-2026-58216 (KDC) — временно отключить kpasswd (kpasswd port = 0) или ограничить доступ к порту.
- Для CVE-2026-58224 (CTDB) — передавать трафик CTDB по изолированной закрытой сети (протокол не шифруется и не аутентифицируется).
- Конфигурации с BIND9 DLZ не подвержены CVE-2026-6949 и CVE-2026-58218.
