Октябрь продолжает закидывать нас новостями из мира безопасности. Критические дыры в ядрах, громкие взломы в цепочке поставок и пара забавных курьезов в популярном софте — мы отобрали самое важное, чтобы вы не упустили главное. В сегодняшней подборке уязвимости и инциденты от самых опасных, требующих срочных обновлений, до безобидных особенностей утилит.
Ворох уязвимостей в ядрах Linux и FreeBSD
На прошлой неделе обнаружили серию критических уязвимостей в Linux и FreeBSD. Часть проблем позволяет локальному пользователю повысить привилегии до root, а некоторые уязвимости затрагивают изоляцию виртуальных машин и контейнеров.
Одна из самых серьезных — Vghost (CVE-2026-74580). Она позволяет обойти изоляцию виртуальных машин (выйти с гостевого уровня на хост). Проблема затрагивает ядра начиная с версии 4.11. Патчи для нее уже выпущены в ветках 5.10.265, 5.15.216, 6.1.183, 6.6.152, 6.12.104, 6.18.45, 7.1.9 и 7.2. Если обновить ядро прямо сейчас невозможно, временной мерой будет ограничение доступа к устройствам /dev/vhost-net, /dev/vhost-vsock, /dev/vhost-scsi и /dev/vhost-vdpa-*. Мы обновляем инфраструктуру.
Во FreeBSD исправлены дыры в звуковом драйвере и гипервизоре Bhyve и модуле tcp_rack. Эти проблемы позволяют локальному пользователю повысить привилегии до root, выполнить код на стороне хоста или вызвать аварийную остановку ядра. Исправления уже доступны в версиях 15.1-RELEASE-p5, 14.5-RELEASE-p2 и 14.4-RELEASE-p11.
Отдельно проект ZDI случайно слил данные о пяти уязвимостях. Для одной из них (ZDI-CAN-33367) патч уже готов. А для ZDI-CAN-33549, 33774, 34068, 34076, патчей в стабильных ядрах пока нет. Чтобы защититься, эксперты советуют выгрузить модуль ksmbd (и закрыть порт 445), отключить SMB Direct, а на VMware-гостях запретить загрузку драйвера vmwgfx. Подробные инструкции по каждой из них собраны в разборе Sysdig.
Взломать сервер без пароля? В TCP-стеке Linux нашли такую лазейку
В сетевой подсистеме ядра Linux нашли опасный изъян (CVE-2026-98432). Он позволяет удаленному злоумышленнику выполнить свой код и получить права суперпользователя (root).
Проблема кроется в механизме установки TCP-соединений. Из-за ошибки синхронизации потоков система может использовать уже удаленную область памяти. Хакер подгадывает этот момент и внедряет туда свои данные.
Под угрозой находятся серверы с включенной функцией MPTCP (включая все приложения на языке Go 1.24+, например, Caddy). Рабочий эксплоит уже создан, хотя на попытки взлома уходит около часа.
Что делать. Если вы используете MPTCP на своих серверах — обновите ядро. Если нет (как и мы) — риск значительно ниже, но полностью исключать другие векторы атаки нельзя. Исправления доступны в версиях 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 и 7.3.
Уязвимость в UEFI-прошивках позволяет атаковать серверы через ICMP
В стандартной UEFI-прошивке (TianoCore EDK II), которую используют большинство производителей серверов, нашли критическую уязвимость (CVE-2026-97631). Ошибка кроется в драйвере сетевой загрузки (PXE).
Хакеру достаточно отправить специальный ICMP-пакет («пинг») в момент, когда сервер загружается по сети. Размер пакета превышает возможности буфера прошивки (504 байта), из-за чего код выходит за его пределы. При успешной эксплуатации злоумышленник может выполнить код на уровне UEFI ещё до запуска операционной системы. Это позволяет обойти Secure Boot и спрятать вредоносные компоненты от антивирусов. Для атаки нужно знать IP-адрес сервера и определить момент его сетевой загрузки; успешная эксплуатация также зависит от конкретной версии прошивки.
Уязвимость может затрагивать прошивки на базе EDK II, включая решения AMI, Insyde, Phoenix и Microsoft Mu. Если сервер не нуждается в загрузке по сети, отключите PXE в настройках BIOS/UEFI, а также следите за выходом обновлений прошивки от производителя вашего железа (Dell, HP, Supermicro и др.).
Уязвимости обнаружили в библиотеках zip-rs и librsvg
Сразу в двух популярных библиотеках на языке Rust нашли критические уязвимости.
Первая — zip-rs (CVE-2026-115905). Из-за рассинхронизации метаданных между Central Directory File Header (CDFH) и Local File Header (LFH) можно создать архив, который для антивируса будет отображаться как безопасный, хотя при потоковой распаковке из него извлекаются другие файлы. Программа проверки читает метаданные из CDFH и пропускает файл, но при извлечении приоритет отдается LFH — в результате на диск выгружается скрытый вредоносный скрипт.
Вторая — librsvg (CVE-2026-96889). Ошибка обработки памяти при парсинге SVG-картинок позволяет выполнить код на сервере. Под удар попал популярный NPM-пакет sharp (80 млн загрузок в неделю) и видеоплатформа PeerTube.
Что делать. Исправления для обеих библиотек уже вышли (zip-rs до версии 9.0.5, librsvg — до 2.63.1). Если вы используете их в проектах, срочно обновите зависимости.
Опять PHP: свежая дыра, но на этот раз редкий сценарий
Разработчики PHP предупредили о новой критической уязвимости (CVE-2026-115560), позволяющей при определенных условиях выполнить код на сервере (RCE). Она была обнаружена всего через два дня после выхода экстренных патчей для нашумевшей проблемы PHP2Shell (о ней мы подробно писали тут и тут).
На этот раз атака сработает только при очень редком сочетании настроек. Приложение должно изначально использовать один обработчик сессий, а во время работы на лету переключиться на другой. Разработчики считают такой сценарий экзотическим, поэтому срочный патч готовить не стали.
Что делать. Пока официального исправления нет, отключите функцию отслеживания прогресса загрузки файлов (session.upload_progress.enabled = 0). Если вы уже сделали это для защиты от PHP2Shell, делать ничего не нужно.
Alpine Linux атаковали через уязвимость в Ruby
Сервер разработки Alpine Linux подвергся атаке. Хакеры использовали уязвимость в Ruby (CVE-2026-110264), о которой мы рассказывали здесь.
Ирония в том, что администраторы обновили сам GitLab до безопасной версии, но забыли про Ruby, который работал внутри их Docker-контейнера. В итоге дыра осталась открытой. Доказательств успешного взлома не нашли, однако полностью исключить его не смогли. В логах зафиксировали несколько аварийных завершений, а 28 октября администраторам пришлось полностью пересобрать сервер с нуля и сбросить все пароли пользователей. Обновлённый сервер вернули в эксплуатацию 29 октября.
Что делать. Если вы используете официальный контейнер alpinelinux/gitlab, просто скачайте его заново и пересоберите. Версии, опубликованные до 27 октября, содержат уязвимый Ruby.
Плагин Claude Code для VS Code оказался вредоносным
В каталоге Cursor Marketplace на несколько часов появилась вредоносная версия официального плагина Claude Code от Anthropic. Релиз 2.1.313 распространялся 29 октября с 12:27 до 23:35 по московскому времени, его успели скачать около 5000 раз.
Вредоносный код собирал токены, ключи и email разработчиков, после чего прописывал в систему свой SSH-ключ и открывал скрытый туннель на сервер злоумышленников. Это давало хакерам постоянный удаленный доступ к компьютеру. Проблемную версию уже удалили, а разработчики выпустили чистое обновление (2.1.314).
Что делать. Если вы ставили этот плагин 29 октября, срочно смените все токены и пароли. Также проверьте систему на наличие файлов ~/.config/.smt и ~/.config/.smtk — они могут указывать на взлом.
«SMS of Death»: как одно сообщение может уронить Android
В Android нашли уязвимость (CVE-2026-58882), из-за которой телефон уходит в бесконечную перезагрузку. Достаточно отправить специально составленное SMS (WAP Push). Получив его, система падает и перезагружается по кругу.
Звучит страшно, но на практике это не массовая рассылка. Чтобы «уронить» конкретный телефон, злоумышленник должен знать ваш номер и целенаправленно захотеть навредить. Данные при этом не крадутся, а просто блокируется работа устройства.
Что делать. Уязвимость затрагивает телефоны на Android 12–17. Исправление включено в октябрьское обновление, но выпущено только для Android 14–17. Владельцам устройств на Android 12–13 следует проверить наличие обновления у производителя или обратиться к оператору с просьбой заблокировать доставку WAP Push-сообщений.
В конфигурационных файлах curl можно реализовать полноту по Тьюрингу
В старых версиях утилиты curl (с 8.12 по 8.16) обнаружили неожиданную особенность. Оказалось, что с помощью конструкций в конфигурационных файлах можно реализовать полноту по Тьюрингу.
Проще говоря, в обычном конфиге можно было написать настоящую программу — например, симулятор сложения чисел или известную программу «99 бутылок пива». Это не уязвимость, а случайно возникшая возможность из-за вложенности файлов и работы с переменными.
Что делать. Ничего. В новых версиях curl (начиная с 8.17) эту возможность уже ограничили пятью уровнями, чтобы защититься от бесконечных циклов.
