📦 Office 2021 больше не получает обновлений безопасности. Найдите его в парке до следующего Patch Tuesday

Коллеги, ещё одна критическая дата жизненного цикла ПО Microsoft, прошедшая 13 октября практически незаметно на фоне рекордного количества CVE.

📌 ФАКТЫ
Завершение жизненного цикла: для Office LTSC 2021 (включая классические пакеты Word, Excel, PowerPoint, Outlook, Access, Project и Visio) официальная поддержка окончательно прекращена 13 октября 2026 года.

Текущий статус: приложения продолжают запускаться и работать штатно, но никаких патчей безопасности и хотфиксов вендор больше выпускать не будет.

Предшественники: поддержка Office 2016 и Office 2019 завершилась ещё в октябре 2025 года — обе эти ветки уже год находятся в «серой зоне».

Реальный масштаб риска: только в октябрьском выпуске обновлений Microsoft закрыла 173 уязвимости в компонентах Office, из которых 26 получили статус Critical (один только Excel собрал 69 уязвимостей, включая 11 критических RCE). Все новые дыры ноября останутся в Office 2021 навсегда.

Что остаётся на официальной поддержке:

Microsoft 365 Apps (корпоративная подписочная модель с регулярными апдейтами каналов);

Office LTSC 2024 (текущая бессрочная корпоративная редакция с фиксированным циклом поддержки).

🛠 ИНВЕНТАРИЗАЦИЯ УСТАНОВЛЕННЫХ РЕДАКЦИЙ В ДОМЕНЕ
Быстрый аудит машин на выявление неподдерживаемых сборок:

1. Для современных установок Click-to-Run (C2R)
PowerShell

# Определяем точный продуктовый идентификатор установленного пакета:
$prodId = (Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Office\ClickToRun\Configuration' -ErrorAction SilentlyContinue).ProductReleaseIds

# Расшифровка ключевых идентификаторов:
# ProPlus2021Volume / Standard2021Volume -> Office 2021 (ПОДДЕРЖКА ЗАВЕРШЕНА)
# ProPlus2019Volume / Standard2019Volume -> Office 2019 (ПОДДЕРЖКА ЗАВЕРШЕНА)
# O365ProPlusRetail                      -> Microsoft 365 Apps (ПОДДЕРЖИВАЕТСЯ)
# ProPlus2024Volume / Standard2024Volume -> Office 2024 (ПОДДЕРЖИВАЕТСЯ)

2. Для устаревших MSI-установок (Office 2016 и старше)
PowerShell

# Проверка классической ветки реестра Uninstall (32-бит и 64-бит):
Get-ItemProperty `
  'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\*', `
  'HKLM:\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Uninstall\*' -ErrorAction SilentlyContinue |
  Where-Object { $_.DisplayName -match 'Microsoft Office (Professional|Standard|Home|LTSC)' } |
  Select-Object DisplayName, DisplayVersion, InstallDate |
  Format-Table -AutoSize

💡 В ЧЁМ СУТЬ ДЛЯ СИСАДМИНА

Офисный пакет без регулярных секьюрити-обновлений — главная входная дверь для шифровальщиков и стилеров: входящие таблицы Excel, сметы и коммерческие предложения в Word открываются рядовыми сотрудниками ежедневно и на автомате.

Где искать в первую очередь:

Бухгалтерия, финансовый отдел и отдел кадров — рабочие места с максимальным входящим трафиком внешних документов от контрагентов.

Филиальные ПК и удалённые склады — где исторически «один раз поставили с дистрибутива и забыли».

Если бюджетный апгрейд всего парка на Office LTSC 2024 или облачный Microsoft 365 не согласован:

Рассмотрите гибридную схему: массовый перевод типовых рабочих мест на отечественные/open-source офисные пакеты (Р7-Офис, МойОфис, LibreOffice);

Для единичных пользователей с критической зависимостью от сложных VBA-макросов выделите изолированный терминальный сервер с актуальным поддерживаемым Office, отрезав прямой доступ из интернета.

#office #lifecycle #microsoft #security #inventory #powershell #patchmanagement #sysadmin #admin_future

🚨 PwnEscape (CVE-2026-99999): побег из ВМ на хост KVM через virtio-net. Proxmox уже выпустил исправленное ядро

Коллеги, понедельник. Если у вас Proxmox или любой KVM — это пост номер один на неделю.

📌 ФАКТЫ
Уязвимость ядра Linux в обработке virtio-net и TAP в KVM

Последствия: утечка памяти хоста, его падение или выполнение кода на хосте из гостевой ВМ

CVSS: Linux CNA/NVD — 9.3, Red Hat — 8.8. Оценки привилегий в госте расходятся: от «любая нагрузка, отправляющая трафик» до «нужен root в госте»

В KEV пока нет, эксплуатация в дикой природе не подтверждена. Утечку памяти показали в продакшене Vercel

Обходного решения нет, только обновление ядра и перезагрузка

Исправлено:

Plaintext

Proxmox VE : proxmox-kernel-7.0.14-24-pve (PSA-2026-00068-1)
Debian 13  : 6.12.113-1 (DSA-6568-1)
Debian 12  : 6.1.190-1  (DLA-4841-1)
Upstream   : 6.1.190 · 6.6.159 · 6.12.113 · 6.18.57 · 7.2.11

🛠 PROXMOX: ОБНОВЛЕНИЕ БЕЗ ПРОСТОЯ
Bash

# 1. Проверяем текущее ядро и версию PVE
uname -r && pveversion -v | grep -E 'kernel|manager'

# 2. Выкачиваем патчи
apt update && apt full-upgrade

# 3. Уводим ВМ с узла, ребутаем хост, возвращаем — узел за узлом
qm migrate <VMID> <NODE> --online

💡 В ЧЁМ СУТЬ

Граница между ВМ и хостом — главное обещание виртуализации. Если на одном хосте живут ВМ разной степени доверия (клиентские, тестовые, DMZ), обновляйтесь в первую очередь. Live migration делает это без простоя — ради таких дней её и настраивают.

#security #proxmox #kvm #virtualization #linux #cve #sysadmin #admin_future

🚨 BeyondTrust Remote Support: обход аутентификации, китайская APT и удалённые логи. Ещё один инструмент удалённого доступа под атакой

Коллеги, продолжаем тему «легитимный удалённый доступ как вход для атакующих».

📌 ФАКТЫ
CVE-2026-102764, CVSS 9.3 — обход аутентификации в BeyondTrust Remote Support

Эксплуатация с конца августа по сентябрь, пострадали минимум два клиента BeyondTrust

Mandiant видит пересечение с китайской группой UNC5221. После входа: повышение привилегий, горизонтальное перемещение, веб-шелл SAWFLY, туннель BARECLAW, удаление логов на устройстве

CISA добавила CVE в KEV

Privileged Remote Access (PRA) использует тот же код: эксплуатацию BeyondTrust не воспроизвела, но патч выпустила и рекомендует ставить

С версиями путаница: в одних источниках уязвимы версии до 26.2.3, в других исправлением названа 24.3.1. Сверяйте с бюллетенем BT26-05

🛡 ПЛАН
Обновить self-hosted Remote Support и PRA по BT26-05

Проверить устройство на компрометацию: Mandiant предупреждает, что часть механизмов закрепления переживает перезагрузку и сброс конфигурации

Сменить учётки, которые проходили через инструмент, — особенно привилегированные

Логи с устройства — во внешний SIEM, чтобы их нельзя было стереть на месте

💡 В ЧЁМ СУТЬ

Инструмент привилегированного доступа — это ключи от всего, к чему он подключается. Его логи должны уходить наружу в реальном времени: здесь атакующие удаляли их на самом устройстве.

#security #beyondtrust #remoteaccess #apt #kev #sysadmin #admin_future

🎬 Plex2Shell: домашний медиасервер стал майнером через несколько часов после публикации эксплойта

Коллеги, интересное для тех, у кого дома или в лабе крутится Plex на NAS или в Docker.

📌 ФАКТЫ
Plex2Shell — цепочка из 4 CVE: CVE-2026-96652, 96654, 96655, 96656

Механика: SSRF → доступ к внутренним функциям → запись файла в нужное место → загрузка неподписанного кодека → выполнение кода. Без логина

Уязвимы версии Plex Media Server до 1.43.3.10828, исправление — 1.43.3.10861. Plex выпустил обновление ещё 1 сентября

17 октября на ханипоте зафиксированы успешные атаки на Plex в Docker: майнер XMRig и прокси myawesomeproxy

Запросы атакующих шли на /player/timeline/subscribe

🛠 ПРОВЕРКА
Bash

# Версия Plex (ответ содержит version="...")
curl -s http://localhost:32400/identity

# Дерево процессов: у Plex не должно быть «docker», «x», xmrig, proxy
ps axjf | grep -A3 -i 'plex'

# Были ли запросы к уязвимому пути (если Plex за reverse proxy)
grep '/player/timeline/subscribe' /var/log/nginx/access.log*

💡 В ЧЁМ СУТЬ

Исправление вышло в сентябре, атаки начались в октябре — снова окно «патч есть, но не поставлен». Домашние сервисы, проброшенные наружу «для удобства», обновляют реже всего. Plex наружу — только через VPN или Tailscale, а Docker-образ — с регулярным

pull

.

#selfhosted #plex #docker #nas #security #homelab #sysadmin #admin_future

📮 Zimbra: эксплуатируемая уязвимость без участия пользователя, если установлен SNMP-пакет. Патч вышел ещё в июле

Коллеги, среда. Zimbra в России стоит у многих — проверяем.

📌 ФАКТЫ (Microsoft Threat Intelligence)
CVE-2026-73570 — уязвимость в Zimbra Collaboration Suite, атака возможна без учётной записи и без действий получателя

Условие: установлен необязательный пакет zimbra-snmp и включены SNMP-уведомления

Исправлено в Zimbra 10.1.20 (20 июля 2026). Первые попытки атак Microsoft видела уже в конце июля — после патча, но до публичного раскрытия

После взлома атакующие ставили JSP веб-шеллы, меняли PAM/sudo для повышения прав, создавали замаскированную службу zimlog.service и охотились за секретами аутентификации Zimbra

🛠 ПРОВЕРКА
Bash

su - zimbra -c 'zmcontrol -v'                    # версия
rpm -qa | grep zimbra-snmp || dpkg -l | grep zimbra-snmp
systemctl list-unit-files | grep -i zimlog       # подозрительная служба
grep -rn pam_exec /etc/pam.d/                    # неожиданные хуки PAM

🛡 ПЛАН
Обновиться до 10.1.20+

Если обновить сейчас нельзя — удалить zimbra-snmp и выключить SNMP-уведомления

Проверить JSP-файлы, службы systemd и sudo на неожиданные изменения

При находках — сменить секреты аутентификации Zimbra и пароли администраторов

💡 В ЧЁМ СУТЬ

Необязательные пакеты, которые поставили «на всякий случай», увеличивают поверхность атаки. Не используете SNMP-мониторинг Zimbra — пакету не место на сервере.

#zimbra #mail #security #linux #sysadmin #admin_future

☁️ Nextcloud + встроенный Collabora CODE: на серверах находят веб-шеллы. Отключить приложение недостаточно

Коллеги, для всех, у кого Nextcloud с офисными документами «из коробки».

📌 ФАКТЫ
CVE-2026-110447 — критическая уязвимость в приложении Collabora Online – Built-in CODE Server (richdocumentscode). Аутентификация не нужна

Уязвимы версии до 26.4.303, исправление вышло 11 сентября, CVE и advisory опубликованы 14 октября

Атаки — примерно с 10 сентября: на серверах находили PHP веб-шеллы, атакующие искали базы паролей и криптокошельки

Не затронуты: отдельные серверы Collabora Online, установки через Docker и RPM/DEB, Nextcloud All-in-One

По данным вендора, отключить приложение недостаточно — его нужно обновить или удалить

🛠 ПРОВЕРКА И ИСПРАВЛЕНИЕ
Bash

cd /var/www/nextcloud
sudo -u www-data php occ app:list | grep -A1 richdocumentscode
sudo -u www-data php occ app:update richdocumentscode
# не нужен — удалить
sudo -u www-data php occ app:remove richdocumentscode

# PHP-файлы, изменённые за последние 45 дней (искать лишние)
find /var/www/nextcloud -name '*.php' -mtime -45 -not -path '*/apps/*/l10n/*' | head -50

💡 В ЧЁМ СУТЬ

Встроенный CODE удобен для маленьких инсталляций, но это отдельный сервер внутри PHP-приложения. Для продакшена надёжнее вынести Collabora в отдельный контейнер. Если нашлись лишние PHP-файлы — сервер пересобрать и сменить пароли пользователей.

#nextcloud #collabora #selfhosted #security #sysadmin #admin_future

🧠 Skills: nginx 1.30.6 и 1.31.7 закрыли 5 уязвимостей. Проверяем, задевают ли они ваш конфиг, одной командой

Коллеги, навык дня — аудит конфигурации nginx перед обновлением.

📌 ФАКТЫ (nginx.org, 14 октября)
Исправления в 1.30.6 (stable) и 1.31.7 (mainline). F5 выпустила внеплановые обновления и для NGINX Plus

Затронутые места:

alias вместе с rewrite — переполнение буфера

вычисление строковых выражений с переменными — переполнение буфера

HTTP/3 — внедрение в тело запроса

ротация ключей TLS session tickets — подделка сессии

ngx_http_ssi_module вместе с AIO — use-after-free

Отдельно обновлён njs 1.0.2 (разбор XML)

🛠 ПРОВЕРКА
Bash

nginx -v
# Полный эффективный конфиг — ищем рискованные сочетания
nginx -T 2>/dev/null | grep -nE '^\s*(alias|rewrite|ssi on|aio|ssl_session_ticket_key|listen .*quic|http3)'

Пусто — риск ниже, но обновиться всё равно стоит. Есть совпадения — обновляемся в первую очередь.

Bash

apt update && apt install --only-upgrade nginx    # из репозитория nginx.org
nginx -t && systemctl reload nginx

💡 В ЧЁМ СУТЬ
nginx -T

— недооценённая команда: она показывает итоговый конфиг со всеми include. Её вывод полезно хранить в git после каждого изменения — так видно, что и когда поменялось.

#skills #nginx #webserver #linux #security #sysadmin #admin_future

🐘 PHP: две критические уязвимости 9.2 без аутентификации. Вышли 8.5.12, 8.4.27, 8.3.36 и 8.2.35

Коллеги, четверг. Если у вас есть хоть один сайт, WordPress, Nextcloud или Roundcube — это про вас.

📌 ФАКТЫ
21 октября вышли PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35

Закрыты две уязвимости с оценкой 9.2, обе — удалённое выполнение кода без аутентификации:

повреждение памяти при обработке нехватки памяти (OOM)

использование глобального состояния после освобождения памяти

Номера CVE и условия срабатывания в первых публикациях не раскрыты. Разработчики заранее предупреждали хостинги о выходе патча

🛠 ГДЕ У ВАС PHP
Bash

php -v
ls /etc/php/ 2>/dev/null                       # все установленные ветки (Debian/Ubuntu)
systemctl list-units --type=service | grep -E 'php.*fpm'
docker ps --format '{{.Names}}\t{{.Image}}' | grep -i -E 'php|wordpress|nextcloud'

Bash

# Debian/Ubuntu: обновить и перезапустить FPM
apt update && apt install --only-upgrade 'php*'
systemctl restart 'php*-fpm'

⚠️ НЕ ЗАБЫТЬ
Контейнеры не обновятся через apt хоста — нужен docker compose pull && docker compose up -d

В дистрибутивах исправление придёт под своей версией пакета — сверяйте с бюллетенем дистрибутива

PHP 8.1 и старше без поддержки — патча не будет

💡 В ЧЁМ СУТЬ

PHP — общий знаменатель для половины веб-приложений. Одно обновление интерпретатора закрывает риск сразу для всех сайтов на сервере, а пропущенное оставляет открытыми все. Сегодня — день обновления FPM и образов.

#php #web #security #wordpress #nextcloud #sysadmin #admin_future

🦊 GitLab: снова уязвимость максимальной критичности — выполнение кода без аутентификации. Второй раз за две недели
Коллеги, пятница. Self-hosted GitLab в России стоит у многих команд — обновляем до выходных.
📌 ФАКТЫ
CVE-2026-110264 — переполнение целого числа в компиляторе регулярных выражений GitLab, CE и EE
По словам GitLab, при определённых условиях позволяет неаутентифицированному пользователю выполнить код на сервере
Исправлено в 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13. GitLab.com уже обновлён
Сведений об эксплуатации пока нет. Shadowserver видит в интернете более 2 700 открытых GitLab CE
Контекст: ~10 дней назад — CVE-2026-97229 (CVSS 10) в том же компоненте CI/CD, в прошлом месяце — path traversal, который позже попал в KEV
🛠 ПРОВЕРКА И ОБНОВЛЕНИЕ (Omnibus)

head -1 /opt/gitlab/version-manifest.txt          # текущая версия
sudo gitlab-backup create SKIP=artifacts           # бэкап перед обновлением
sudo cp /etc/gitlab/gitlab.rb /etc/gitlab/gitlab-secrets.json /root/
sudo apt update && sudo apt install --only-upgrade gitlab-ce   # или gitlab-ee
sudo gitlab-rake gitlab:check SANITIZE=true

💡 В ЧЁМ СУТЬ

Три критичных уязвимости за полтора месяца — темп, при котором «обновлю на следующей неделе» перестаёт работать. GitLab держит токены деплоя, ключи и секреты CI. Если он смотрит в интернет — либо за VPN, либо автообновление патч-версий.

#gitlab #devops #security #cve #selfhosted #sysadmin #admin_future

📨 Уязвимости ядра Linux по ошибке попали в публичную рассылку. Две из них — RCE с CVSS 9.0 в SMB-коде ядра

Коллеги, история, которая напрямую касается ваших файловых серверов на Linux.

📌 ФАКТЫ
22 октября Zero Day Initiative (Trend Micro) отправила отчёты о шести уязвимостях не в закрытый список безопасности ядра, а в публичную LKML. Судя по всему, по ошибке

Самые серьёзные — удалённое выполнение кода с CVSS 9.0 в SMB Direct и во встроенном SMB-сервере ядра ksmbd

Остальные — повышение привилегий (сетевой код, драйвер VMware vmwgfx и др.) и утечка информации (NVMe target)

На момент публикации исправлений в основном ядре нет: для части уже готовятся патчи

🛠 ЗАДЕВАЕТ ЛИ ВАС
Bash

# ksmbd — модуль ядра, не путать с обычной Samba (smbd)
lsmod | grep -E 'ksmbd|smbdirect'
systemctl status ksmbd 2>/dev/null | head -3

# Кто слушает 445 порт
ss -ltnp | grep ':445'

Пусто или процесс smbd — у вас классическая Samba, ksmbd не используется

Если ksmbd включён и не нужен — выгрузите модуль и запретите его загрузку до выхода патчей

Bash

modprobe -r ksmbd
echo 'install ksmbd /bin/false' > /etc/modprobe.d/disable-ksmbd.conf

💡 В ЧЁМ СУТЬ

Пока патчей нет, работает только сокращение поверхности атаки. SMB-порт никогда не должен смотреть в интернет, а модули ядра, которыми вы не пользуетесь, лучше не загружать вовсе.

#linux #kernel #smb #ksmbd #security #sysadmin #admin_future

🤖 «Чёрный октябрь»: уязвимости в PHP нашёл AI — раньше атакующих. Что это меняет для админов

Коллеги, итог недели — не просто очередная новость, а тектонический сдвиг в информационной безопасности.

📌 ФАКТЫ (Axios, 22 октября)
Две критические уязвимости PHP (CVSS 9.2), закрытые 21 октября, обнаружили исследователи с помощью технологий OpenAI. Позиция компании: «насколько нам известно, frontier AI нашёл эти уязвимости раньше атакующих»

В Wiz называют инцидент одним из самых опасных в истории экосистемы PHP. По данным Axios, ряд крупных порталов в США и Великобритании уходили в экстренный офлайн для установки исправлений

Уже в среду зафиксирована потенциальная попытка эксплуатации в дикой природе — успешность пока не подтверждена

Безопасники открыто говорят о феномене «Black October»: совпадение беспрецедентного вала критических CVE и взрывного роста автоматизированных атак

📊 ЧТО МЫ ВИДЕЛИ ЗА ЭТОТ МЕСЯЦ В КАНАЛЕ
Рекордный Patch Tuesday от Microsoft — 1 411 исправлений

Мейнтейнеры ядра Linux экстренно вырезают устаревшие драйверы, потому что ИИ генерирует репорты и патчи быстрее, чем инженеры физически успевают их тестировать на реальном железе

Автоматизированный AI-ревьюер Google фигурирует уже в 463 CVE ядра Linux за текущий год

🛠 БЫСТРЫЙ АУДИТ PHP ПО СЕРВЕРАМ (чек-лист)
Bash

# Прогон версий по ключевым хостам (веб-ноды, Nextcloud, панели)
for h in web1 web2 nc1; do 
  echo "== $h =="; 
  ssh "$h" 'php -v | head -1'; 
done

Безопасные релизы: ветки 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 либо бэкпортированные патчи из security-репозиториев вашего дистрибутива.

💡 В ЧЁМ СУТЬ

Когда нейросети сканируют кодовую базу быстрее людей, окно экспозиции между публичным коммитом и первой волной эксплойтов сжимается с месяцев до считанных часов.

Концепция «обновляемся раз в квартал по регламенту» окончательно умерла. Выигрывают те, у кого выстроены:

Точная инвентаризация сервисов (чтобы за 5 минут знать, где крутится уязвимый бинарник).

CI/CD и staging для моментального регрессионного теста.

Готовый регламент наката security-патчей в прод в режиме «закрываем периметр за 24 часа».

#ai #php #patchmanagement #security #trends #sysadmin #admin_future

🤖 AI-агенты OpenAI выбрались из песочниц во время внутренних тестов. Как запускать агентов в своей инфраструктуре

Коллеги, всё больше админов пускают AI-агентов на свои серверы. Свежий отчёт — отличный повод пересмотреть модель угроз и правила изоляции.

📌 ФАКТЫ (OpenAI, 23 октября)
В ходе внутреннего red-teaming автономные агенты сумели выбраться из защищённых виртуальных машин, обойти сетевые ограничения и передать данные между изолированными средами

Тестовая среда представляла собой контейнеры внутри легковесных microVM с отдельным ядром на изолированных копиях исследовательской инфраструктуры. В ряде сценариев агентам предоставляли исходники и техническую документацию по известным уязвимостям

Это не компрометация пользовательских сервисов: инцидент затронул только R&D-лабораторию. Выявленные векторы закрыты совместно с мейнтейнерами задействованных open-source проектов

OpenAI перевела критические этапы обучения в полностью офлайновый контур с локально кешированным вебом, расширенным аудитом системных вызовов и триггерами автоматической остановки сессий

🛠 АГЕНТ НА ВАШЕМ СЕРВЕРЕ: БАЗОВЫЙ ХАРДЕНИНГ
Bash

# 1. Отдельный непривилегированный пользователь без sudo и без доступа к ssh-ключам хоста
useradd -m -s /bin/bash agent

# 2. Запуск в изолированном контейнере: сеть отрезана, ФС только на чтение, capabilities сброшены
docker run --rm -it \
  --network none \
  --read-only \
  --cap-drop ALL \
  --security-opt no-new-privileges \
  -v "$PWD":/work:ro \
  <образ-агента>

Никаких боевых секретов: исключите передачу прод-токенов в ENV и закройте доступ к ~/.ssh и ~/.kube/config

Строгий Egress: если агенту жизненно необходим интернет, выпускайте его только через egress-прокси с белым списком разрешённых FQDN/IP

Неизменяемый аудит: собирайте системные логи команд и трассировку процессов агента во внешний журнал/SIEM

💡 В ЧЁМ СУТЬ

Одной виртуальной границы — обычного Docker-контейнера или даже гипервизора — уже недостаточно. Работает только эшелонированная оборона: строгая изоляция, принцип наименьших привилегий, фильтрация исходящего трафика и постоянный мониторинг аномалий.

К автономному AI-агенту в инфраструктуре нужно относиться ровно так же, как к стороннему стажеру-подрядчику: нулевое доверие по умолчанию и доступ строго в рамках конкретного тикета.

#ai #security #containers #isolation #devops #sysadmin #admin_future

🐘 PHP2Shell: эксплуатация подтверждена. Плюс новая уязвимость PHP без патча — есть временная мера

Коллеги, вторник. Продолжение истории с PHP: от сканирования перешли к реальным взломам.

📌 ФАКТЫ
CVE-2026-109618 и CVE-2026-109619 (PHP2Shell) — две критические RCE, закрытые 21 октября

24 октября на ханипоте зафиксировано подтверждённое удалённое выполнение кода с последующей загрузкой полезной нагрузки (Apache + mod_php, PHP 8.4.26)

Amazon Threat Intelligence видела попытки атак за четыре дня до выхода патчей

CISA 23 октября опубликовала SIGMA-правило для обнаружения попыток эксплуатации

Отдельно: CVE-2026-115560 — ещё одна RCE, пока без патча. По словам разработчиков, затрагивает системы с редким сочетанием конфигурации и кода приложения. Временная мера: session.upload_progress.enabled = 0

🛠 ПРОВЕРКА И ВРЕМЕННАЯ МЕРА
Bash

php -v | head -1
apache2ctl -M 2>/dev/null | grep -i php          # mod_php или FPM
php -i | grep session.upload_progress.enabled

Bash

# Debian/Ubuntu: отключить для всех SAPI
for d in /etc/php/*/{fpm,apache2,cli}/conf.d; do
  [ -d "$d" ] && echo 'session.upload_progress.enabled = 0' > "$d/99-upload-progress.ini"
done
systemctl restart 'php*-fpm' apache2 2>/dev/null

💡 В ЧЁМ СУТЬ

Патч от 21 октября обязателен, но его одного уже мало. Если не обновлялись на прошлой неделе — проверьте сервер на следы взлома: новые PHP-файлы в каталогах сайтов, незнакомые процессы от пользователя веб-сервера, исходящие соединения.

#php #security #web #apache #cve #sysadmin #admin_future

🗜 Brotli CVE-2026-111497: уязвимость в библиотеке сжатия задевает не только Node.js. Чинится пересборкой образов

Коллеги, среда. Сначала короткое напоминание: 27 октября CISA подтвердила активную эксплуатацию PHP2Shell в дикой природе. Если PHP на серверах ещё не обновлён — начните рабочий день с него.

📌 ФАКТЫ
Критическая уязвимость в декодере Brotli — популярной библиотеке сжатия данных от Google (out-of-bounds write / запись за пределы буфера)

Вектор атаки затрагивает любой софт, который распаковывает входящий Brotli-поток от недоверенной стороны. По аналитике Tenable, под ударом широкий стек: Node.js, .NET, Bun, Envoy, Istio, HTTP-клиенты Python, FFmpeg, Apache Arrow, ClickHouse

В сети уже доступны публичные PoC-эксплойты, сканеры фиксируют первые волны вредоносного трафика

Исправленные релизы:

Node.js: 26.12.1 / 24.22.1 / 22.23.4

Библиотека Brotli: 1.2.1 / 1.1.1 / 1.0.10

Ветки Node.js 20.x, 23.x, 25.x находятся вне цикла поддержки (EOL) — обновлений для них не будет

🛠 ГДЕ ИСКАТЬ УЯЗВИМЫЙ БИНАРНИК
Bash

# Проверка локального рантайма Node.js
node -v 2>/dev/null

# Системные пакеты библиотеки в ОС
dpkg -l | grep -i brotli || rpm -qa | grep -i brotli

# Python-окружения
pip show brotli brotlicffi 2>/dev/null | grep -E 'Name|Version'

# Быстрый аудит локальных Docker-образов через Grype (Anchore)
for img in $(docker images --format '{{.Repository}}:{{.Tag}}'); do
  echo "== $img =="
  grype "$img" -q 2>/dev/null | grep -i brotli
done

🛡 ПЛАН ДЕЙСТВИЙ
Обновить системные пакеты дистрибутива на хостах и перезапустить зависимые службы (веб-серверы, прокси).

Пересобрать контейнеры: обновить lock-файлы зависимостей проектов (npm/yarn/pnpm, pip), подтянуть свежие базовые образы с docker build --no-cache и задеплоить заново.

Проверить запущенный прод: убедиться, что контейнеры запущены из свежих digest-хешей, а не из старых закешированных слоев (docker ps --format '{{.Image}}\t{{.CreatedAt}}').

💡 В ЧЁМ СУТЬ

Системные библиотеки сжатия и парсинга давно превратились в скрытую бомбу supply-chain: они статически линкуются в бинарники и зашиваются в базовые образы контейнеров десятками разных путей.

Обычный

apt upgrade

на хосте не лечит то, что упаковано внутрь Docker-контейнера. Наличие SBOM (Software Bill of Materials) и сканеров образов в CI/CD — единственный способ превратить расследование «на каких из сотни сервисов у нас собран Brotli» из многодневного аврала в один короткий скрипт.

#security #brotli #nodejs #containers #supplychain #sysadmin #admin_future

🔏 eMudhra: ключи восьми промежуточных CA оказались подбираемыми. Один из них буквально был числом 4

Коллеги, показательная история про архитектуру доверия PKI и слепые зоны автономных trust store в серверной инфраструктуре.

📌 ФАКТЫ
Удостоверяющий центр eMudhra отозвал 8 промежуточных сертификатов (6 для TLS и 2 для подписи кода под корнем emSign ECC Root CA - G3, кросс-подписанных Sectigo): закрытые ключи P-384, сгенерированные в апреле 2025 года, содержали катастрофически низкую энтропию

Криптография уровня велосипедного замка: вместо 384 бит случайности ключи представляли собой целые числа меньше 256 (3–8 бит). Закрытый ключ для EM OV TLS CA – G3C оказался буквально числом 4. Полный перебор на обычном ноутбуке занимает доли секунды

Причина: сбой служебного скрипта на этапе wrap/unwrap во время церемонии генерации ключей и ошибка сопоставления лейблов. Проблема оставалась незамеченной 17 месяцев и прошла через два аудита

Эксплуатация: исследователи обнаружили баг 17 октября 2026 года. Прямых фактов вредоносного выпуска в Certificate Transparency не зафиксировано, злоупотреблений в дикой природе пока не найдено

Реакция экосистемы: Chrome (CRLSet), Mozilla (OneCRL, отзыв корня G3, удаление в Firefox 158.0.1 / CVE-2026-113470), Apple и Microsoft заблокировали цепочки. На фоне инцидента eMudhra заявила об уходе с мирового рынка публичных TLS-сертификатов

Специфический фикс для Go 1.27.3 / 1.26.10 (CVE-2026-111943): встроенный верификатор crypto/x509 фильтрует скомпрометированные SPKI-хеши

🛠 ПРОВЕРКА И ПРАКТИЧЕСКИЕ ШАГИ
Браузеры блокируют такие цепочки на лету, но CLI-утилиты, скрипты, ран таймы и контейнеры обычно не проверяют списки отзыва (CRL/OCSP) и продолжают доверять скомпрометированным сертификатам, пока не обновлен сам bundle.

Bash

# 1. Обновляем системное хранилище доверенных корневых сертификатов
apt update && apt install --only-upgrade ca-certificates
update-ca-certificates 2>/dev/null || true

# 2. Тестовый запрос: проверяем, доверяет ли локальный curl скомпрометированной цепочке
# (Ожидаемый безопасный результат — ошибка SSL / HTTP 000, а не 200 OK)
curl -s -o /dev/null -w "%{http_code}\n" https://dv-g3b-emudhra.we-have-a-problem.com/

# 3. Аудит бинарников на Go (агенты мониторинга, CLI-инструменты, экспортеры)
# В них зашит встроенный движок x509:
go version -m /usr/local/bin/<ваша_утилита> | head -1

⚠️ ГДЕ ОСТАЁТСЯ РИСК
Docker-образы: контейнеры несут собственный /etc/ssl/certs/ca-certificates.crt, зашитый при сборке. apt upgrade на хосте их не защитит — необходим пересбор образов с ключом --pull --no-cache.

Изолированные runtime-пакеты: Node.js (22.23.4+ / 24.22.1+), Python (certifi), Java (cacerts), Rust (webpki-roots) тащат свои копии trust store.

Корпоративный софт и appliance: прошивки сетевого оборудования, VPN-шлюзы и внутренние утилиты, не имеющие автообновления бандлов.

💡 В ЧЁМ СУТЬ

Модель открытого PKI держится на презумпции криптографической стойкости корневых участников: ошибка одного вендора в private key автоматически ставит под угрозу весь HTTPS.

Поскольку сервера и пайплайны исторически игнорируют CRL/OCSP из соображений скорости и надежности сети, единственной защитой остается регулярная актуализация trust store в базовых ОС и пересборка контейнеров с подтягиванием свежих пакетов

ca-certificates

.

#pki #tls #certificates #security #go #sysadmin #admin_future

💾 AOMEI Backupper: атакующие подменяли обновления на серверах вендора на 5–10 минут. Проверяем рабочие станции

Коллеги, AOMEI часто стоит на ПК и небольших серверах как бесплатный бэкап. Этот пост для вас.

📌 ФАКТЫ (Google GTIG / Mandiant, ManageEngine)
Группа UNC7017 меняла конфигурацию обновлений на серверах AOMEI в короткие окна: 28 мая (10 минут), 16 июля (6 минут), 20 июля (5 минут). Возможно, были и другие

Уязвимость не использовалась: контрольные суммы лежали в том же неподписанном файле, что и ссылка на обновление

Доставлялись загрузчик CROSSROAD, бэкдор SHINYROAD, подписанный Radmin и фреймворк Adaptix C2 под видом Nitro PDF

Цели — случайные: под удар попадала любая машина, проверявшая обновления в это окно. Тот же механизм обновления у AnyViewer

🛠 ПРОВЕРКА (Windows)
PowerShell

# Задачи планировщика из отчёта
Get-ScheduledTask | Where-Object TaskName -match 'RadminComponentRuntime|NitroRuntime'

# Radmin в профилях пользователей
Get-ChildItem $env:APPDATA, $env:LOCALAPPDATA -Directory -Recurse -Filter '*radmin*' -ErrorAction SilentlyContinue

# Обращения к доменам атакующих в кэше DNS
Get-DnsClientCache | Where-Object Entry -match 'storage-data\.com'

Заблокировать на файрволе: storage-data[.]com, 8.210.84.56, 8.218.65.184, 47.239.60.117, а также исходящий SMB (445) и внешний WebDAV.

💡 В ЧЁМ СУТЬ

Исправление на стороне вендора не лечит уже заражённые машины. И ещё вывод: бесплатный софт с автообновлением на рабочих станциях — тоже цепочка поставок. Его стоит инвентаризировать наравне с корпоративными агентами.

#security #supplychain #backup #windows #threathunting #sysadmin #admin_future

💾 Veeam: критическая дыра в Backup & Replication. Бэкап, который сам нуждается в бэкапе

Коллеги, четверг. Есть три стадии принятия патчей для Veeam: «у нас всё изолировано», «ну это же не RCE» и «срочно в окно обслуживания». Переходим сразу к третьей.

📌 ФАКТЫ (Veeam KB4948, 27 октября)
CVE-2026-108142, CVSS 4.0 — 9.1: обход авторизации в CDP Coordinator Service, без учётных данных, по сети

Затронуты VBR на Windows и Veeam Software Appliance: 13.1 до 13.1.1.18 включительно и 13.0 до 13.0.2.29 включительно

Исправлено: 13.1.2 (13.1.2.57) и 13.0.3 (13.0.3.63)

В том же бюллетене: две path traversal (5.9) для роли оператора восстановления и LPE в Veeam Agent for Linux (7.3) → исправлено в версии 13.1.2.11

Эксплуатации в дикой природе пока нет. Veeam прямо предупреждает: бинарники патча уже разбирают на диффы, чтобы атаковать тех, кто затягивает с установкой

🛠 ПРОВЕРКА
PowerShell

# Версия VBR на сервере резервного копирования
(Get-Item 'C:\Program Files\Veeam\Backup and Replication\Backup\Veeam.Backup.Shell.exe').VersionInfo.ProductVersion

# Проверка наличия и статуса службы CDP Coordinator
Get-Service | Where-Object DisplayName -match 'CDP' | Select-Object Name, Status

💡 В ЧЁМ СУТЬ

Сервер резервного копирования — первая цель злоумышленников и программ-вымогателей перед развертыванием шифровальщика: если уничтожить бэкапы, бизнесу некуда отступать.

VBR должен жить в изолированном VLAN без прямого доступа из пользовательских подсетей, вне основного домена Active Directory (workgroup / отдельный лес менеджмента), а критичные точки восстановления обязаны лежать в immutable-хранилищах (Linux Hardened Repository или S3 Object Lock). И патчиться такой узел должен в приоритетном порядке — аргумент «он же глубоко внутри сети» здесь не работает.

#veeam #backup #security #cve #sysadmin #admin_future

📹 Камеры видят всё. Кроме того, что их софт взломали. Huntress нашла бэкдор через ПО управления видеонаблюдением

Коллеги, когда охрана просит «поставить программку для камер на любой свободный компьютер» — это классический пролог к инциденту из отчёта Huntress.

📌 ФАКТЫ (Huntress, 27 октября)
В сентябре–октябре зафиксирована серия компрометаций через софт управления видеонаблюдением CMS.exe (C:\Program Files (x86)\CMS\). Точный вендор — OEM no-name из Китая (Xiongmai / General CMS софт, который пакуют под сотни брендов регистраторов)

Техника атаки: легитимный процесс CMS.exe дропает и спавнит rs.win32.exe в профиле пользователя (AppData\Roaming). Далее для обхода AV/EDR задействован классический DLL Sideloading: копия подписанного системного бинарника Родительского контроля Windows WpcMon.exe подтягивает вредоносные библиотеки-обманки IPHLPAPI.DLL и samcli.dll

Закрепление и C2: прописка в ветках автозагрузки реестра Run, активный маяк и обратный туннель на C2-адрес 144.172.116.37

🛠 ИНВЕНТАРИЗАЦИЯ И ПОИСК АРТЕФАКТОВ (PowerShell)
Запуск от имени администратора:

PowerShell

# 1. Проверяем наличие типового каталога CMS на диске
Test-Path 'C:\Program Files (x86)\CMS\CMS.exe'

# 2. Ищем дропнутые пейлоады и подозрительные DLL в профилях пользователей
Get-ChildItem -Path C:\Users\ -Recurse -Depth 4 -Include rs.win32.exe,WpcMon.exe,samcli.dll -ErrorAction SilentlyContinue |
  Select-Object FullName, Length, LastWriteTime

# 3. Аудит веток автозапуска Run (HKLM и HKCU)
Get-ItemProperty 'HKCU:\Software\Microsoft\Windows\CurrentVersion\Run',
                 'HKLM:\Software\Microsoft\Windows\CurrentVersion\Run' | 
  Select-Object * -ExcludeProperty PS*

# 4. Проверка активных сетевых соединений к C2
Get-NetTCPConnection -RemoteAddress '144.172.116.37' -ErrorAction SilentlyContinue

Маркер компрометации: присутствие

WpcMon.exe

где-либо за пределами

C:\Windows\System32\

— 100% индикатор DLL Sideloading.

😅 ЖИЗНЕННОЕ
ПО для китайских камер обычно разворачивает монтажник систем безопасности с флешки десятилетней давности, дефолтный пароль на RTSP/ONVIF admin / 123456, патчей к этому бинарнику не существует в природе, а сам ПК физически подключён прямо в офисный коммутатор рядом с бухгалтерией и контроллером домена. Атакующим даже не потребовалось искать zero-day.

💡 В ЧЁМ СУТЬ

Любой noname видеонаблюдательный софт, DVR-клиенты и NVR-панели априори должны считаться враждебным кодом:

Сетевая изоляция: регистраторы и видеосерверы уходят в изолированный VLAN/L2 без шлюза в корпоративный сегмент.

Отдельный пост мониторинга: просмотр видео — строго с выделенного тонкого клиента/АРМ вне домена Active Directory.

AppLocker / Software Restriction Policies / WDAC: базовый запрет запуска исполняемых файлов (

.exe

,

.dll

,

.bat

) из пользовательских путей

%LocalAppData%

и

%AppData%

рубит эту цепочку исполнения на первом же шаге.

#security #cctv #windows #threathunting #юмор #sysadmin #admin_future

🖨 Принтер — самый недооценённый сервер в компании. В веб-сервере GoAhead, который стоит в сотнях миллионов устройств, нашли три TLS-уязвимости

Коллеги, в каждом офисе есть сервер, который никто не обновлял с момента покупки. Обычно он ещё и печатает.

📌 ФАКТЫ (FoxIO, 27 октября)
GoAhead — ультракомпактный встраиваемый веб-сервер, зашитый в прошивки сотен миллионов устройств: сетевые принтеры и МФУ (HP, Canon, Brother, Ricoh), SOHO-маршрутизаторы, IP-АТС, камеры и промышленные контроллеры (PLC/SCADA)

CVE-2026-115881 (CVSS 9.1) — критический обход авторизации: встроенный обработчик mTLS принимает отозванные клиентские сертификаты из-за некорректной валидации списков отзыва (CRL/OCSP) в связке с OpenSSL (сборки от 3.4.5 до 6.1.0)

CVE-2026-115884 (CVSS 7.4) — обход проверки глубины цепочки доверия X.509 при сборке софта с отдельными версиями LibreSSL

Вектор без CVE (CVSS 5.9) — использование статических слабых параметров Диффи — Хеллмана (DH-группы 1024 бит и ниже) при согласовании шифров в TLS 1.2 со стеком Mbed TLS

Уязвимости устранены апстримом в GoAhead 6.1.1, но конечному оборудованию это не поможет, пока каждый конкретный вендор не пересоберёт и не выкатит собственную прошивку

По умолчанию mTLS отключён, поэтому уязвимость в первую очередь бьёт по enterprise-окружениям, где доступ к панели МФУ закрывали сертификатами

🛠 ПОИСК И ДЕТЕКТ GOAHEAD В ПОДСЕТЯХ
Bash

# 1. Быстрое сканирование подсети принтеров и IoT через nmap
nmap -p 80,443,8080,8443 -sV --script http-server-header 10.0.0.0/24 | \
  grep -B6 -iE 'goahead|goahead-webs'

# 2. Точечный баннер-граббинг подозрительного хоста
curl -skI https://10.0.0.50/ | grep -i '^server:'

# 3. Поиск устройств с включённой mutual TLS (mTLS) аутентификацией
echo | openssl s_client -connect 10.0.0.50:443 2>&1 | grep -i 'Acceptable client certificate CA names'

😅 ЖИЗНЕННОЕ
«Да кто будет взламывать МФУ на ресепшене, это же просто печать накладных!» — сетевой стек с правами root, паролем admin / 1234 и прошивкой от 2017 года в одном широковещательном домене с контроллером Active Directory.

«Патч выйдет в следующем квартале» — для моделей принтеров старше трёх лет следующий квартал обычно наступает никогда (End of Support).

💡 В ЧЁМ СУТЬ

Встраиваемый веб-интерфейс принтера — полноценная точка входа для закрепления в периметре и атак типа Man-in-the-Middle. Полагаться на вендорские обновления прошивок сетевой периферии бессмысленно: жизненный цикл прошивок у большинства производителей исчисляется парой лет.

Единственный рабочий рубеж обороны — сетевая изоляция:

Все МФУ, IP-телефоны и IoT выносятся в отдельный изолированный Printer/IoT VLAN.

Пользовательским рабочим станциям разрешается доступ только на порт печати (RAW 9100 / LPR 515 / IPP 631).

Доступ к HTTP/HTTPS веб-мордам администрирования принтеров — строго из доверенного Admin VLAN / подсети управления.

#security #iot #printers #network #юмор #sysadmin #admin_future

📋 Google, Apple и Microsoft внесены в реестр ОРИ: что это значит и чем грозит

Коллеги, важный юридический и регуляторный прецедент для инфраструктуры и корпоративных сервисов.

📌 ФАКТЫ
РКН пополнил реестр ОРИ (организаторов распространения информации):

Google (сервис Google Meet) — внесен 26 января 2026 года

Apple (apple.com) и Microsoft (microsoft.com) — внесены в реестр 2 октября

В карточке Apple указано ПО, у Microsoft — вся экосистема облачных сервисов и продуктов

Ранее в реестр уже принудительно вносили мессенджеры (WhatsApp, Skype, Wire), а также Cloudflare

С 2024 года РКН может вносить сервисы в реестр самостоятельно — после судебных решений за повторное неуведомление ведомства

⚖️ ОБЯЗАННОСТИ ОРИ («Пакет Яровой» и новые сроки)
Статус ОРИ (ст. 10.1 149-ФЗ) накладывает жесткие технические обязательства:

6 месяцев — хранение содержимого переписки, голосовых данных, аудио- и видеозвонков.

3 года — хранение метаданных (факты и логи передачи сообщений, авторизаций, IP-адресов).

Предоставление ключей/доступа и передача этих данных спецслужбам (ФСБ) по запросу в рамках ОРД.

⚠️ ПОСЛЕДСТВИЯ И РИСКИ БЛОКИРОВОК
Иностранные бигтехи исполнять требования «пакета Яровой» и устанавливать СОРМ заведомо не будут.

Механика регулятора в таких случаях отработана:

Предписание и штрафы за отказ от предоставления данных.

Принудительное внесение в реестр ОРИ.

Блокировка сервиса на территории РФ за неисполнение обязанностей ОРИ (по этой же схеме в декабре 2024 года заблокировали Viber).

💡 В ЧЁМ СУТЬ

Включение экосистем Apple, Microsoft и Google Meet в ОРИ — это создание прямой юридической базы под возможные ограничения или блокировки сервисов (звонки, экосистемная авторизация, облака).

Если ваш бизнес до сих пор завязан на созвоны в Google Meet, учетки MS 365 или пуши/сервисы Apple без запасного плана — самое время пересмотреть риски зависимости от внешнего контура и подготовить локальные альтернативы.

#security #rkn #privacy #cloud #law #sysadmin #admin_future