← Уязвимости неделиУязвимости недели: 19–25 октября 2026
Главные уязвимости за неделю: о чём речь и чем они могут навредить. Откройте разбор, чтобы узнать, кого касается проблема и что сделать.
#1 · CVE-2026-96656
замечены атаки · KEV: известны реальные атаки · CVSS 8.6 · EPSS: 0,8 % — вероятность попытки атаки в ближайшие 30 дней
О чём речь
В Plex Media Server есть ошибка, позволяющая администратору записывать произвольные файлы. При запуске программы эти файлы могут выполняться как программы.
Чем навредит
Тот, у кого есть права администратора, может воспользоваться ошибкой по сети, чтобы записать произвольные файлы и потенциально запустить свою программу на сервере. Действия другого человека для этого не нужны.
Разобраться в уязвимости →#2 · CVE-2026-106931
замечены атаки · KEV: известны реальные атаки · CVSS 8.5 · EPSS: 1,2 % — вероятность попытки атаки в ближайшие 30 дней
О чём речь
В SiteGuard Server Edition есть ошибка, из-за которой злоумышленник может заставить систему, где установлена программа, выполнять свои команды с наивысшими правами.
Чем навредит
Злоумышленник с локальным доступом и ограниченными правами может запустить свою программу с полными правами администратора на затронутой системе. Это позволяет читать чужие файлы, изменять или удалять записи и останавливать программы. Действия другого пользователя не нужны. Как злоумышленник может первоначально получить локальный доступ, не указано.
Разобраться в уязвимости →#3 · CVE-2026-96654
замечены атаки · KEV: известны реальные атаки · CVSS 6.9 · EPSS: 0,5 % — вероятность попытки атаки в ближайшие 30 дней
О чём речь
Media Server от Plex неправильно обрабатывает переданные ему адреса. Из-за этого посторонний может вызывать функции других подключаемых модулей и передавать им свои значения.
Чем навредит
Посторонний может воспользоваться ошибкой по сети без входа в систему и без действий с вашей стороны. Он сможет вызывать функции других модулей со своими значениями, что может позволить прочитать или изменить некоторые сведения. Какие именно сведения и функции затронуты, неизвестно.
Разобраться в уязвимости →#4 · CVE-2026-96652
замечены атаки · KEV: известны реальные атаки · CVSS 5.3 · EPSS: 0,5 % — вероятность попытки атаки в ближайшие 30 дней
О чём речь
В Plex Media Server есть ошибка, из-за которой программу можно заставить отправить запрос по адресу, выбранному злоумышленником.
Чем навредит
Злоумышленник, который может обратиться к программе по сети и передать любое значение токена, способен заставить ваш сервер отправить запрос по выбранному им адресу. Какие сведения при этом могут раскрыться, не указано.
Разобраться в уязвимости →#5 · CVE-2026-96655
замечены атаки · KEV: известны реальные атаки · CVSS 5.3 · EPSS: 0,5 % — вероятность попытки атаки в ближайшие 30 дней
О чём речь
Plex Media Server позволяет пользователю, вошедшему в систему, заставить программу отправлять запросы на произвольные внутренние или внешние адреса.
Чем навредит
Пользователь, который может войти в систему и обратиться к программе по сети, может заставить её обращаться к внутренним или внешним адресам. Это может раскрыть некоторые сведения; какие именно — неизвестно.
Разобраться в уязвимости →#6 · CVE-2021-48014
замечены атаки · CVSS 9.3 · EPSS: 1,7 % — вероятность попытки атаки в ближайшие 30 дней
О чём речь
FineReport недостаточно проверяет, куда сохраняет файлы. Злоумышленник может заставить программу записать файл за пределами предназначенного для этого места.
Чем навредит
Если злоумышленник может подключиться к FineReport по сети, он может записывать произвольные файлы без входа в систему. Это позволяет ему запустить свою программу на сервере.
Разобраться в уязвимости →#7 · CVE-2026-109618
замечены атаки · есть публичный эксплойт · публичный эксплойт на GitHub · шаблон Nuclei · CVSS 9.2 · EPSS: 11,6 % — вероятность попытки атаки в ближайшие 30 дней
О чём речь
PHP может неправильно обрабатывать память после того, как при обработке запроса закончится место для данных. При последующей очистке программа может использовать ещё не подготовленные участки памяти.
Чем навредит
Злоумышленник может через сеть запустить свою программу на сервере без входа и без участия других людей. Атака технически сложна и требует дополнительных условий, которые не уточнены.
Разобраться в уязвимости →#8 · CVE-2026-109619
замечены атаки · публичный эксплойт на GitHub · шаблон Nuclei · CVSS 9.2 · EPSS: 6,0 % — вероятность попытки атаки в ближайшие 30 дней
О чём речь
PHP может продолжать использовать память после её освобождения. При обработке следующих запросов эти устаревшие данные могут позволить злоумышленнику запустить свою программу на сервере.
Чем навредит
Злоумышленник может запустить свою программу на сервере через сеть, без входа в систему и без действий со стороны пользователя. Для атаки нужно выполнить сложные условия; какие именно, не указано.
Разобраться в уязвимости →
Проверить свой сервер бесплатно →