Не только PHP: аналитики R-Vision назвали самые опасные уязвимости октября

В октябре внимание ИБ-сообщества было приковано к критическим уязвимостям PHP, однако ими список актуальных угроз не ограничился. Аналитики R-Vision изучили трендовые уязвимости месяца и выделили ещё несколько опасных ошибок в популярных корпоративных решениях. В подборку вошли уязвимости Windows Shell, GitLab CE/EE и TrueConf Server. Одна из них получила максимальную оценку критичности CVSS 10, а другая позволяет обойти встроенные механизмы защиты Windows.

Обзор поможет руководителям подразделений информационной безопасности, специалистам по управлению уязвимостями и администраторам ИТ-инфраструктуры оценить актуальные риски, определить, какие системы требуют первоочередного внимания, и расставить приоритеты при устранении уязвимостей.

CVE-2026-109618, CVE-2026-109619 | BDU:2026-17191, BDU:2026-17192: Уязвимости удалённого выполнения кода в интерпретаторе PHP («PHP2Shell»)

Уровень критичности: 9.2 | Вектор атаки: сетевой

Две критические уязвимости в ядре Zend интерпретатора PHP позволяют неаутентифицированному злоумышленнику выполнить произвольный код на сервере. Уязвимости получили общее название PHP2Shell.

CVE-2026-109618 связана с некорректной обработкой ошибки нехватки памяти при добавлении параметров HTTP-запроса в массив. Если лимит памяти исчерпывается после регистрации элемента, но до выделения под него памяти, элемент остается незаполненным. При завершении запроса PHP пытается освободить его и интерпретирует остатки старых данных в памяти как реальный объект. Атакующий может заранее подготовить структуру этого объекта через другое поле POST-запроса (например, multipart/form-data) и вызвать контролируемое исчерпание памяти для выполнения команд.

CVE-2026-109619 связана с использованием памяти после освобождения. Если обработка запроса прерывается из-за таймаута, нехватки памяти или обрыва соединения, PHP не очищает служебные переменные процесса, и они продолжают ссылаться на освобожденные адреса. При обработке следующего запроса тем же воркером происходит повторное обращение к этой памяти. Для эксплуатации злоумышленник отправляет два последовательных HTTP-запроса: первый повреждает состояние воркера, а второй активирует выполнение произвольного кода.

Уязвимости затрагивают все версии PHP начиная с 5.4 вплоть до исправленных выпусков 8.2.35, 8.3.36, 8.4.27 и 8.5.12.

Статус эксплуатации уязвимости:

Эксплуатация уязвимостей зафиксирована до выхода исправления. 21 октября CISA добавила обе уязвимости в каталог KEV и рекомендовала перевести незащищённые системы в офлайн. Многие российские компании временно вывели PHP-сервисы на техническое обслуживание до установки патча.

CVE-2026-96951 | BDU:2026-16527: Уязвимость обхода защиты Mark of the Web в Windows Shell

Уровень критичности: 8.8 | Вектор атаки: сетевой

Уязвимость связана с внедрением команд в оболочке Windows (Windows Shell) из-за некорректной обработки специальных элементов и позволяет обойти механизм Mark of the Web (MotW). Этой меткой Windows помечает файлы, полученные из интернета, и на её основе SmartScreen и Microsoft Office предупреждают пользователя, включают защищённый просмотр или блокируют запуск. При обходе защиты файл открывается без этих проверок.

Согласно описанию уязвимости от Microsoft, для атаки требуется участие пользователя: злоумышленник отправляет специально подготовленный файл по почте или в мессенджере и убеждает жертву его открыть. Детали внедряемых команд вендор не раскрывает.

Уязвимость закрыта 13 октября 2026 года в рамках Patch Tuesday. Затронуты Windows 10, Windows 11 и Windows Server от 2012 R2 до 2025.

Статус эксплуатации уязвимости:

Уязвимость эксплуатировалась как уязвимость нулевого дня, Microsoft присвоила ей статус Exploitation Detected. 13 октября CISA добавила её в каталог KEV. По данным Tenable, это уже третья эксплуатируемая в атаках уязвимость Windows Shell в 2026 году после CVE-2026-21510 и CVE-2026-32202.

CVE-2026-110264 | BDU:2026-17391: Уязвимость удалённого выполнения кода в GitLab CE/EE

Уровень критичности: 10 | Вектор атаки: сетевой

Уязвимость связана с целочисленным переполнением при компиляции специально сформированного регулярного выражения. Ошибка находится не в коде GitLab, а в Onigmo — движке регулярных выражений Ruby, который поставляется в составе GitLab. Согласно бюллетеню разработчиков Ruby, переполняются внутренние идентификаторы в шаблоне с большим числом повторений, причём ошибка достижима, только если приложение компилирует регулярное выражение из строки, контролируемой атакующим. По оценке Censys, возможный путь атаки связан с отображением файлов Org-mode (.org) в публичных проектах. Для обнаружения попыток эксплуатации GitLab опубликовала правила Onigmo native worker crash и Org mode render error burst.

Затронуты все версии GitLab CE/EE начиная с 7.0 вплоть до исправленных выпусков 18.11.13, 19.0.10, 19.1.9, 19.2.9, 19.3.6, 19.4.3 и 19.5.1; GitLab Dedicated уже защищён. Серверы, обновлённые 12 октября для устранения похожей уязвимости CVE-2026-97229, остаются уязвимыми к CVE-2026-110264.

Статус эксплуатации уязвимости:

Исправления вышли 21 октября 2026 года. По состоянию на 27 октября эксплуатация в реальных атаках не зафиксирована, в каталог CISA KEV уязвимость не внесена. Публичного эксплойта, выполняющего код на GitLab, нет — доступны лишь стенды, воспроизводящие сбой Onigmo. Это уже четвёртая за месяц уязвимость GitLab из-за ошибок в Onigmo, наряду с CVE-2026-89078, CVE-2026-93577 и CVE-2026-97229 (бюллетень Ruby).

BDU:2026-15756: Уязвимость удалённого выполнения кода в TrueConf Server

Уровень критичности: 9.8 | Вектор атаки: сетевой

Уязвимость в TrueConf Server, выявленная специалистами «СайберОК» и «Дэйтли», позволяет неаутентифицированному удалённому злоумышленнику выполнить произвольный код на сервере. Проблема вызвана некорректной обработкой входных данных в одном из API-эндпоинтов. Атакующий может отправить специально сформированный запрос, который записывает вредоносный объект в кэш приложения. Затем эти данные без проверки передаются в функцию десериализации, что позволяет выстроить цепочку вызовов через существующие классы и удаленно выполнить произвольную команду. Аутентификация или взаимодействие с пользователем не требуются. Затронуты версии TrueConf Server с 4.5.0.15891 до 5.5.5.10304 включительно.

Статус эксплуатации уязвимости:

Данных о реальной эксплуатации и публичного PoC пока нет. Однако TrueConf широко распространен в российском корпоративном и госсекторе, что делает его приоритетной целью для политически мотивированных группировок. Предыдущие критические уязвимости вендора (CVE-2026-72529 и CVE-2026-72530) активно использовались группировкой Head Mare для компрометации серверов, развертывания PhantomCore и подмены клиентских дистрибутивов.

Как защититься

Первоочередная мера защиты — установить обновления безопасности. Однако в корпоративной инфраструктуре важно не только применять исправления, но и регулярно проверять состояние систем.

Решения класса Vulnerability Management помогают автоматизировать этот процесс: выявлять уязвимости, оценивать связанные с ними риски и контролировать устранение проблем. Встроенный сканер позволяет проводить проверки без подключения сторонних инструментов, а все результаты доступны в едином интерфейсе.

Такой подход помогает поддерживать актуальную информацию о защищённости инфраструктуры и системно управлять уязвимостями.