Обзор уязвимостей за прошедшую неделю (1-7 мая)
Предлагаем ознакомиться с небольшим обзором уязвимостей за прошедшую неделю. В центре внимания: cPanel, WebHost Manager, Linux, PackageKit, Cisco Firepower, Secure Firewall, Adaptive Security Appliance, Firepower Threat Defense, Firefox, Tor Browser, iOS, Signal, iPhone, Windows RPC, ASP.NET Core, Data Protection.
В cPanel и WebHost Manager обнаружена критическая уязвимость, позволяющая обойти аутентификацию и получить доступ к панели управления без учетных данных. Проблема затрагивает большинство поддерживаемых версий продукта. Для устранения ошибки выпущен экстренный патч, который необходимо устанавливать вручную.
В ядре Linux выявлена уязвимость CopyFail, позволяющая получить root-доступ без использования сложных эксплойтов и состояния гонки. Для эксплуатации достаточно короткого Python-скрипта, а проблема затрагивает большое количество дистрибутивов, выпущенных после 2017 года.
В сервисе PackageKit обнаружена уязвимость Pack2TheRoot с идентификатором CVE-2026-41651 и оценкой 8.8 по шкале CVSS. Ошибка позволяет повысить привилегии в Linux-системах через механизм управления пакетами.
На устройствах Cisco Firepower и Secure Firewall выявлена вредоносная программа Firestarter, закрепляющаяся в системах с ПО Adaptive Security Appliance и Firepower Threat Defense. Малварь сохраняется даже после установки обновлений и прошивки устройств.
Во всех браузерах на базе Firefox, включая Tor Browser, обнаружена уязвимость, позволяющая сайтам формировать устойчивый идентификатор пользователя и отслеживать его активность между доменами без применения cookie и других стандартных механизмов трекинга.
Обновления iOS 26.4.2 и iOS 18.7.8 устранили проблему хранения push-уведомлений на устройствах Apple. Из-за этой ошибки ранее появилась возможность извлечения удалённых сообщений Signal с iPhone.
В архитектуре Windows RPC обнаружен способ локального повышения привилегий до уровня SYSTEM. Техника получила название PhantomRPC и затрагивает механизм Remote Procedure Call в Windows.
Компания Microsoft выпустила внеплановое обновление для ASP.NET Core. Исправленная уязвимость в API Data Protection позволяла злоумышленникам без аутентификации получать привилегии SYSTEM через подделку файлов cookie.
