Браузер. Плагин. Пакет. Экран входа. Обычные вещи. В этом и заключается проблема на этой неделе.
Проблемы продолжают возникать в том, чему люди уже доверяют: код, который принимает неверное направление, возвращающиеся старые полезные нагрузки, открытые системы, слабые проверки, поддельные исправления и пути атак, которые кажутся слишком простыми. Даже исследовательская сторона становится запутанной: больше находок, больше автоматизации и не всегда больше ясности.
Ничто из этого не требует особой драмы. Просто много маленьких приоткрытых дверей. Вот что произошло.
Cisco предупреждает о новой уязвимости нулевого дня в ISE, позволяющей обходить аутентификацию — Cisco предупредила о новой уязвимости максимальной степени критичности, затрагивающей Identity Services Engine (ISE), которая активно эксплуатируется. Уязвимость, отслеживаемая как CVE-2026-76460 (CVSS score: 10.0), может позволить неаутентифицированному удаленному злоумышленнику обойти аутентификацию. «Эта уязвимость вызвана недостаточным контролем аутентификации в конечной точке API», — заявила Cisco. «Злоумышленник может использовать эту уязвимость, отправив специально сформированный запрос к затронутой конечной точке API. Успешная эксплуатация может позволить злоумышленнику получить несанкционированный доступ к затронутому устройству, обойдя веб-интерфейс управления».
Уязвимости появляются еженедельно, а разрыв между исправлением и эксплуатацией быстро сокращается. Вот самые значимые за неделю: с высокой степенью критичности, широко используемые или уже подвергающиеся атакам в реальном мире.
Проверьте список, исправьте то, что у вас есть, и в первую очередь займитесь теми, которые отмечены как срочные — CVE-2026-58138 (Orkes Conductor), CVE-2026-58704 (Google Pixel), CVE-2026-90894 (ParaShells) (Parallels Desktop), CVE-2026-82079 (Nintendo Switch), CVE-2026-89049 (AWS Systems Manager Agent), CVE-2026-43502 (ZcopyReaper), CVE-2026-80844 (DirtyAH6), CVE-2026-81000 (TUNderflow), CVE-2026-68121 (PPPoEject), CVE-2026-74469 (DiagSpill) (ядро Linux), CVE-2026-70416, CVE-2025-43936 (Dell ObjectScale и Elastic Cloud Storage), CVE-2026-68488 (Plesk Backup Manager), CVE-2026-56711, CVE-2026-73324 (VLC Media Player), CVE-2026-65638 (cPanel ConfigServer Security & Firewall), CVE-2026-85982, CVE-2026-78626, CVE-2026-78623 (Okta), CVE-2026-0310 (Palo Alto Networks PAN-OS), CVE-2026-85061 (MapLibre GL JS), GHSA-rvhw-4hpw-9vrx, GHSA-rrgq-978q-36mq, GHSA-4xhx-8cv5-wh62, GHSA-8v35-895w-232p (ArangoDB), CVE-2026-65812 (Microsoft Teams для Android), CVE-2026-80172, CVE-2026-61410, CVE-2026-80238 (Dell Secure Connect), CVE-2026-18851 (Ivanti Endpoint Manager Mobile), CVE-2026-91721, CVE-2026-91749, CVE-2026-91726, CVE-2026-93374, CVE-2026-93372 (Google Chrome), CVE-2026-92033, от CVE-2026-92005 до CVE-2026-92013, от CVE-2026-92015 до CVE-2026-92020, от CVE-2026-92022 до CVE-2026-92029, от CVE-2026-92034 до CVE-2026-92038 (Mozilla Firefox), CVE-2026-15315, CVE-2026-15316 (камеры TP-Link Tapo), CVE-2026-82232, CVE-2026-77147, CVE-2026-73178 (Apache Syncope), CVE-2026-76669, CVE-2026-76670, CVE-2026-76672, CVE-2026-76673, CVE-2026-76674 (HPE Networking EdgeConnect SD-WAN Gateways и SD-WAN Orchestrator), CVE-2026-73693, CVE-2026-73694, CVE-2026-73698, CVE-2026-73699 (FileRun), CVE-2026-39919 (Ghostscript), CVE-2026-91998 (Casdoor), CVE-2026-91932, CVE-2026-91931 (Flowise), CVE-2026-65400, CVE-2026-65414, CVE-2026-65346, CVE-2026-84607, CVE-2026-43790 (Apple), CVE-2026-90999 (Sentry Seer), CVE-2026-77692, CVE-2026-76163, CVE-2026-19667, CVE-2026-19666, CVE-2026-80274 (ISC BIND 9), CVE-2026-91843 (Check Point), CVE-2026-77179 (Docker), CVE-2026-81642, CVE-2026-82717 (Unbound DNS), Click2Shell (WordPress), CVE-2026-28326, CVE-2026-28323, CVE-2026-28309, CVE-2026-28306, CVE-2026-28308, CVE-2026-28310, CVE-2026-28314, CVE-2026-28313, CVE-2026-28307, CVE-2026-28305, CVE-2026-28317, CVE-2026-28304, CVE-2026-28312, CVE-2026-28316, CVE-2026-28311, CVE-2026-28302, CVE-2026-28321, CVE-2026-28315 (SolarWinds), CVE-2026-89026 (Issabel Framework), CVE-2026-78175 (Tutor LMS), уязвимость внедрения команд операционной системы в Dokploy и уязвимость десериализации pickle в MLflow.
Урок этой недели довольно прост: меньше доверяйте, больше проверяйте. Знакомый инструмент, пакет, процесс входа, запрос браузера или облачная настройка все еще могут быть слабым местом. Старые полезные нагрузки могут вернуться, открытые системы по-прежнему обнаруживаются, а «доверенный» не означает «безопасный».
Другой урок — скорость. Пути атак становятся короче, исследования ускоряются, а слабые настройки по умолчанию не остаются незамеченными надолго. Исправляйте то, что важно, следите за тем, что открыто, и не предполагайте, что обычные вещи безвредны. Обычно именно с этого начинается неделя.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Ravie Lakshmanan
