В дайджест попали:
- CVE-2026-3502 - TrueConf
- CVE-2026-34621 - Adobe Acrobat и Reader
- CVE-2026-33825 - Microsoft Defender
- CVE-2026-32201 - Microsoft SharePoint Server
Уязвимость удалённого выполнения кода в механизме обновления TrueConf Client (Windows)
CVE-2026-3502 | BDU:2026-04546
Уровень критичности по оценке CVSS: 7.8
Вектор атаки: смежная сеть
Подтверждение вендора:
Информация об эксплуатации
Описание уязвимости:
Уязвимость связана с тем, что TrueConf Client загружает пакет обновления и применяет его без надлежащей проверки целостности и подлинности полученного пакета.
При запуске TrueConf Client проверяет наличие новой версии на сервере. Если сервер сообщает о доступности обновления, клиент предлагает загрузить пакет обновления по URL, который указан сервером. При этом клиент доверяет полученному пакету и при запуске обновления пользователем не выполняет достаточной проверки его целостности и подлинности.
В ряде случаев Microsoft SmartScreen может предупреждать о том, что файл не имеет действительной цифровой подписи, и запрашивать подтверждение запуска.
Эксплуатация возможна при компрометации сервера обновлений TrueConf, находящегося в сети, из которой доступен механизм обновления TrueConf (например, во внутренней сети, VPN-сегменте или DMZ). Для эксплуатации атакующий должен контролировать сервер TrueConf или подменить пакет обновления. Тогда TrueConf Client, запросивший обновление, может получить вредоносный исполняемый файл вместо штатного обновления.
Статус эксплуатации уязвимости:
БДУ ФСТЭК информирует, что уязвимость эксплуатируется в атаках.
В KEV уязвимость была добавлена 02.04.2026, для федеральных агентств США установлен срок исправления до 16.04.2026, что прямо подтверждает наличие активной эксплуатации и высокий приоритет устранения.
Check Point Research, исследовательское подразделения компании Check Point, сообщает, что CVE-2026-3502 эксплуатировалась в реальных атаках в рамках кампании TrueChaos против государственных организаций Юго-Восточной Азии. По данным исследователей, злоумышленники использовали механизм обновления TrueConf для доставки Havoc на уязвимые хосты.
Возможные негативные сценарии:
- Выполнение произвольного кода
- Кража конфиденциальных данных
- Полная компрометация системы
Рекомендации по устранению
- Обновить TrueConf Client Windows до версии 8.5.3 или выше.
- Ограничить доступ к серверу TrueConf и контуру распространения обновлений, поскольку эксплуатация полностью завязана на возможности атакующего повлиять на путь доставки обновления и подменить пакет обновления.
Дополнительная информация
Подробный разбор уязвимости можно найти в нашей статье на Habr.
Уязвимость выполнения произвольного кода в Adobe Acrobat и Reader
CVE-2026-34621 | BDU:2026-04929
Уровень критичности по оценке CVSS: 8.6
Вектор атаки: локальный
Подтверждение вендора:
Информация об эксплуатации
Описание уязвимости:
Уязвимость связана с неконтролируемым изменением атрибутов прототипа объекта (порча прототипа), что может привести к ACE/RCE и к побегу из песочницы Adobe.
Для эксплуатации нарушителю требуется взаимодействие с пользователем. Дополнительно необходимо, чтобы на стороне пользователя была включена настройка выполнения JavaScript-кода в просматриваемых и редактируемых файлах (по умолчанию включена).
Нарушитель готовит специально сформированный PDF-файл, для этого он производит загрязнение прототипа, модифицируя Object.prototype и помещая туда небезопасные свойства такие, как trusted или privileged. Это позволяет обойти механизмы защиты JavaScript-движка Adobe. В результате нарушитель получает возможность воспользоваться такими ограниченными API, как util.readFileIntoStream(), app.launchURL() или app.trsutedFunction().
Далее нарушитель доставляет специально сформированный PDF-файл пользователю, который открывает его при помощи Adobe Reader. После открытия устанавливается соединение с удаленным сервером, откуда на хост пользователя закачивается обфусцированная полезная нагрузка, впоследствии выполняемая через eval().
Статус эксплуатации уязвимости:
10.04.2026 БДУ ФСТЭК опубликовал информацию о том, что уязвимость используется в атаках. 11.04.2026 вендор подтвердил, что уязвимость эксплуатируется в дикой природе. 13.04.2026 CISA добавила эту уязвимость в каталог KEV, отметив важность исправления уязвимости до 27.04.2026.
В публичном доступе есть рабочее доказательство концепции (PoC). Дополнительно Александром Агиаром из ThreatLocker были подготовлены индикаторы компрометации.
Возможные негативные сценарии:
- Выполнение произвольного кода
- Удаленное выполнение произвольного кода в случае доставки дополнительного эксплойта после эксплуатации уязвимости
- Побег из песочницы Adobe
- Кража конфиденциальных данных
- Полная компрометация системы
Рекомендации по устранению
- В настройках Adobe отключить выполнение JavaScript-кода в PDF-файлах.
- Ограничить сетевой доступ из внешних сетей к уязвимому хосту.
- Ограничить возможность открытия файлов из недоверенных источников.
- 10.04.2026 для Acrobat DC, Acrobat Reader DC, Acrobat 2024 вендором были выпущены обновления, устраняющие данную уязвимость.
Уязвимость повышения привилегий в Microsoft Defender
CVE-2026-33825 | BDU:2026-05271
Уровень критичности по оценке CVSS: 7.8
Вектор атаки: локальный
Подтверждение вендора:
Информация об эксплуатации
Описание уязвимости:
Уязвимость повышения привилегий затрагивает Microsoft Defender Antivirus во всех поддерживаемых версиях Windows 10, Windows 11 и Windows Server.
При обнаружении вредоносного файла Microsoft Defender создаёт снимок Volume Shadow Copy (VSS) и выполняет привилегированные файловые операции в контексте SYSTEM.
Посредством оппортунистических блокировок (oplock) и поддельного облачного sync-провайдера Cloud Files атакующий может приостановить