В октябре в центре внимания оказались сразу несколько таких решений: PHP, Windows, GitLab и TrueConf Server. Две уязвимости уже эксплуатировались в реальных атаках до выхода исправлений, ещё одна получила максимальную оценку CVSS 10. В новом дайджесте разберём, как работают эти ошибки, какие сценарии атак они открывают и на что обратить внимание при устранении.
В дайджест вошли:
- CVE-2026-109618, CVE-2026-109619 | BDU:2026-17191, BDU:2026-17192 - PHP
- CVE-2026-96951 | BDU:2026-16527 - Windows Shell
- CVE-2026-110264 | BDU:2026-17391 - GitLab CE/EE
- BDU:2026-15756 - TrueConf Server
Уязвимости удалённого выполнения кода в интерпретаторе PHP («PHP2Shell»)
CVE-2026-109618, CVE-2026-109619 | BDU:2026-17191, BDU:2026-17192
Уровень критичности по оценке CVSS: 9.2
Вектор атаки: сетевой
Подтверждение вендора:
Информация об уязвимости
Описание уязвимости:
Две критические уязвимости в ядре Zend интерпретатора PHP позволяют неаутентифицированному злоумышленнику выполнить произвольный код на сервере. Уязвимости получили общее название PHP2Shell.
CVE-2026-109618 связана с некорректной обработкой ошибки нехватки памяти. Когда PHP добавляет параметры из HTTP-запроса в массив, он сначала регистрирует новый элемент, а затем выделяет под него память. Если на этом шаге исчерпывается лимит памяти, элемент остаётся незаполненным и содержит случайные остатки от предыдущих операций. При завершении запроса PHP пытается освободить все элементы массива, включая незаполненный, и интерпретирует эти остатки как настоящие данные. Поскольку менеджер памяти всегда выдаёт блоки в одном и том же порядке и никогда не очищает их содержимое, атакующий заранее подготавливает нужное содержимое через другое поле того же запроса и подкладывает в массив поддельный объект, выполняющий произвольную команду. Для эксплуатации достаточно отправить специально сформированный POST-запрос, например с данными в формате multipart/form-data, который вызывает исчерпание лимита памяти.
CVE-2026-109619 связана с ошибкой использования памяти после освобождения при обработке последовательных запросов. PHP хранит служебные данные в переменных уровня процесса и очищает их только при штатном завершении операции. Если PHP прерывается на середине — из-за нехватки памяти, таймаута или обрыва соединения — очистка не выполняется, и переменная сохраняет указатель на уже освобождённую память. При обработке следующего запроса тем же воркером PHP обращается к этой памяти повторно. Для эксплуатации злоумышленник, не прошедший проверку подлинности, последовательно отправляет два специально сформированных HTTP-запроса: первый провоцирует ошибку и оставляет воркер в повреждённом состоянии, второй вызывает обращение к освобождённой памяти и даёт атакующему возможность выполнить произвольный код на сервере.
Уязвимости затрагивают все версии PHP начиная с 5.4 вплоть до исправленных выпусков 8.2.35, 8.3.36, 8.4.27 и 8.5.12.
Статус эксплуатации уязвимости:
Эксплуатация уязвимостей зафиксирована до выхода исправления. 21 октября CISA добавила обе уязвимости в каталог KEV, а также выпустила экстренные предупреждения с рекомендацией перевести незащищённые системы в офлайн. Многие российские компании временно вывели PHP-сервисы на техническое обслуживание до установки патча.
Возможные негативные сценарии:
Успешная эксплуатация позволяет неаутентифицированному удалённому злоумышленнику выполнить произвольный код на сервере в контексте пользователя веб-сервера.
Рекомендации по устранению
Обновить PHP до версий 8.2.35, 8.3.36, 8.4.27 или 8.5.12. При использовании PHP в составе веб-серверов, дистрибутивов, контейнеров и сторонних программных продуктов необходимо установить обновления согласно рекомендациям соответствующего вендора. Для версий PHP 8.1 и старше официальных патчей не будет — рекомендуется миграция на поддерживаемую ветку.
При невозможности оперативного обновления рекомендуется отключить потенциально опасные механизмы:
- Отключить механизм отслеживания прогресса загрузки файлов: session.upload_progress.enabled = 0
- Включить параметр защиты сессий: session.use_strict_mode = 1
- Ограничить обработку входных данных: post_max_size <= 8M, max_input_nesting_level до минимального значения, совместимого с приложением
- Отключить срабатывание лимита памяти (временно, до внедрения исправления): memory_limit = -1
- Скрыть вывод диагностической информации: display_errors = 0, expose_php = 0, fatal_error_backtraces = 0
Вендор предупреждает, что компенсирующие меры не являются полноценной защитой и не перекрывают все векторы эксплуатации.
Уязвимость обхода защиты Mark of the Web в Windows Shell
CVE-2026-96951 | BDU:2026-16527
Уровень критичности по оценке CVSS: 8.8
Вектор атаки: сетевой
Подтверждение вендора:
Информация об уязвимости
Описание уязвимости:
Уязвимость связана с внедрением команд в оболочке Windows (Windows Shell) из-за некорректной обработки специальных элементов. Успешная эксплуатация позволяет обойти механизм Mark of the Web (MotW). Этой меткой Windows помечает файлы, полученные из интернета, и на её основе SmartScreen и Microsoft Office предупреждают пользователя, открывают документ в режиме защищённого просмотра или блокируют запуск. При обходе защиты, файл открывается без этих проверок.
Как указано в описании уязвимости от Microsoft, для атаки нужно участие пользователя. Злоумышленник отправляет специально подготовленный файл по электронной почте или в мессенджере и убеждает жертву его открыть. Какие именно команды и в каком компоненте оболочки внедряются, Microsoft не раскрывает.
Уязвимость закрыта 13 октября 2026 года в рамках ежемесячного выпуска обновлений Patch Tuesday. Ей подвержены Windows 10 и Windows 11, а также Windows Server от 2012 R2 до 2025. Об уязвимости независимо друг от друга сообщили исследователи Fujitsu (Riku Bamba и Yuya Chudo), Anthropic (Benoit Sevens) и исследователь под ником yhw.
Статус эксплуатации уязвимости:
Уязвимость эксплуатировалась как уязвимость нулевого дня. Microsoft подтвердила атаки до выхода исправления и присвоила ей статус Exploitation Detected. 13 октября 2026 года CISA добавила её в каталог KEV со сроком устранения для федеральных ведомств США до 16 октября.
По данным Tenable, это уже третья уязвимость в Windows Shell, эксплуатируемая в реальных атаках в 2026 году, после CVE-2026-21510 и CVE-2026-32202.
Возможные негативные сценарии:
Запуск вредоносного файла без предупреждений SmartScreen и защищённого просмотра Office.
Рекомендации по устранению
Установить октябрьские накопительные обновления безопасности Windows. Для Windows 10 22H2 и Windows Server 2012 R2 обновление доступно только в рамках программы расширенной поддержки (Extended Security Updates). Поскольку атака начинается с открытия файла пользователем, до установки обновлений стоит усилить проверку вложений из внешних источников на почтовых шлюзах.
CVE-2026-110264 | BDU:2026-17391: Уязвимость удалённого выполнения кода в GitLab CE/EE
Уровень критичности по оценке CVSS: 10
Вектор атаки: сетевой
Подтверждение вендора:
Информация об уязвимости
Описание уязвимости:
Уязвимость связана с целочисленным переполнением при компиляции специально сформированного регулярного выражения.
Ошибка находится не в коде GitLab, а в Onigmo, движке регулярных выражений Ruby, который GitLab поставляет в составе своих пакетов. Согласно бюллетеню разработчиков Ruby, уязвимость вызвана переполнением внутренних идентификаторов в шаблоне с большим числом повторений. Ошибка достижима, только если приложение компилирует регулярное выражение из строки, которую контролирует атакующий. Исправление вошло в Ruby 4.0.9, 3.4.12 и 3.3.13.
Вместе с исправлением GitLab опубликовала два правила для обнаружения попыток эксплуатации: Onigmo native worker crash и Org mode render error burst. По оценке Censys, возможный путь атаки связан с отображением файлов в формате Org-mode (.org) в публичных проектах.
Уязвимость затрагивает все версии GitLab CE/EE начиная с 7.0, выпущенной в 2014 году, вплоть до исправленных выпусков 18.11.13, 19.0.10, 19.1.9, 19.2.9, 19.3.6, 19.4.3 и 19.5.1. GitLab и актуальные инсталляции GitLab Dedicated уже защищены.
12 октября GitLab закрыла похожую уязвимость CVE-2026-97229, о которой сообщил тот же исследователь, joaxcar. То исправление вышло только для веток 19.2, 19.3 и 19.4, поэтому серверы, обновлённые 12 октября, остаются уязвимыми к CVE-2026-110264.
Статус эксплуатации уязвимости:
GitLab выпустила исправления 21 октября 2026 года. По состоянию на 27 октября 2026 года случаев эксплуатации в реальных атаках не зафиксировано, в каталог CISA KEV уязвимость не внесена. Проверенного публичного эксплойта, выполняющего код на GitLab, нет: в открытом доступе есть только стенды, воспроизводящие сбой на уровне движка Onigmo.
CVE-2026-110264 стала четвёртой за месяц уязвимостью GitLab, вызванной ошибками в Onigmo, вместе с CVE-2026-89078, CVE-2026-93577 и CVE-2026-97229 (бюллетень Ruby).
Возможные негативные сценарии:
Выполнение произвольного кода на сервере GitLab без аутентификации. Злоумышленник получает доступ к исходному коду, секретам CI/CD и хранимым учётным данным, а также может вносить изменения в репозитории и конвейеры сборки, что создаёт риск для цепочки поставок.
Рекомендации по устранению
Обновить GitLab CE/EE до исправленной версии для используемой ветки: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 или 18.11.13. Для версий 18.10 и ниже исправлений нет, такие экземпляры нужно перевести на поддерживаемую ветку.
CERT-EU рекомендует обновлять в первую очередь экземпляры, доступные из интернета, и проверить их на признаки компрометации с помощью опубликованных GitLab правил обнаружения. Если обновить сервер сразу нельзя, стоит убрать его из прямого доступа из интернета или ограничить доступ доверенными адресами. При обнаружении признаков компрометации после обновления нужно сменить токены раннеров и секреты CI/CD.
Уязвимость удалённого выполнения кода в TrueConf Server
Уровень критичности по оценке CVSS: 9.8
Вектор атаки: сетевой
Подтверждение вендора:
Информация об уязвимости
Описание уязвимости:
Уязвимость в TrueConf Server, выявленная специалистами «СайберОК» и «Дэйтли», позволяет неаутентифицированному удалённому злоумышленнику выполнить произвольный код на сервере.
Уязвимость возникает из-за некорректной обработки входных данных в одном из API-эндпоинтов. Атакующий может передать специально сформированный запрос, который приводит к записи вредоносного объекта в кэш приложения. Впоследствии эти данные извлекаются из кэша и передаются в функцию десериализации без какой-либо проверки и фильтрации. Десериализация неподконтрольных атакующему данных позволяет выстроить цепочку вызовов через существующие классы приложения и в конечном счёте добиться выполнения произвольной команды на сервере. Аутентификация и взаимодействие с пользователем при этом не требуются.
Затронуты версии TrueConf Server с 4.5.0.15891 до 5.5.5.10304 включительно.
Статус эксплуатации уязвимости:
На момент анализа данных о реальной эксплуатации в публичных источниках не зафиксировано, публичного PoC также нет. Вместе с тем исторический контекст указывает на высокую вероятность целевых атак: TrueConf широко распространён в российском корпоративном и государственном секторе и остаётся приоритетной целью для политически мотивированных группировок. Предыдущие критические уязвимости TrueConf — CVE-2026-72529 и CVE-2026-72530 — активно эксплуатировались хактивистской группой Head Mare для компрометации серверов, установки PhantomCore и замены клиентских установщиков вредоносными версиями.
Возможные негативные сценарии:
Успешная эксплуатация позволяет неаутентифицированному удалённому злоумышленнику выполнять произвольные команды на сервере с правами веб-приложения, что открывает возможности для закрепления в системе, кражи данных и дальнейшего продвижения по инфраструктуре.
Рекомендации по устранению
Обновить TrueConf Server до исправленной версии в соответствии с используемой версией платформы: для версий 5.5 — до 5.5.6, для версий 5.4 — до 5.4.10, для версий 5.3 — до 5.3.10.
Как защититься?
В приоритете находится не только своевременное выявление уязвимостей, но и регулярный контроль состояния используемого ПО, сервисов и компонентов ИТ‑инфраструктуры, а также их своевременное обновление.
Практика и результаты наших исследований показывают, что для организаций важно не просто фиксировать уязвимости, а иметь актуальное представление о состоянии инфраструктуры. Это позволяет корректно расставлять приоритеты и контролировать процесс их устранения. Для этого используются решения класса Vulnerability Management (например, R‑Vision VM), обеспечивающие непрерывную работу с уязвимостями — от обнаружения до контроля устранения.
Процесс будет проще и быстрее, когда в такую систему встроен собственный сканер уязвимостей: не требуется интеграция с внешними решениями, данные о найденных уязвимостях сразу доступны в едином интерфейсе, а повторные проверки запускаются без дополнительных шагов.
Такой подход помогает не только своевременно реагировать на угрозы, но и выстраивать устойчивую, системную работу с уязвимостями, что становится все более актуальным на фоне регулярного появления новых критичных уязвимостей.