Восемь уязвимостей в стороннем ПО, которые могут привести к взлому инфраструктуры

Уязвимости в стороннем программном обеспечении остаются одним из главных рисков для корпоративной инфраструктуры. Только за сентябрь было опубликовано около 15 тысяч новых CVE, однако лишь часть из них доходит до практической эксплуатации. Восемь случаев из недавнего периода показывают, насколько разными могут быть точки входа: от почтовых серверов и VPN-шлюзов до систем сборки, платформ удаленного управления и системных драйверов Windows.

Общая проблема заключается в том, что даже качественно разработанное собственное ПО не защищает организацию от ошибок в продуктах поставщиков. Поэтому важны регулярный учет установленного программного обеспечения, оценка доступности сервисов извне и своевременная установка обновлений безопасности.

Почтовые шлюзы и серверы как точка входа

В FortiMail уязвимость возникла из-за некорректной обработки путей к файлам. Неаутентифицированный пользователь мог отправить специально сформированный HTTP- или HTTPS-запрос, выйти за пределы разрешенного каталога и записать произвольный файл в файловую систему устройства. На практике такая возможность во многих случаях рассматривается как путь к удаленному выполнению кода: дальнейший результат зависит от места записи и того, как система обработает созданный файл.

Для сетевого устройства, размещенного на внешнем контуре, даже такая относительно простая ошибка становится серьезной точкой входа. Атакующему не требуется учетная запись или предварительный доступ к внутренней сети.

В Zimbra цепочкой атаки оказался необязательный компонент zimbra-snmp. Достаточно было отправить на почтовый сервер специально сформированное письмо. Из-за недостаточной проверки недоверенных данных при обработке SNMP-уведомлений атакующий без авторизации мог передавать SMTP-запросы, приводящие к выполнению произвольных команд операционной системой от имени пользователя Zimbra. После этого злоумышленник получает возможность перейти к обычной постэксплуатации.

Удаленное выполнение кода в сетевых и коммуникационных решениях

В NetScaler обнаружили две уязвимости удаленного выполнения кода. CVE-2026-88771 связана с некорректной обработкой входных данных и затрагивает конфигурацию продукта по умолчанию. CVE-2026-88772 обусловлена переполнением памяти и может эксплуатироваться при включенном DTLS.

Эти ошибки относятся к разным классам, но результат у них схожий: внешний сетевой интерфейс может стать источником удаленного выполнения команд. Для атаки не требуется подбирать пароль или похищать пользовательскую сессию. Для обеих уязвимостей уже опубликованы доказательства концепции.

В SharePoint уязвимость CVE-2026-55040 позволяет удаленно и без аутентификации обойти проверку JWT. В основе атаки лежит несколько ошибок при обработке и валидации токенов. В результате сервер принимает запрос за легитимный и позволяет действовать от имени выбранного пользователя, включая администратора. Это открывает доступ к функциям, которые должны быть недоступны неавторизованным клиентам.

Компрометация сборочного сервера и систем управления

В TeamCity проблема связана с протоколом опроса агентов, используемым для взаимодействия сервера с build agents. Неаутентифицированный атакующий мог отправить специально сформированный HTTP- или HTTPS-запрос, обойти авторизацию и выполнить команды с правами процесса TeamCity.

Риски в этом случае выходят далеко за пределы самого сервера. TeamCity собирает и доставляет программное обеспечение, работает с артефактами и хранит настройки и секреты, необходимые для сборок. Поэтому компрометация платформы может позволить вмешаться в создаваемое ПО или повлиять на его дальнейшую поставку.

В N-able N-central после выпуска хотфикса пришлось подготовить еще одно обновление. Уязвимость CVE-2026-86218 обнаружили уже после предыдущего исправления, а до публичного раскрытия ее успели использовать в атаках. Для устранения проблемы выпущен N-central 2026.3 HF4.

Ошибка связана с обработкой директив, которые сервер сохраняет в статические файлы. Специально сформированный HTTP- или HTTPS-запрос позволял добавить в такие файлы произвольные директивы. Когда N-central обращался к файлу, содержащийся в нем код выполнялся на сервере. Поскольку N-central предназначен для удаленного мониторинга и управления инфраструктурой, его компрометация может дать атакующему возможность воздействовать на подключенные системы.

Локальная эскалация привилегий в Windows

Еще одна уязвимость обнаружена в afd.sys — системном драйвере Windows, участвующем в работе сетевого стека Winsock. Ошибка класса use-after-free позволяет локальному пользователю повысить привилегии.

Такая проблема обычно становится не первоначальной точкой проникновения, а следующим этапом атаки. Если злоумышленник уже получил доступ к машине с обычной учетной записью, уязвимость может помочь ему перейти к более высоким привилегиям и продолжить развитие атаки. Поэтому локальные уязвимости в системных компонентах важно рассматривать вместе с удаленными RCE: в реальной кампании они могут быть звеньями одной цепочки.

Почему отдельные CVE складываются в общий риск

Рассмотренные случаи показывают, что уязвимость редко существует изолированно. Почтовый сервер способен стать первоначальной точкой доступа, VPN-шлюз или коммуникационный сервер — предоставить удаленное выполнение кода, а система удаленного администрирования — открыть путь к другим компонентам инфраструктуры. Даже локальная ошибка повышения привилегий может оказаться критичной после успешного проникновения.

Для внешних HTTP-сервисов дополнительным защитным слоем может быть WAF. Он анализирует запросы и иногда блокирует известный способ эксплуатации еще до того, как запрос достигнет уязвимого приложения. В терминологии OWASP такой подход называют virtual patching. Однако это не заменяет установку исправлений, а лишь снижает вероятность успешной атаки на время.

Если уязвимый сервис доступен из интернета, а для него уже появился рабочий способ эксплуатации, рассчитывать на то, что атакующий пока не обнаружил систему, не стоит. Надежная стратегия включает инвентаризацию ПО, минимизацию внешней доступности, мониторинг признаков эксплуатации, применение компенсирующих мер и максимально быстрое развертывание обновлений.