Продолжаем отслеживать наиболее актуальные и значимые уязвимости, а также связанные с ними угрозы:
1. За последние три года Cloudflare не обнаружила никаких признаков активной эксплуатации уязвимостей Spectre в процессорах. Недавно компания пересмотрела свои средства защиты и внедрила новые меры, учитывающие новые варианты атак Spectre.
Основной защитой является функция Dynamic Process Isolation, которая изолирует вредоносные скрипты в отдельные процессы. Теперь она также изолирует длительные процессы и ресурсоемкие операции ввода-вывода, которые являются характерными признаками атаки Spectre.
2. Злоумышленники начали использовать CVE-2026-19478 в GitLab через два дня после её обнаружения. Атаки начались после публикации в сети PoC-кода. Уязвимость позволяет неавторизованным злоумышленникам удалённо изменять или удалять проекты GitLab или пользовательские данные.
3. Также используется уязвимость SSRF (CVE-2026-64849, CVSS 9.3) в серверах MLflow AI, а также две уязвимости в TrueConf, программном обеспечении для видеоконференций, широко используемом в России.
4. Учёные раскрыли новую технику DDoS, способную атаковать сайты и ресурсы, размещенные на инфраструктуре CDN. В ней задействуется уязвимости CDN-провайдеров, которые поддерживают HTTP/3-соединения от обычных пользователей интернета, но внутренне преобразуют трафик в старый протокол HTTP/1.
CDN Tsunami attack работает следующим образом: небольшой объём HTTP/3-трафика отправляется в CDN, которая затем передаёт огромный объём HTTP/1-данных на сайты своих клиентов. Однако с момента получения уведомления только две CDN внедрили меры противодействия.
5. Критическая уязвимость в плагине Elementor Pro для WordPress с 10 млн. установок позволяет злоумышленникам загружать исполняемые файлы для RCE на сервере. На данный момент случаев активной эксплуатации в дикой природе не зафиксировано.
CVE-2026-32475 затрагивает Elementor Pro до 4.2.2 и связана с модулем загрузки файлов, который использует отдельные циклы для проверки и обработки файлов, по-разному обрабатывая загрузку файлов с пустыми именами.
6. Ожидается эксплуатация уязвимости, позволяющей обойти критически важную защиту аутентификации, которая была исправлена в Citrix NetScaler. Удаленные, неаутентифицированные злоумышленники могут использовать ее без взаимодействия с пользователем.
Согласно уведомлению Citrix, CVE-2026-19490 (CVSS 9.3) описывается как обход аутентификации с использованием альтернативного пути и затрагивает устройства NetScaler, настроенные как шлюз (SSL VPN, ICA Proxy, CVPN, RDP Proxy) или виртуальный сервер AAA.
По данным Rapid7, нет никаких признаков того, что злоумышленники используют уязвимость обхода аутентификации, однако критически важная роль NetScaler в корпоративных системах делает его привлекательной целью для хакеров.
7. На этой неделе ряд исследователей утратили доступ к программе OpenAI Trusted Access for Cyber (TAC) из-за ошибки. Она предоставляет исследователям доступ к передовым кибермоделям для исследовательских целей, включая ChatGPT Cyber. OpenAI не сообщила, что вызвало ошибку, но попросила исследователей повторно подать заявку и пройти процесс верификации.
8. Cisco объявила о выпуске исправлений для 15 уязвимостей в своих продуктах, включая критические и серьезные недостатки в Crosswork и Secure Workload.
Три из них, CVE-2026-20030, CVE-2026-20357 и CVE-2026-20358, имеют максимальный уровень серьезности (CVSS 10/10), а четвертая, CVE-2026-20359 - CVSS 9,9/10. Cisco не располагает данным об эксплуатации каких-либо из этих уязвимостей в реальных условиях.
9. Уязвимость Microsoft Entra ID (CVSS 10.0) используется в реальных условиях. CVE-2026-69836 (CVSS: 10.0) представляет собой RCE, затрагивающий облачный сервис управления идентификацией и доступом технологического гиганта. Подробностей об атаках пока нет.
10. Adversa AI раскрыла методику атаки, которая, по ее словам, может заставить чат-бот Grok от xAI отправлять имя пользователя, приблизительное местоположение, уровень подписки и подсказки из текущего разговора на контролируемый злоумышленником сервер.