Сентябрьский дайджест трендовых уязвимостей

По итогам анализа, проведенного экспертами Positive Technologies, мы представляем список уязвимостей, которые отнесли к трендовым. Это самые опасные недостатки безопасности, которые уже активно эксплуатируются злоумышленниками или могут быть использованы ими в ближайшее время. Рекомендуем проверить, устранены ли в вашей компании те уязвимости, о которых мы писали в предыдущих дайджестах.

Всего в сентябре мы отнесли к трендовым шесть уязвимостей.

Критически опасная уязвимость (PT-2026-65062, CVE-2026-63077) была обнаружена в программном комплексе для автоматизации работы с ПО JetBrains TeamCity. Успешная эксплуатация уязвимости позволяет злоумышленнику удаленно выполнять произвольные команды операционной системы без аутентификации.

Мы обращаем особое внимание на две критически опасные уязвимости: PT-2026-70005 (BDU: 2026-11246, CVE-2026-72529) и PT-2026-70006 (BDU: 2026-11247, CVE-2026-72530). Они были обнаружены в платформе для организации видеоконференций TrueConf Server. Эксплуатируя цепочку из этих уязвимостей, неаутентифицированный злоумышленник, действующий удаленно, может получить полный контроль над уязвимым сервером.

Еще две уязвимости — PT-2026-58045 (CVE-2026-55040) и PT-2026-70737 (CVE-2026-68820) — были обнаружены в продуктах компании Microsoft. CVE-2026-55040 — критически опасная уязвимость в Microsoft SharePoint Server, которая дает возможность удаленному злоумышленнику без учетных данных обойти аутентификацию. CVE-2026-68820 — уязвимость высокого уровня опасности в драйвере Windows Ancillary Function Driver¹, которая в случае успешной эксплуатации позволяет злоумышленнику повысить свои привилегии до уровня SYSTEM.

Уязвимость высокого уровня опасности PT-2026-71676 (CVE-2026-73570) была обнаружена в почтовом сервере Zimbra Collaboration Suite. Ее эксплуатация позволяет злоумышленнику, не прошедшему аутентификацию, добиться выполнения произвольных команд операционной системы на сервере.

Подробнее об этих уязвимостях, случаях их эксплуатации и способах устранения читайте в дайджесте.

PT-2026-65062 (CVE-2026-63077, оценка по CVSS — 9,8, критический уровень опасности)

JetBrains TeamCity — система, которая используется для автоматизации сборки, тестирования и развертывания программного обеспечения. Процесс работы TeamCity построен на взаимодействии центрального сервера, который координирует сборки, и распределенных агентов, которые их непосредственно выполняют. Агенты сборки (build agents) самостоятельно подключаются к серверу и ожидают от него следующую команду. Когда серверу нужно запустить сборку, он ищет свободный и подходящий по требованиям агент, отправляет ему команду, а агент выполняет задачу и возвращает журналы и результаты работы обратно на сервер.

Уязвимость связана с небезопасной десериализацией² XML-данных (CWE-502), которые центральный сервер TeamCity получает через протокол опроса агентов (Agent Polling Protocol). Злоумышленник, не прошедший аутентификацию, но при этом имеющий удаленный доступ к уязвимому серверу по протоколу HTTP или HTTPS, может добиться выполнения произвольных команд операционной системы. Успешная эксплуатация уязвимости позволяет атакующему получить полный контроль над сервером в рамках привилегий процесса TeamCity. Например, он может получить доступ к исходному коду проектов, конфигурациям системы или секретам (токенам, паролям, ключам подписи), нарушить работу сервера или изменить конфигурацию пайплайнов. Это создает риск потенциальной подмены исходного кода, зависимостей или артефактов на этапе сборки, после чего скомпрометированная версия проходит через все последующие стадии пайплайна как легитимная. В результате вредоносный код может попасть не только во внутреннюю инфраструктуру компании, но и в конечный продукт, поставляемый клиентам и партнерам.

Признаки эксплуатации: 5 августа CISA добавило CVE-2026-63077 в каталог KEV как уязвимость, активно используемую злоумышленниками в реальных атаках. JetBrains подтвердила попытки атак на уязвимые серверы TeamCity, которые в первую очередь затрагивают серверы, доступные из интернета. Компания также признала, что из-за этой уязвимости произошел инцидент безопасности, затронувший ее собственный сервис JetBrains Cadence. В конце августа ACSC (Австралийский центр кибербезопасности) зафиксировал множественные атаки, нацеленные на локальные серверы TeamCity в Австралии.

Публично доступные эксплойты: в открытом доступе опубликован PoC. С 28 августа в Metasploit доступен модуль, автоматизирующий эксплуатацию уязвимости.

Количество потенциальных жертв: по данным компании JetBrains, более 30 000 организаций из государственного, технологического, финансового, медицинского и других секторов по всему миру, включая некоторые компании из списка Fortune 500³, используют TeamCity для ускорения процессов разработки. При этом, по данным Censys, вскоре после публичного раскрытия уязвимости в интернете было доступно около 4500 открытых веб‑интерфейсов TeamCity. CVE-2026-63077 затрагивает все развернутые локально серверы TeamCity до версий 2025.11.7 и 2026.1.3.

Способ устранения, компенсирующие меры: JetBrains рекомендует обновить все локальные серверы TeamCity до версий 2025.11.7 или 2026.1.3 либо установить плагин с исправлениями безопасности (для TeamCity 2017.1 и более поздних версий). Пользователям TeamCity версий 2017.1–2018.1 после установки плагина потребуется самостоятельно перезагрузить сервер. Начиная с TeamCity версии 2018.2, исправления безопасности будут применены автоматически. JetBrains также приводит дополнительные рекомендации для пользователей TeamCity:

• ограничить доступ к веб-интерфейсу TeamCity из внешней сети и предоставить его только доверенным пользователям (особенно до установки обновлений или плагина с исправлениями безопасности);
• для серверов TeamCity, доступ к которым нельзя ограничить, следует реализовать возможность подключения через корпоративный VPN-сервис или внедрить дополнительный уровень защиты для предотвращения несанкционированного доступа;
• сервер TeamCity всегда следует запускать с минимально необходимыми для нормальной работы правами доступа к операционной системе.

Кроме того, официальная документация TeamCity рекомендует размещать центральные серверы TeamCity отдельно от агентов сборки, на выделенных хостах.

PT-2026-70005 (BDU: 2026-11246, CVE-2026-72529, оценка по CVSS — 9,8, критический уровень опасности) и PT-2026-70006 (BDU: 2026-11247, CVE-2026-72530, оценка по CVSS — 9,0, критический уровень опасности)

Уязвимость CVE-2026-72529 вызвана отсутствием аутентификации для критически важной функции (CWE-306). Она позволяет неаутентифицированному злоумышленнику удаленно выполнить произвольный код на уязвимом сервере TrueConf. При этом код выполняется в изолированной среде (песочнице), которая ограничивает его взаимодействие с основной операционной системой сервера.

Уязвимость CVE-2026-72530 связана с неверным управлением генерацией кода (CWE-94). В сочетании с CVE-2026-72529 она позволяет злоумышленнику преодолеть ограничения изолированной среды и выполнить произвольный код непосредственно в операционной системе сервера с максимальными привилегиями.

В случае успешной эксплуатации цепочки из этих уязвимостей атакующий может получить полный контроль над сервером TrueConf и доступ к базам данных, которые на нем обрабатываются. Злоумышленник может заменить дистрибутив клиентского ПО на сервере и пытаться распространять его среди пользователей при попытке скачивания клиентского приложения.

Признаки эксплуатации: 20 августа CISA добавило CVE-2026-72529 и CVE-2026-72530 в каталог KEV, подтвердив их активное использование в реальных атаках. Кроме того, в июле атаки с использованием цепочки из этих уязвимостей затронули некоторые российские организации, включая предприятия транспортной отрасли, энергетики, промышленности, научно-исследовательские институты и ИТ-компании. Веб-шелл, используемый атакующими, заменял файл TrueConf и применялся для сбора информации об инфраструктуре и получения доступа к базе данных сервера.

Публично доступные эксплойты: опубликован PoC для CVE-2026-72530. При этом эксплойта для цепочки уязвимостей CVE-2026-72529 и CVE-2026-72530 в открытом доступе нет.

Количество потенциальных жертв: потенциально уязвимы все версии TrueConf Server, выпущенные с 2022 года: 5.3.X (ниже 5.3.9), 5.4.X (ниже 5.4.9), 5.5.X (ниже 5.5.5) и более ранние версии продукта. По данным компании, TrueConf Server используется организациями по всему миру, в числе которых представители государственного сектора, финансовые, промышленные и энергетические компании, а также медицинские и образовательные учреждения.

Способ устранения, компенсирующие меры: вендор выпустил обновления безопасности 18 июня. Пользователям рекомендуется обновить TrueConf Server до версий 5.3.9, 5.4.9 или 5.5.5, в которых уязвимости были полностью устранены. Если обновить затронутые серверы невозможно, следует ограничить доступ к TrueConf Server по порту 4307 только доверенными сетями.

PT-2026-58045 (CVE-2026-55040, оценка по CVSS — 9,1, критический уровень опасности)

Уязвимость, обнаруженная в механизме валидации JWT-токенов⁴ Microsoft SharePoint Server, связана с обходом аутентификации (CWE-1390). Из-за этой ошибки неаутентифицированный удаленный злоумышленник может подделать действительный токен и выдать себя за любого пользователя SharePoint, включая администратора. В результате атакующий получает полный доступ к уязвимому серверу, который может использовать для кражи конфиденциальных данных и внутренних документов организации, а также для дальнейшего продвижения по внутренней сети и развития атаки. Уязвимость особенно опасна для организаций, у которых серверы SharePoint доступны из интернета, поскольку эксплуатация не требует ни предварительной аутентификации, ни взаимодействия с пользователем.

Уязвимость была обнаружена независимым исследователем Стивеном Фьюером (Stephen Fewer) в рамках подготовки к соревнованиям Pwn2Own Berlin 2026. 18 мая Rapid7 передала Microsoft полную информацию об уязвимости, и уже 14 июля CVE-2026-55040 была публично раскрыта в составе Patch Tuesday. CVE-2026-55040 может использоваться в связке с CVE-2026-63520 — уязвимостью удаленного выполнения кода в Microsoft SharePoint. В этом случае обход аутентификации, который позволяет реализовать CVE-2026-55040, становится первым шагом атаки, позволяющей неаутентифицированному злоумышленнику выполнить произвольный код на сервере.

Признаки эксплуатации: 18 августа CISA добавило CVE-2026-55040 в каталог активно эксплуатируемых уязвимостей.

Публично доступные эксплойты: в открытом доступе опубликован PoC.

Количество потенциальных жертв: по данным The Shadowserver Foundation, с начала августа в интернете ежедневно доступно около 8500 серверов Microsoft SharePoint. По состоянию на 25 августа исследователи Censys ARC зафиксировали около 21 000 локально развернутых экземпляров SharePoint с открытой информацией о версии продукта. CVE-2026-55040 затрагивает локальные версии Microsoft SharePoint Server: SharePoint Server Subscription Edition, SharePoint Server 2019 и SharePoint Enterprise Server 2016. При этом облачные версии SharePoint Online и Microsoft 365 этой уязвимости не подвержены.

Способ устранения: установить обновления безопасности, которые представлены на официальном сайте Microsoft.

PT-2026-70737 (CVE-2026-68820, оценка по CVSS — 7,0, высокий уровень опасности)

Уязвимость связана с некорректным управлением динамической памятью в ядре Windows (CWE-416). Для эксплуатации атакующему необходимо иметь локальный доступ к системе и запустить специально созданное приложение, которое инициирует состояние гонки⁵. Успешная эксплуатация уязвимости позволяет злоумышленнику повысить привилегии до уровня SYSTEM. Это означает, что он может читать и изменять любые данные, устанавливать драйверы, отключать антивирусы и EDR-агенты, перехватывать учетные данные всех пользователей системы, модифицировать журналы событий для сокрытия следов атаки, а также устанавливать любые программы, включая вредоносное ПО.

Признаки эксплуатации: 11 августа CISA внесло CVE-2026-68820 в каталог KEV, подтвердив ее активную эксплуатацию в реальных атаках. Microsoft также отметила, что она уже использовалась злоумышленниками как уязвимость нулевого дня. Однако в метриках CVSS на сайте компании параметр Exploit Code Maturity (зрелость кода эксплойта) все еще указан как Unproven — формально не подтвержден. Кроме того, исследователи из Check Point обнаружили, что с начала июля CVE-2026-68820 использовалась в рамках кампании Operation Dream Job, которую связывают с APT-группировкой Lazarus (APT38). Злоумышленники рассылали сотрудникам предприятий фейковые предложения о работе, которые содержали вредоносные PDF-вложения. После заражения загрузчик MISTPEN закреплялся в системе и устанавливал модуль для эксплуатации CVE-2026-68820, которая позволяла повысить привилегии до уровня SYSTEM. Полученные права использовались для запуска обновленной версии руткита FudModule, который отключал средства защиты и обходил Smart App Control, и бэкдора ForestTiger, обеспечивавшего удаленный доступ к скомпрометированной системе.

Публично доступные эксплойты: нет в открытом доступе.

Количество потенциальных жертв: поскольку драйвер AFD.sys является базовым компонентом Windows, который нельзя отключить, уязвимость потенциально затрагивает около миллиарда устройств под управлением Windows, включая как клиентские, так и серверные дистрибутивы, на которые не установлены обновления безопасности.

Способ устранения: установить обновления безопасности, которые представлены на официальном сайте Microsoft.

PT-2026-71676 (CVE-2026-73570, оценка по CVSS — 8,9, высокий уровень опасности)

Уязвимость связана с недостаточной проверкой входных данных (CWE-78) и позволяет удаленно выполнять произвольные команды операционной системы от имени пользователя Zimbra. Ошибка возникает из-за отсутствия корректной очистки непроверенных входных данных при формировании SNMP-уведомлений⁶. Для успешной эксплуатации необходимо, чтобы на сервере был установлен пакет zimbra-snmp, включены SNMP-уведомления, а также запущен сервис swatchdog, формирующий эти уведомления. При наличии сетевого доступа к уязвимому серверу ZCS неаутентифицированный злоумышленник может отправить на него специально сформированные SMTP-запросы⁷. Это может привести к удаленному выполнению произвольного кода и полной компрометации системы: атакующий получает возможность устанавливать вредоносное ПО, закрепляться в системе и использовать скомпрометированный сервер для продвижения по внутренней сети организации. Поскольку сервер ZCS обрабатывает корпоративную переписку, его компрометация также может привести к утечке конфиденциальных данных. Еще один возможный риск — нарушение работоспособности сервисов и бизнес-процессов, зависящих от ZCS.

Признаки эксплуатации: в середине августа CERT Polska (Польская группа реагирования на компьютерные инциденты) зафиксировала первые атаки с использованием уязвимости CVE-2026-73570. CSA (Агентство по кибербезопасности Сингапура) также опубликовало предупреждение об активном использовании уязвимости в реальных атаках. 21 августа CISA добавило CVE-2026-73570 в каталог известных эксплуатируемых уязвимостей. Команда PT ESC IR сообщила, что злоумышленники использовали эту уязвимость для доставки на скомпрометированные почтовые серверы шифровальщика TargetZimbra. Кроме того, эксперты предупредили, что потенциально эксплуатация CVE-2026-73570, которая дает возможность выполнять произвольные команды на сервере, не ограничена атаками шифровальщиков: ей могут воспользоваться и другие злоумышленники, включая операторов майнеров и APT-группировки.

Публично доступные эксплойты: в открытом доступе опубликован PoC.

Количество потенциальных жертв: по данным The Shadowserver Foundation, как минимум 274 экземпляра ZCS уже были взломаны злоумышленниками, эксплуатирующими CVE-2026-73570. Также исследователи обнаружили в открытом доступе более 8000 серверов ZCS, которые тоже могут быть подвержены риску эксплуатации этой уязвимости в зависимости от конфигурации SNMP. По состоянию на 31 августа в интернете было доступно более 5000 таких серверов, около 160 из них находились в России.

Способ устранения, компенсирующие меры: CVE-2026-73570 была устранена в версии ZCS 10.1.20. Администраторам затронутых систем рекомендуется обновиться до исправленной версии. Если немедленно устранить уязвимость невозможно, следует применить компенсирующие меры:

• отключить SNMP-уведомления;
• остановить службу swatchdog до установки патча;
• удалить пакет zimbra-snmp из всех систем, для которых мониторинг по SNMP не является обязательным процессом;
• ограничить входящий SMTP-трафик на периметре сети только доверенными сетями.

Использование популярных продуктов, содержащих трендовые уязвимости, может поставить под угрозу любую компанию. Такие уязвимости наиболее опасны и требуют немедленного исправления. В систему управления уязвимостями MaxPatrol VM информация о подобных угрозах поступает в течение 12 часов с момента их появления, что позволяет вовремя принять меры по устранению и защитить инфраструктуру компании. Не стоит забывать и об исправлении других уязвимостей, которые также могут нанести непоправимый вред организации. Узнавать об актуальных недостатках безопасности можно на странице трендовых уязвимостей и на портале dbugs, где аккумулируются данные об уязвимостях в ПО и оборудовании производителей со всего мира, а также рекомендации вендоров по их устранению.