🕯Рунет в стране кошмаров: ТОП/АНТИ-ТОП уязвимостей октября
В тёмных коридорах Рунета уязвимости просыпаются не сразу — они прячутся и выжидают. Эксперты СайберОК весь октябрь исследовали и освещали фонарём СКИПы самые жуткие углы:
🕷 4581 уязвимость обнаружена.
🕷 Из них 1993 — уровня HIGH / CRITICAL.
🕷 1679 внимательно осмотрены.
🕷 882 не требуют взаимодействия с пользователем.
🕷 46 — KEV.
🕷 139 взяты под контроль.
🕷 Подборка самых главных — в октябрьском ТОП/АНТИТОП уязвимостей Рунета.
Читайте, если готовы узнать, кто настоящий монстр, а кто всего лишь сквозняк, играющий с занавесками. Но помните: чем больше светишь — тем больше теней появляется.
📚 Читать полный материал тут
#инфобезопасность #CVE #CyberOK #СКИПА #рунет #админы #blueteam
😢 @cyberok_news | ⚫️ Сайт| 📝 Habr
В тёмных коридорах Рунета уязвимости просыпаются не сразу — они прячутся и выжидают. Эксперты СайберОК весь октябрь исследовали и освещали фонарём СКИПы самые жуткие углы:
🕷 4581 уязвимость обнаружена.
🕷 Из них 1993 — уровня HIGH / CRITICAL.
🕷 1679 внимательно осмотрены.
🕷 882 не требуют взаимодействия с пользователем.
🕷 46 — KEV.
🕷 139 взяты под контроль.
🕷 Подборка самых главных — в октябрьском ТОП/АНТИТОП уязвимостей Рунета.
Читайте, если готовы узнать, кто настоящий монстр, а кто всего лишь сквозняк, играющий с занавесками. Но помните: чем больше светишь — тем больше теней появляется.
📚 Читать полный материал тут
#инфобезопасность #CVE #CyberOK #СКИПА #рунет #админы #blueteam
Please open Telegram to view this post
VIEW IN TELEGRAM
Teletype
Рунет в стране кошмаров: ТОП/АНТИТОП уязвимостей октября
Как вы провели Хэллоуин? Вот мы в СайберОК качественно повеселились и попугались, ведь наши эксперты-охотники на привидений до самого...
🔥18
🚨 Игра в Squid
CVE-2025-62168 (SQUID-2025:2)
Обнаружена уязвимость в Squid, при которой при обработке ошибок HTTP-аутентификации в HTML-страницу ошибки и ссылку CacheErrorInfo попадают заголовки запроса — включая Authorization, токены и прочие чувствительные данные. Уязвимы все версии Squid до 7.2 при включённом (или не заданном) параметре email_err_data.
📊 Масштаб
СКИПА фиксирует более 43000 уязвимых экземпляров Squid в Рунете (версии до 7.2 с потенциально включённым email_err_data). Это и классические forward-прокси, и reverse-прокси перед веб-приложениями и API — то есть там, где как раз передаются токены, cookies и заголовки авторизации.
Недавно уязвимость получила новый импульс: появились публичные PoC/сканеры и готовые эксплойт-скрипты, которые автоматически проверяют наличие уязвимости.
При этом специфика бага не позволяет нам согласиться с формальным критичным рейтингом CVSS 10.0: это не RCE и не отказ в обслуживании, а очень неприятное раскрытие секретов через обработку ошибок.
Базовый рейтинг CVSS v3.1 (пересчёт CyberOK):
7,5 (высокий)
AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Временной (на сегодня):
7,0 (высокий)
/ E:F / RL:O / RC:C
Рейтинг CyberOK RWD: 3/5 – реальный риск с работающими PoC и высоким уровнем воздействия при утечке токенов, но пока без признаков массовой эксплуатации.
🧠 Активная эксплуатация
– Официальные advisories подчёркивают удалённую эксплуатируемость и риск раскрытия учётных данных и токенов, но о массовых атаках пока не сообщалось.
– При этом уже доступны публичные PoC, Nuclei-шаблоны и готовые сканеры. Это значительно снижает порог входа для атакующих.
– Уязвимость особенно опасна там, где через Squid ходит аутентифицированный трафик: внутренние панели, API, админки, интеграции между сервисами. Утечка одного Bearer/JWT/Basic-токена через страницу ошибки может превратиться во вторую стадию атаки на бэкенд или всю инфраструктуру.
🛡 Рекомендации
1. Обновить Squid до версии 7.2 и выше либо до актуальных security-релизов в дистрибутиве. Для managed-платформ ориентироваться на advisories вендора (RHEL, Amazon Linux, дистрибутивы BSD и т.д.).
2. Немедленная временная мера: явно прописать
email_err_data off
в squid.conf и перезапустить службу. Это убирает отладочные данные (включая HTTP Request и заголовки) из ссылок CacheErrorInfo на страницах ошибок.
3. Провести инвентаризацию всех инстансов Squid (forward и reverse), в первую очередь:
– интернет-экспонированные прокси;
– прокси перед системами с авторизацией (S3-гейты, панели управления, API).
4. Включить контроль страниц ошибок Squid в мониторинг безопасности:
– искать в логах и скриншотах ошибок маркеры CacheErrorInfo и HTTP Request;
– проверить, не уходят ли в error-страницы реальные токены/логины тестовым запросом.
5. Для чувствительных сервисов рассмотреть отказ от включения debug-информации в error-страницы вообще и жестче ограничить, откуда до них можно дойти (ACL, auth на уровне прокси).
🔗 Источники
• https://github.com/squid-cache/squid/security/advisories/GHSA-c8cc-phh7-xmxr
• https://nvd.nist.gov/vuln/detail/CVE-2025-62168
• https://www.wiz.io/vulnerability-database/cve/cve-2025-62168
• https://security.snyk.io/vuln/SNYK-UNMANAGED-SQUID-13609896
• https://www.runzero.com/blog/squid/
• https://sploitus.com/exploit?id=1EF07AD6-913E-5B7D-8151-C7D48D71782B
CVE-2025-62168 (SQUID-2025:2)
Обнаружена уязвимость в Squid, при которой при обработке ошибок HTTP-аутентификации в HTML-страницу ошибки и ссылку CacheErrorInfo попадают заголовки запроса — включая Authorization, токены и прочие чувствительные данные. Уязвимы все версии Squid до 7.2 при включённом (или не заданном) параметре email_err_data.
📊 Масштаб
СКИПА фиксирует более 43000 уязвимых экземпляров Squid в Рунете (версии до 7.2 с потенциально включённым email_err_data). Это и классические forward-прокси, и reverse-прокси перед веб-приложениями и API — то есть там, где как раз передаются токены, cookies и заголовки авторизации.
Недавно уязвимость получила новый импульс: появились публичные PoC/сканеры и готовые эксплойт-скрипты, которые автоматически проверяют наличие уязвимости.
При этом специфика бага не позволяет нам согласиться с формальным критичным рейтингом CVSS 10.0: это не RCE и не отказ в обслуживании, а очень неприятное раскрытие секретов через обработку ошибок.
Базовый рейтинг CVSS v3.1 (пересчёт CyberOK):
7,5 (высокий)
AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Временной (на сегодня):
7,0 (высокий)
/ E:F / RL:O / RC:C
Рейтинг CyberOK RWD: 3/5 – реальный риск с работающими PoC и высоким уровнем воздействия при утечке токенов, но пока без признаков массовой эксплуатации.
🧠 Активная эксплуатация
– Официальные advisories подчёркивают удалённую эксплуатируемость и риск раскрытия учётных данных и токенов, но о массовых атаках пока не сообщалось.
– При этом уже доступны публичные PoC, Nuclei-шаблоны и готовые сканеры. Это значительно снижает порог входа для атакующих.
– Уязвимость особенно опасна там, где через Squid ходит аутентифицированный трафик: внутренние панели, API, админки, интеграции между сервисами. Утечка одного Bearer/JWT/Basic-токена через страницу ошибки может превратиться во вторую стадию атаки на бэкенд или всю инфраструктуру.
🛡 Рекомендации
1. Обновить Squid до версии 7.2 и выше либо до актуальных security-релизов в дистрибутиве. Для managed-платформ ориентироваться на advisories вендора (RHEL, Amazon Linux, дистрибутивы BSD и т.д.).
2. Немедленная временная мера: явно прописать
email_err_data off
в squid.conf и перезапустить службу. Это убирает отладочные данные (включая HTTP Request и заголовки) из ссылок CacheErrorInfo на страницах ошибок.
3. Провести инвентаризацию всех инстансов Squid (forward и reverse), в первую очередь:
– интернет-экспонированные прокси;
– прокси перед системами с авторизацией (S3-гейты, панели управления, API).
4. Включить контроль страниц ошибок Squid в мониторинг безопасности:
– искать в логах и скриншотах ошибок маркеры CacheErrorInfo и HTTP Request;
– проверить, не уходят ли в error-страницы реальные токены/логины тестовым запросом.
5. Для чувствительных сервисов рассмотреть отказ от включения debug-информации в error-страницы вообще и жестче ограничить, откуда до них можно дойти (ACL, auth на уровне прокси).
🔗 Источники
• https://github.com/squid-cache/squid/security/advisories/GHSA-c8cc-phh7-xmxr
• https://nvd.nist.gov/vuln/detail/CVE-2025-62168
• https://www.wiz.io/vulnerability-database/cve/cve-2025-62168
• https://security.snyk.io/vuln/SNYK-UNMANAGED-SQUID-13609896
• https://www.runzero.com/blog/squid/
• https://sploitus.com/exploit?id=1EF07AD6-913E-5B7D-8151-C7D48D71782B
🔥16
🥂 Кто не экранирует — тот рискует: 0-day узявимость в SuiteCRM
Эксперт СайберОК Роберт Торосян обнаружил 0-day уязвимость в SuiteCRM — популярной CRM-системе с открытым исходным кодом, являющейся ответвлением от популярной системы SugarCRM. В ней выявлена уязвимость, связанная с непринятием мер по защите структуры запроса SQL(CWE-89).
📡 На радарах СКИПА зафиксировано более 1000 экземпляров SuiteCRM в Рунете. С момента выявления уязвимости (04.09.2025) и до публикации записи в БДУ (10.11.2025) доля потенциально подверженных инстансов снизилась примерно до 5%, что демонстрирует слаженную и оперативную работу по управлению уязвимостями.
Пользователи СКИПА PentOps были уведомлены об уязвимости 4 сентября.
⚠️ Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации.
• CVE-2025-64492 / СОК-2025-09-01 / BDU:2025-10914
• CVSS – 8.8 (высокий уровень опасности)
• CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
• Уязвимые версии >=8.0.0 <8.9.1
💡Рекомендуем обновить ПО до версии 8.9.1.
🔗 Ссылки
• BDU:2025-06206
• Информация об устранении уязвимости в версии 8.9.1
• GitHub Security
• National Vulnerability Database
Эксперт СайберОК Роберт Торосян обнаружил 0-day уязвимость в SuiteCRM — популярной CRM-системе с открытым исходным кодом, являющейся ответвлением от популярной системы SugarCRM. В ней выявлена уязвимость, связанная с непринятием мер по защите структуры запроса SQL(CWE-89).
📡 На радарах СКИПА зафиксировано более 1000 экземпляров SuiteCRM в Рунете. С момента выявления уязвимости (04.09.2025) и до публикации записи в БДУ (10.11.2025) доля потенциально подверженных инстансов снизилась примерно до 5%, что демонстрирует слаженную и оперативную работу по управлению уязвимостями.
Пользователи СКИПА PentOps были уведомлены об уязвимости 4 сентября.
⚠️ Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации.
• CVE-2025-64492 / СОК-2025-09-01 / BDU:2025-10914
• CVSS – 8.8 (высокий уровень опасности)
• CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
• Уязвимые версии >=8.0.0 <8.9.1
💡Рекомендуем обновить ПО до версии 8.9.1.
🔗 Ссылки
• BDU:2025-06206
• Информация об устранении уязвимости в версии 8.9.1
• GitHub Security
• National Vulnerability Database
🔥19
18–20 ноября в Москве пройдет SOC Forum — ключевое событие Российской недели кибербезопасности.
Сергей Гордейчик, CEO СайберОК, расскажет на треке AI & Cybersecurity про OnotTolle — ИИ-агента, который берёт на себя грязную работу пентестеров и разведки.
Тема: «Вкалывает Толенька — счастлив хакерок»
О докладе
OnotTolle — AI-агент для Offensive SOC, который снимает рутину пентестеров:
– автоматизирует реконы, триаж и проверку находок на больших периметрах (государственные и отраслевые ИТ);
– собирает внешнюю поверхность (EASM) с помощью LLM и агентJD;
– актуализирует данные об уязвимостях анализируя TI-источников;
– триажит ложные срабатывания;
– генерирует и валидирует проверки — от регулярок до сложной логики;
– предлагает адаптивные сканы.
Внутри — модульный конструктор: сбор → анализ (ансамбль LLM в MCP) → взаимодействие с аналитиками.
Увидимся на SOC Forum!
🗓 Когда: 20 ноября
📍Где: г. Москва, SOC Forum 2025, «Тимирязев центр»
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥14⚡7
👋 Незваная конференция: 0-day в TrueConf
Эксперты СайберОК Роман Малов и Алексей Седой обнаружили 0-day уязвимости в TrueConf Server — корпоративном мессенджере с ВКС.
В продукте выявлена цепочка уязвимостей, которая при последовательной эксплуатации может привести к компрометации хоста. Дополнительно выявлена отражённая XSS, способная служить альтернативным вектором атаки.
📡 На радарах СКИПА зафиксировано около 11 000 экземпляров TrueConf в Рунете.
• ~30% обнаруженных инстансов потенциально уязвимы для цепочки из 3 уязвимостей. Клиенты PentOps получили уведомление 18 октября.
• В момент оценки, XSS-уязвимости подвержены ~15% экземпляров. Клиенты PentOps были уведомлены 3 октября.
⚠️ Цепочка из уязвимостей
1️⃣ COK-2025-10-15 / BDU: 2025-13736
CVSS: 7.5 (высокий уровень опасности)
CVSS 3.0: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Уязвимые версии: < 5.5.2
Описание: недостаточный контроль механизма авторизации, позволяющий обходить проверки прав и получать доступ к функциям, недоступным обычному пользователю. Открывает путь к дальнейшей эскалации.
2️⃣ COK-2025-10-16 / BDU: 2025-13737
CVSS: 5.3 (средний уровень опасности)
CVSS 3.0: AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
Уязвимые версии: < 5.5.2
Описание: отсутствие ограничений на количество попыток входа. Даёт возможность brute-force атаки или автоматизированной проверки утёкших учётных записей → получение валидного админ-аккаунта.
3️⃣ COK-2025-10-27 / BDU: 2025-13738
CVSS: 7.6 (высокий уровень опасности)
CVSS 3.0: AV:N/AC:H/PR:H/UI:R/S:C/C:H/I:H/A:H
Уязвимые версии: < 5.5.2
Описание: OS command injection — внедрение и выполнение команд ОС. В сочетании с предыдущими шагами приводит к полному удалённому захвату хоста.
🆘 Риски
Недостатки в авторизации + отсутствие ограничений на перебор + возможность выполнения команд ОС → высокорисковая цепочка, пригодная для автоматизации и удалённой компрометации сервера.
📊Хорошей новостью является то, что уязвимости COK-2025-10-15 и COK-2025-10-27 могут быть использованы только в определённых конфигурациях TrueConf, а не во всей инсталяционной базе.
⚠️ Альтернативный вектор: отраженная XSS-уязвимость
4️⃣ COK-2025-09-08 / BDU: 2025-11412
CVSS: 8.1 (высокий уровень опасности)
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N
Уязвимые версии: < 5.5.2
Описание: позволяет выполнить вредоносный JavaScript в контексте браузера жертвы, похитить сессионные cookie или выполнить действия от имени пользователя. Может использоваться как первичный вектор для получения сессии.
💡 Рекомендации
Обновить TrueConf Server до версии 5.5.2 и при необходимости обратиться к вендору за консультацией.
💬 Благодарим TrueConf за быструю реакцию и оперативное устранение уязвимостей.
🔗 Ссылки
https://trueconf.ru/blog/update/trueconf-server-5-5-2
Эксперты СайберОК Роман Малов и Алексей Седой обнаружили 0-day уязвимости в TrueConf Server — корпоративном мессенджере с ВКС.
В продукте выявлена цепочка уязвимостей, которая при последовательной эксплуатации может привести к компрометации хоста. Дополнительно выявлена отражённая XSS, способная служить альтернативным вектором атаки.
📡 На радарах СКИПА зафиксировано около 11 000 экземпляров TrueConf в Рунете.
• ~30% обнаруженных инстансов потенциально уязвимы для цепочки из 3 уязвимостей. Клиенты PentOps получили уведомление 18 октября.
• В момент оценки, XSS-уязвимости подвержены ~15% экземпляров. Клиенты PentOps были уведомлены 3 октября.
⚠️ Цепочка из уязвимостей
1️⃣ COK-2025-10-15 / BDU: 2025-13736
CVSS: 7.5 (высокий уровень опасности)
CVSS 3.0: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Уязвимые версии: < 5.5.2
Описание: недостаточный контроль механизма авторизации, позволяющий обходить проверки прав и получать доступ к функциям, недоступным обычному пользователю. Открывает путь к дальнейшей эскалации.
2️⃣ COK-2025-10-16 / BDU: 2025-13737
CVSS: 5.3 (средний уровень опасности)
CVSS 3.0: AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
Уязвимые версии: < 5.5.2
Описание: отсутствие ограничений на количество попыток входа. Даёт возможность brute-force атаки или автоматизированной проверки утёкших учётных записей → получение валидного админ-аккаунта.
3️⃣ COK-2025-10-27 / BDU: 2025-13738
CVSS: 7.6 (высокий уровень опасности)
CVSS 3.0: AV:N/AC:H/PR:H/UI:R/S:C/C:H/I:H/A:H
Уязвимые версии: < 5.5.2
Описание: OS command injection — внедрение и выполнение команд ОС. В сочетании с предыдущими шагами приводит к полному удалённому захвату хоста.
🆘 Риски
Недостатки в авторизации + отсутствие ограничений на перебор + возможность выполнения команд ОС → высокорисковая цепочка, пригодная для автоматизации и удалённой компрометации сервера.
📊Хорошей новостью является то, что уязвимости COK-2025-10-15 и COK-2025-10-27 могут быть использованы только в определённых конфигурациях TrueConf, а не во всей инсталяционной базе.
⚠️ Альтернативный вектор: отраженная XSS-уязвимость
4️⃣ COK-2025-09-08 / BDU: 2025-11412
CVSS: 8.1 (высокий уровень опасности)
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N
Уязвимые версии: < 5.5.2
Описание: позволяет выполнить вредоносный JavaScript в контексте браузера жертвы, похитить сессионные cookie или выполнить действия от имени пользователя. Может использоваться как первичный вектор для получения сессии.
💡 Рекомендации
Обновить TrueConf Server до версии 5.5.2 и при необходимости обратиться к вендору за консультацией.
💬 Благодарим TrueConf за быструю реакцию и оперативное устранение уязвимостей.
🔗 Ссылки
https://trueconf.ru/blog/update/trueconf-server-5-5-2
🔥20
🎮 Онлайн-трансляция доклада СайберОК на SOC Forum
Уже сегодня на треке AI & Cybersecurity CEO СайберОК Сергей Гордейчик расскажет о том, как анализировать защищенность масштабных инфраструктур уровня страны, региона или федерального холдинга и сохранить ясный ум. О том, как интелектуальные ИИ-агенты в СКИПА PentOps забирают на себя рутину, освобождая пентестерам время для поиска 0-day и раскрутки критичных баг бизнес-логики.
⌚️ В 14:45 подключайтесь к онлайн-трансляции (зал № 2), чтобы послушать доклад
«Вкалывает Толенька — счастлив хакерок».
Мы вас ждем!
⏯️ Подключиться к трансляции
🕐 14:45 - 15:15, зал №2
#CyberOK #AI #OnotTolle #SOCForum2025
Уже сегодня на треке AI & Cybersecurity CEO СайберОК Сергей Гордейчик расскажет о том, как анализировать защищенность масштабных инфраструктур уровня страны, региона или федерального холдинга и сохранить ясный ум. О том, как интелектуальные ИИ-агенты в СКИПА PentOps забирают на себя рутину, освобождая пентестерам время для поиска 0-day и раскрутки критичных баг бизнес-логики.
⌚️ В 14:45 подключайтесь к онлайн-трансляции (зал № 2), чтобы послушать доклад
«Вкалывает Толенька — счастлив хакерок».
Мы вас ждем!
⏯️ Подключиться к трансляции
🕐 14:45 - 15:15, зал №2
#CyberOK #AI #OnotTolle #SOCForum2025
🔥19
🗣 ZeroNights 2025 — Что в дашборде твоём? Я просто хотел посмотреть метрики…
26 ноября Санкт-Петербург перевоплотится из культурной столицы в киберполигон ZeroNights 2025 — международной конференции про реальную кибербезопасность.
Мы тоже там будем:
О докладе
Мониторинг — это не только про графики и тихие радости девопса, это про и про стремительный pwn. Мы покажем, как через Grafana и особенно в связке с Prometheus и прочими k8s можно получить доступ к чувствительным данным, обойти ограничения сети и начать внутреннюю разведку — даже без yet another CVE. Доклад основан на живом исследовании с практическими примерами и тулами.
Будем рады встрече!
🗓 Когда: 26 ноября, 14:00 (Heap Stage)
📍 Где: г. Санкт-Петербург, ZeroNights 2025, LOFT#7
26 ноября Санкт-Петербург перевоплотится из культурной столицы в киберполигон ZeroNights 2025 — международной конференции про реальную кибербезопасность.
Мы тоже там будем:
Сергей Гордейчик, CEO CyberOK, представит доклад на Offensive Track:
«Что в дашборде твоём? Я просто хотел посмотреть метрики…».
О докладе
Мониторинг — это не только про графики и тихие радости девопса, это про и про стремительный pwn. Мы покажем, как через Grafana и особенно в связке с Prometheus и прочими k8s можно получить доступ к чувствительным данным, обойти ограничения сети и начать внутреннюю разведку — даже без yet another CVE. Доклад основан на живом исследовании с практическими примерами и тулами.
Будем рады встрече!
🗓 Когда: 26 ноября, 14:00 (Heap Stage)
📍 Где: г. Санкт-Петербург, ZeroNights 2025, LOFT#7
🔥22
🔌 Open Source модули для Wireshark от СайберОК
Эксперты CyberOK подготовили и открыли два новых модуля для Wireshark — диссектор протокола TrueConf и улучшение стандартного модуля EPMD. Мы делимся инструментами с сообществом, поддерживая Open Source и следуя GPL.
⏺️ Диссектор для протокола TrueConf
Проблема →
Wireshark в настоящее время не распознаёт и не декодирует трафик TrueConf. Это затрудняет понимание того, что происходит во время регистрации, установления вызова и других процессов сигнализации.
Решение →
Новый модуль, который:
• Анализирует и отображает типы сообщений, полей и значений.
• Разрешает фильтрацию по полям протокола TrueConf.
• Помогает разработчикам и администраторам сетей отладить связь TrueConf.
Варианты использования диссектора →
• Проверка взаимодействия клиентов TrueConf с сервером.
• Устранение неполадок при подключении или настройке вызова.
• Изучение принципов работы протокола и структуры сообщений.
⏺️ Улучшенный диссектор EPMD
Проблема →
Текущий диссектор EPMD в Wireshark некорректно анализирует и отображает список зарегистрированных узлов Erlang с их портами в ответах ALIVE/NAMES. Это приводит к тому, что пользователи, анализирующие взаимодействие узлов Erlang, получают неполную или неясную информацию о пакетах.
Решение →
Обновлённая версия улучшает:
• Анализ строк вида «имя-порт».
• Структурированное отображение данных в древовидном формате.
• Удобство использования и возможности отладки для разработчиков и сетевых инженеров, работающих с кластерами Erlang.
🤝 Вклад в сообщество
Мы регулярно исследуем технологии и считаем важным возвращать сообществу инструменты, которые делают инфраструктуру понятнее и безопаснее. Обе разработки доступны под GPL.
🔗 https://github.com/cyberok-org/open-source-contribs/
Эксперты CyberOK подготовили и открыли два новых модуля для Wireshark — диссектор протокола TrueConf и улучшение стандартного модуля EPMD. Мы делимся инструментами с сообществом, поддерживая Open Source и следуя GPL.
⏺️ Диссектор для протокола TrueConf
Проблема →
Wireshark в настоящее время не распознаёт и не декодирует трафик TrueConf. Это затрудняет понимание того, что происходит во время регистрации, установления вызова и других процессов сигнализации.
Решение →
Новый модуль, который:
• Анализирует и отображает типы сообщений, полей и значений.
• Разрешает фильтрацию по полям протокола TrueConf.
• Помогает разработчикам и администраторам сетей отладить связь TrueConf.
Варианты использования диссектора →
• Проверка взаимодействия клиентов TrueConf с сервером.
• Устранение неполадок при подключении или настройке вызова.
• Изучение принципов работы протокола и структуры сообщений.
⏺️ Улучшенный диссектор EPMD
Проблема →
Текущий диссектор EPMD в Wireshark некорректно анализирует и отображает список зарегистрированных узлов Erlang с их портами в ответах ALIVE/NAMES. Это приводит к тому, что пользователи, анализирующие взаимодействие узлов Erlang, получают неполную или неясную информацию о пакетах.
Решение →
Обновлённая версия улучшает:
• Анализ строк вида «имя-порт».
• Структурированное отображение данных в древовидном формате.
• Удобство использования и возможности отладки для разработчиков и сетевых инженеров, работающих с кластерами Erlang.
🤝 Вклад в сообщество
Мы регулярно исследуем технологии и считаем важным возвращать сообществу инструменты, которые делают инфраструктуру понятнее и безопаснее. Обе разработки доступны под GPL.
🔗 https://github.com/cyberok-org/open-source-contribs/
🔥23
🛡0-day уязвимости в КУБ24: под угрозой данные 120 тысяч бизнесов? Да, но мы их уже защитили!
Эксперт СайберОК Роберт Торосян обнаружил уязвимости в КУБ24 — онлайн-сервисе для автоматизации финансовых и управленческих задач в бизнесе.
В нём выявлены уязвимости, связанные с непринятием мер по защите структуры веб-страницы (CWE-79).
🔔 Пользователи СКИПА PentOps были уведомлены об уязвимости 10 сентября.
📡 По информации вендора данный облачный сервис используют более 120 тысяч предпринимателей.
⚠️ Данные уязвимости позволяют выполнить вредоносный JavaScript в контексте браузера жертвы, что может привести к краже сессионных куки или выполнению действий от имени пользователя.
🆔 Идентификаторы:
• СОК-2025-09-02 / BDU:2025-11155
• СОК-2025-09-03 / BDU:2025-11156
📊 CVSS:
• CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:L/A:N (8.5) — высокий уровень опасности
🛠 Рекомендации:
• Обновление программного обеспечения до актуальной версии.
🔗 Ссылки:
• КУБ24 в реестре ПО
• Уведомление БДУ ФСТЭК
Эксперт СайберОК Роберт Торосян обнаружил уязвимости в КУБ24 — онлайн-сервисе для автоматизации финансовых и управленческих задач в бизнесе.
В нём выявлены уязвимости, связанные с непринятием мер по защите структуры веб-страницы (CWE-79).
🔔 Пользователи СКИПА PentOps были уведомлены об уязвимости 10 сентября.
📡 По информации вендора данный облачный сервис используют более 120 тысяч предпринимателей.
⚠️ Данные уязвимости позволяют выполнить вредоносный JavaScript в контексте браузера жертвы, что может привести к краже сессионных куки или выполнению действий от имени пользователя.
🆔 Идентификаторы:
• СОК-2025-09-02 / BDU:2025-11155
• СОК-2025-09-03 / BDU:2025-11156
📊 CVSS:
• CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:L/A:N (8.5) — высокий уровень опасности
🛠 Рекомендации:
• Обновление программного обеспечения до актуальной версии.
🔗 Ссылки:
• КУБ24 в реестре ПО
• Уведомление БДУ ФСТЭК
🔥22
🔊 BI.ZONE Cybersecurity Meetup #8
4 декабря состоится митап BI.ZONE — на нём поговорим про EASM и контроль поверхности атаки: что на неё влияет, как правильно приоритизировать риски и почему смотреть нужно дальше, чем просто на внешний периметр.
В рамках доклада обсудим неожиданные находки и массовые угрозы, которые находила СКИПА — российский поисковик по уязвимому Рунету. Отдельно рассмотрим технические сложности массового сканирования: как не нарушить работу половины интернета, оптимизировать процессы с помощью ML и придумать решение, чтобы СКИПА действительно «не скипала ничего».
Мы ждем вас — будет полезно и по делу 🤝
Требуется регистрация.
🗓 4 декабря, 19:20
📍 Москва, ул. Ольховская, д. 4, корп. 1, этаж 1
4 декабря состоится митап BI.ZONE — на нём поговорим про EASM и контроль поверхности атаки: что на неё влияет, как правильно приоритизировать риски и почему смотреть нужно дальше, чем просто на внешний периметр.
С докладом «СКИПА, которая не скипает ничего» выступит Сергей Гордейчик — CEO СайберОК.
В рамках доклада обсудим неожиданные находки и массовые угрозы, которые находила СКИПА — российский поисковик по уязвимому Рунету. Отдельно рассмотрим технические сложности массового сканирования: как не нарушить работу половины интернета, оптимизировать процессы с помощью ML и придумать решение, чтобы СКИПА действительно «не скипала ничего».
Мы ждем вас — будет полезно и по делу 🤝
Требуется регистрация.
🗓 4 декабря, 19:20
📍 Москва, ул. Ольховская, д. 4, корп. 1, этаж 1
🔥16❤8
🚨 Реактивная паника: CVE-2025-55182 (React2Shell, React Server Components RCE)
Обнаружена критическая уязвимость в React Server Components (RSC), позволяющая злоумышленнику удалённо выполнить код до аутентификации. Проблема в том, как React обрабатывает входящие Flight-запросы к Server Function-эндпоинтам: данные десериализуются без достаточной валидации и атакующий может добиться выполнения произвольного JavaScript на сервере.
Уязвимы React 19 (пакеты
Фреймворки, которые встраивают RSC (Next.js 15.x/16.x App Router, Vite/Parcel RSC, React Router RSC preview, Redwood, Waku и др.), наследуют тот же баг. Для Next.js была заведена отдельная CVE-2025-66478, но затем NVD пометил её как дубликат CVE-2025-55182.
📊 Масштаб
• По данным СКИПА в Рунете и соседних регионах наблюдается более 40,000 интернет-экспонированных хостов с стеком React RSC / Next.js.
• React и Next.js — один из самых массовых стеков для веб-приложений; исследование Wiz показывает, что уязвимые версии React/Next.js обнаружены примерно в 39% облачных окружений.
• Уязвимость затрагивает дефолтные конфигурации: стандартный Next.js-проект, созданный через
На фоне Log4Shell инцидентов в прошлом, можно предположить, что по критичности CVE-2025-55182 «из той же лиги» — максимальный CVSS, простая эксплуатация и огромная доля потенциально затронутых приложений.
Сложности в защите добавляет то, что React Server Components далеко не всегда «видны напрямую» с основной страницы сервера, что усложняет инвентаризацию.
📐 Оценка риска
🔺 Официальный CVSS v3.1 (NVD / React):
10.0 (critical)
AV:N / AC:L / PR:N / UI:N / S:C / C:H / I:H / A:H
🔺 Пересчёт CyberOK (базовый CVSS v3.1):
9,8 (критический)
AV:N / AC:L / PR:N / UI:N / S:U / C:H / I:H / A:H
🔺 Временная метрика (на сегодня):
8,8 (высокий)
/ E:F / RL:O / RC:C
❄️ E:F (Functional) — есть рабочие PoC, эксплойты и сканеры (React2Shell, публичные Python-эксплойты и т.п.).
❄️ RL:O (Official Fix) — патчи для React и Next.js уже выпущены.
❄️ RC:C (Confirmed) — уязвимость подтверждена вендорами и большим числом независимых исследований.
🔺 Рейтинг CyberOK RWD (Real World Danger):
4/5 — тяжёлый реальный риск:
• Критический pre-auth RCE в одном из самых популярных фреймворков.
• Уязвим «дефолтный» стек (Next.js App Router, RSC-фичи React 19).
• Есть публичные PoC/сканеры, быстро появляются Nuclei-шаблоны и WAF-правила.
• Пока нет подтверждённой массовой эксплуатации, но крупные вендоры (Cloudflare, Akamai, Google, AWS и др.) прямо говорят, что эксплуатация ожидается и уже выкатывают сигнатуры.
🧠 Эксплуатация и активность
Что известно сейчас:
• React-команда и NVD описывают уязвимость как неаутентифицированный RCE через небезопасную десериализацию данных Flight/Server Functions.
• Исследователи (Tenable — React2Shell, независимые PoC на GitHub) показывают, что достаточно найти RSC/Server Function-эндпоинт (часто это
• Akamai, Netlify, VulnCheck, ряд других вендоров прямо пишут, что на момент публикации признаков эксплуатации “in the wild” не зафиксировано, но ожидается рост сканирования и попыток массовых атак.
• Облачные и edge-провайдеры уже выкатили защиту на периметре (Cloudflare WAF, Akamai App & API Protector, Google Cloud security controls и др.), но это не отменяет необходимости обновить сам код/зависимости.
⚠️ Для нападения это очень привлекательная цель: простая модель эксплуатации («отправь специально сформированный Flight-запрос»), огромная установленная база и потенциальный полный захват backend-окружения.
Рекомендации ⬇️
Обнаружена критическая уязвимость в React Server Components (RSC), позволяющая злоумышленнику удалённо выполнить код до аутентификации. Проблема в том, как React обрабатывает входящие Flight-запросы к Server Function-эндпоинтам: данные десериализуются без достаточной валидации и атакующий может добиться выполнения произвольного JavaScript на сервере.
Уязвимы React 19 (пакеты
react-server-dom-webpack, react-server-dom-parcel, react-server-dom-turbopack версий 19.0.0, 19.1.0, 19.1.1 и 19.2.0). Фреймворки, которые встраивают RSC (Next.js 15.x/16.x App Router, Vite/Parcel RSC, React Router RSC preview, Redwood, Waku и др.), наследуют тот же баг. Для Next.js была заведена отдельная CVE-2025-66478, но затем NVD пометил её как дубликат CVE-2025-55182.
📊 Масштаб
• По данным СКИПА в Рунете и соседних регионах наблюдается более 40,000 интернет-экспонированных хостов с стеком React RSC / Next.js.
• React и Next.js — один из самых массовых стеков для веб-приложений; исследование Wiz показывает, что уязвимые версии React/Next.js обнаружены примерно в 39% облачных окружений.
• Уязвимость затрагивает дефолтные конфигурации: стандартный Next.js-проект, созданный через
create-next-app и собранный c App Router, оказывается эксплуатируемым без каких-либо правок со стороны разработчика. На фоне Log4Shell инцидентов в прошлом, можно предположить, что по критичности CVE-2025-55182 «из той же лиги» — максимальный CVSS, простая эксплуатация и огромная доля потенциально затронутых приложений.
Сложности в защите добавляет то, что React Server Components далеко не всегда «видны напрямую» с основной страницы сервера, что усложняет инвентаризацию.
📐 Оценка риска
🔺 Официальный CVSS v3.1 (NVD / React):
10.0 (critical)
AV:N / AC:L / PR:N / UI:N / S:C / C:H / I:H / A:H
🔺 Пересчёт CyberOK (базовый CVSS v3.1):
9,8 (критический)
AV:N / AC:L / PR:N / UI:N / S:U / C:H / I:H / A:H
🔺 Временная метрика (на сегодня):
8,8 (высокий)
/ E:F / RL:O / RC:C
🔺 Рейтинг CyberOK RWD (Real World Danger):
4/5 — тяжёлый реальный риск:
• Критический pre-auth RCE в одном из самых популярных фреймворков.
• Уязвим «дефолтный» стек (Next.js App Router, RSC-фичи React 19).
• Есть публичные PoC/сканеры, быстро появляются Nuclei-шаблоны и WAF-правила.
• Пока нет подтверждённой массовой эксплуатации, но крупные вендоры (Cloudflare, Akamai, Google, AWS и др.) прямо говорят, что эксплуатация ожидается и уже выкатывают сигнатуры.
🧠 Эксплуатация и активность
Что известно сейчас:
• React-команда и NVD описывают уязвимость как неаутентифицированный RCE через небезопасную десериализацию данных Flight/Server Functions.
• Исследователи (Tenable — React2Shell, независимые PoC на GitHub) показывают, что достаточно найти RSC/Server Function-эндпоинт (часто это
POST на multipart/form-data) и подобрать «гаджет» для выполнения кода (например, цепочку к vm.runInThisContext). • Akamai, Netlify, VulnCheck, ряд других вендоров прямо пишут, что на момент публикации признаков эксплуатации “in the wild” не зафиксировано, но ожидается рост сканирования и попыток массовых атак.
• Облачные и edge-провайдеры уже выкатили защиту на периметре (Cloudflare WAF, Akamai App & API Protector, Google Cloud security controls и др.), но это не отменяет необходимости обновить сам код/зависимости.
⚠️ Для нападения это очень привлекательная цель: простая модель эксплуатации («отправь специально сформированный Flight-запрос»), огромная установленная база и потенциальный полный захват backend-окружения.
Рекомендации ⬇️
Please open Telegram to view this post
VIEW IN TELEGRAM
react.dev
Critical Security Vulnerability in React Server Components – React
The library for web and native user interfaces
🔥15
🛡 Рекомендации по защите от CVE-2025-55182 (React2Shell, React Server Components RCE)
1️⃣ Немедленное обновление зависимостей
Обновить React RSC-пакеты минимум до:
•
•
•
Для Next.js перейти на зафиксированные версии:
• React: 19.0.1 / 19.1.2 / 19.2.1
• Next.js: 15.0.5, 15.1.9, 15.2.6, 15.3.6, 15.4.8, 15.5.7, 16.0.7 (и выше)
• Пользователям 14.3.0-canary.77+ — откатиться на стабильные ветки или следовать гайду Next.js.
• Проверить и обновить другие фреймворки, которые могут вендорить RSC-пакеты: Vite/Parcel RSC-плагины, React Router RSC preview, Redwood, Waku и т.п.
2️⃣ Инвентаризация экспонированных RSC/Next.js-приложений
По линии EASM/СКИПА:
• Выделить все домены/IP, где детектируется React 19 / Next.js 15–16 App Router /
• Приоритизировать интернет-экспонированные панели, дашборды, API-шлюзы и любые зоны, где есть авторизация/чувствительные операции.
• Внутри компании — пройтись по репозиториям/CI-конвейерам и собрать список проектов, где включены React Server Components / Next.js App Router.
3️⃣ Защита на периметре (WAF / reverse-proxy)
Включить и обновить правила WAF у провайдеров:
• Cloudflare: специальные правила для CVE-2025-55182 уже включены для WAF-клиентов.
• Akamai: правило 3000976 “React Remote Code Execution Attack Detected (CVE-2025-55182)”.
• Google Cloud, AWS, Netlify и другие также объявили о собственных смягчающих мерах — их нужно явно включить/проверить.
На своих Nginx/Envoy/HAProxy стоит:
• Ограничить доступ к Server Function-эндпоинтам (по IP, auth, VPN).
• При необходимости временно отрезать от интернета нестратегические RSC-приложения до обновления.
4️⃣ Мониторинг и детектирование
Добавить в поведенческий и сетевой мониторинг:
• Аномальные POST/Flight-запросы к RSC/Server Functions (в том числе с
• Ошибки/логи, связанные с десериализацией RSC-payload’ов.
• Любые признаки неожиданного запуска shell-команд из Node.js-процессов.
• В EDR/логах приложений следить за появлением команд вроде
5️⃣ Временные архитектурные меры
Пока обновления не раскатаны полностью:
• По возможности отключить или сузить использование Server Functions/RSC в критичных зонах (админки, биллинг, high-privilege API).
• Рассмотреть fallback на классический SSR/CSR для самых чувствительных частей приложения.
• Дополнительно изолировать рантайм с помощью sandboxing/контейнеризации и жёстких IAM-ролей, чтобы даже при RCE ущерб был ограниченным (минимальные права на БД, секреты, cloud-API).
🔗 Источники
1. React: Critical Security Vulnerability in React Server Components (официальный advisory, CVE-2025-55182, пакеты и фикс-версии).
2. NVD: описание CVE-2025-55182 и базовый CVSS 10.0.
3. Snyk / Wiz: технический разбор бага в Flight-протоколе и оценка масштаба в экосистеме React/Next.js.
4. Tenable (React2Shell) и публичные PoC/эксплойты.
5. Cloudflare / Akamai / Google Cloud: WAF/платформенные mitigations и оценки риска.
6. Feedly: CVE-2025-55182 - Exploits & Severity
7. GitHub: Next.js is vulnerable to RCE in React flight protocol
8. GitHub: Critical Security Vulnerability in React Server Components
9. The Register: Exploitation is imminent' of max-severity React bug
1️⃣ Немедленное обновление зависимостей
Обновить React RSC-пакеты минимум до:
•
react-server-dom-webpack 19.0.1 / 19.1.2 / 19.2.1•
react-server-dom-parcel 19.0.1 / 19.1.2 / 19.2.1•
react-server-dom-turbopack 19.0.1 / 19.1.2 / 19.2.1Для Next.js перейти на зафиксированные версии:
• React: 19.0.1 / 19.1.2 / 19.2.1
• Next.js: 15.0.5, 15.1.9, 15.2.6, 15.3.6, 15.4.8, 15.5.7, 16.0.7 (и выше)
• Пользователям 14.3.0-canary.77+ — откатиться на стабильные ветки или следовать гайду Next.js.
• Проверить и обновить другие фреймворки, которые могут вендорить RSC-пакеты: Vite/Parcel RSC-плагины, React Router RSC preview, Redwood, Waku и т.п.
2️⃣ Инвентаризация экспонированных RSC/Next.js-приложений
По линии EASM/СКИПА:
• Выделить все домены/IP, где детектируется React 19 / Next.js 15–16 App Router /
text/x-component / характерные RSC-заголовки.• Приоритизировать интернет-экспонированные панели, дашборды, API-шлюзы и любые зоны, где есть авторизация/чувствительные операции.
• Внутри компании — пройтись по репозиториям/CI-конвейерам и собрать список проектов, где включены React Server Components / Next.js App Router.
3️⃣ Защита на периметре (WAF / reverse-proxy)
Включить и обновить правила WAF у провайдеров:
• Cloudflare: специальные правила для CVE-2025-55182 уже включены для WAF-клиентов.
• Akamai: правило 3000976 “React Remote Code Execution Attack Detected (CVE-2025-55182)”.
• Google Cloud, AWS, Netlify и другие также объявили о собственных смягчающих мерах — их нужно явно включить/проверить.
На своих Nginx/Envoy/HAProxy стоит:
• Ограничить доступ к Server Function-эндпоинтам (по IP, auth, VPN).
• При необходимости временно отрезать от интернета нестратегические RSC-приложения до обновления.
4️⃣ Мониторинг и детектирование
Добавить в поведенческий и сетевой мониторинг:
• Аномальные POST/Flight-запросы к RSC/Server Functions (в том числе с
Content-Type: multipart/form-data и нестандартными RSC-хедерами).• Ошибки/логи, связанные с десериализацией RSC-payload’ов.
• Любые признаки неожиданного запуска shell-команд из Node.js-процессов.
• В EDR/логах приложений следить за появлением команд вроде
id, whoami, curl/wget/powershell из процессов Node.js, особенно если раньше такого поведения не было.5️⃣ Временные архитектурные меры
Пока обновления не раскатаны полностью:
• По возможности отключить или сузить использование Server Functions/RSC в критичных зонах (админки, биллинг, high-privilege API).
• Рассмотреть fallback на классический SSR/CSR для самых чувствительных частей приложения.
• Дополнительно изолировать рантайм с помощью sandboxing/контейнеризации и жёстких IAM-ролей, чтобы даже при RCE ущерб был ограниченным (минимальные права на БД, секреты, cloud-API).
🔗 Источники
1. React: Critical Security Vulnerability in React Server Components (официальный advisory, CVE-2025-55182, пакеты и фикс-версии).
2. NVD: описание CVE-2025-55182 и базовый CVSS 10.0.
3. Snyk / Wiz: технический разбор бага в Flight-протоколе и оценка масштаба в экосистеме React/Next.js.
4. Tenable (React2Shell) и публичные PoC/эксплойты.
5. Cloudflare / Akamai / Google Cloud: WAF/платформенные mitigations и оценки риска.
6. Feedly: CVE-2025-55182 - Exploits & Severity
7. GitHub: Next.js is vulnerable to RCE in React flight protocol
8. GitHub: Critical Security Vulnerability in React Server Components
9. The Register: Exploitation is imminent' of max-severity React bug
🔥18
⁉️ Кому на Рунете жить хорошо: ТОП / АНТИТОП уязвимостей ноября
Всякий в Рунете ищет себе жизни хорошей, да только одни сервисы живут вольготно и горя не знают, а другие попадаются в сети хитрые, уязвимостями прозванные.
Так и эксперты СайберОК весь ноябрь следовали по цифровым дорогам и всё пытались понять: кому в Рунете жить хорошо, а кому достаётся участь тревожная.
И вот что принес нам этот месяц:
Если хотите увидеть, какие уязвимости держали Рунет за горло, а какие лишь шумели впустую — погружайтесь в материал.
И помните: в мире кибербезопасности счастье всегда относительно, а спокойствие — временно.
📚 Читать ТОП / АНТИТОП уязвимостей ноября
#инфобезопасность #CVE #CyberOK #СайберОК #СКИПА #рунет #админы #blueteam
📱 @cyberok_news | ⚫️ Сайт | 📝 Habr
Всякий в Рунете ищет себе жизни хорошей, да только одни сервисы живут вольготно и горя не знают, а другие попадаются в сети хитрые, уязвимостями прозванные.
Так и эксперты СайберОК весь ноябрь следовали по цифровым дорогам и всё пытались понять: кому в Рунете жить хорошо, а кому достаётся участь тревожная.
И вот что принес нам этот месяц:
🎯 4742 угрозы из 15 источников зарегистрировала СКИПА.
🎯 1966 — HIGH / CRITICAL.
🎯 1748 — прошли через руки экспертов.
🎯 1031 — без привилегий и взаимодействия с пользователем.
🎯 54 — KEV.
🎯 195 — взяты в работу.
🎯 9 — знаковые уязвимости, которые разбираем в ноябрьском ТОП / АНТИТОП.
Если хотите увидеть, какие уязвимости держали Рунет за горло, а какие лишь шумели впустую — погружайтесь в материал.
И помните: в мире кибербезопасности счастье всегда относительно, а спокойствие — временно.
📚 Читать ТОП / АНТИТОП уязвимостей ноября
#инфобезопасность #CVE #CyberOK #СайберОК #СКИПА #рунет #админы #blueteam
Please open Telegram to view this post
VIEW IN TELEGRAM
Teletype
Кому на Рунете жить хорошо: ТОП/АНТИ-ТОП уязвимостей ноября
В ноябре мы снова погрузились в лог-болото и разведданные СКИПА, чтобы понять, какие уязвимости действительно опасны для Рунета, а какие...
🔥31
4 декабря 2025 года Apache Software Foundation опубликовала advisory для критической уязвимости CVE-2025-66516 (CVSS 10.0) в Apache Tika.
Уязвимость связана с обработкой XFA-разметки внутри PDF: при парсинге Tika не ограничивает внешние XML-сущности (XXE), что позволяет специально созданному PDF-файлу читать произвольные файлы с хоста или инициировать SSRF-запросы.
Исправления присутствуют в релизе Apache Tika 3.2.2 — обновляйтесь как можно скорее.
🗺 Масштаб
СКИПА фиксирует около 200 хостов в Рунете, использующих Apache Tika. Потенциально уязвимы 95%.
Клиенты PentOps были своевременно уведомлены.
⚡️ Активная реакция
ASF выпустила исправление XXE в Tika 3.2.2: обновлены и tika-core, и tika-parser-pdf-module.
Вендоры, встраивающие Tika в свои продукты (поисковые движки, ECM, DLP, ingestion-платформы), получили уведомления или уже включили патч.
🔌 Затронуто
Продукт: Apache Tika (core + PDF module)
Уязвимые версии:
•
tika-core 1.13 — 3.2.1•
tika-parser-pdf-module 2.0.0 — 3.2.1• В линейке 1.x уязвимость присутствует в составе
tika-parsers до 1.28.5Важно: проблема затрагивает не только PDF-модуль — уязвим XML-парсер в составе tika-core, поэтому обновление одного PDF-модуля не закрывает дыру.
• Tika обрабатывает PDF с включённым XFA.
• Парсинг выполняется автоматически.
• Tika имеет доступ к сети или локальной файловой системе.
Если система изолирует парсер в sandbox (Firejail/Docker/AppArmor) или применяет строгие сетевые ACL — риск снижается, но не исчезает.
💡 Индикаторы компрометации
• Ошибки или аномальные события при парсинге PDF с XFA.
• Исходящие запросы от сервисов Tika к нестандартным доменам (SSRF).
• Попытки обращения к локальным путям (
file:///etc/passwd, /home/...).• Повышенная нагрузка или неожиданные исключения в процессах «ingest/parsing».
• Логи приложений, использующих Tika, с ошибками XML-парсера или переводами в fallback-режим обработки.
🛡 Рекомендации
1. Обновите Apache Tika до версии 3.2.2 (и обязательно обновите
tika-core вместе с PDF-модулем).2. Если оперативное обновление невозможно — временно отключите или ограничьте обработку XFA-PDF, добавьте валидацию и фильтрацию входящих документов.
3. Изолируйте Tika-процессы: sandbox, ограничение прав доступа к файловой системе, запрет исходящих запросов.
4. Проверьте зависимости в приложениях: многие продукты тянут Tika транзитивно (через search-модули и ECM-платформы).
5. Проведите аудит логов Tika и всех сервисов, где выполнялся автоматический анализ PDF.
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥17👍10
🧯 RCE в 1С-Битрикс, но есть нюанс
15 декабря 2025 вышло публичное раскрытие уязвимостей CVE-2025-67886/CVE-2025-67887 в 1C-Bitrix. Патч на текущий момент не выпущен, PoC доступен.
🔥 Описание уязвимостей
Уязвимости находятся в Translate Module 1C-Bitrix, который позволяет загружать и распаковывать архивы во временную директорию. Однако система не проверяет содержимое архивов перед извлечением — это позволяет злоумышленнику включить в архив PHP-файл и специально созданный
📊 Масштаб
По данным СКИПА в Рунете около 2.000.000 инстансов 1С-Bitrix. Потенциально ~10% хостов могут быть подвержены данной проблеме.
Клиенты PentOps были своевременно уведомлены.
📐 Оценка риска
✖️ Официальный CVSS еще не присвоен
✖️ Формально CVSS высокий, но на практике — низкий из-за требуемых привилегий.
✖️ Пересчёт CyberOK (базовый CVSS v3.1):
7.2 (Высокий)
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
✖️ Временная метрика (на сегодня):
6.8
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H/E:P/RL:U/RC:C
✖️ Рейтинг CyberOK RWD (Real World Danger):
3/5 — реальный риск эксплуатации
📦 Уязвимые версии
• CVE-2025-67887: все версии Translate Module 1C-Bitrix <= 25.100.500
• CVE-2025-67886: все версии Translate Module Bitrix24 <= 25.100.300
🔧 Proof of Concept
Публично доступный PoC подтвержден.
📌 Что смотреть в логах
Последовательная цепочка загрузки локализации (ключевой индикатор):
1.
2.
3.
⚠️ Эндпоинт
🛡 Рекомендации по защите и проверке
1. Срочно проверьте, кому выдан доступ к модулю — cнимите SOURCE/WRITE со всех, кроме узкого круга админов (а лучше временно закройте модуль).
2. Закройте доступ к контроллерам translate (как минимум к обработчикам распаковки) через WAF/ACL, оставив только админские IP/VPN.
3. Web-сервер:
Apache: запретите .htaccess в writable-директориях (
Nginx: убедитесь, что PHP исполняется только в ожидаемых location’ах (и точно не из
В аварийном режиме можно дополнительно мониторить и удалять появляющиеся
4. Проверить папку BXTEMP-XXXX-XX-XX на наличие подозрительных архивов, нестандартных подпапок и .php-файлов.
Например:
💣 Выводы
Да, это RCE, однако всё упирается в привилегии и конфиг веб-сервера. Для успешной эксплуатации нужны права, которые и так дают доступ к инструменту PHP command line, инструмент позволяет выполнять php-код без танцев с бубном и загрузкой файлов. Проверьте права модуля «Translate» и запретите исполнение в writable-зонах — это закрывает большую часть реального риска.
⚫️ Для самых бдительных эксперты СайберОК подготовили фикс:
https://github.com/cyberok-org/CVE-2025-67887
🖇 Источники
Advisory KIS-2025-08 / CVE-2025-67887
NGINX Community Blog
15 декабря 2025 вышло публичное раскрытие уязвимостей CVE-2025-67886/CVE-2025-67887 в 1C-Bitrix. Патч на текущий момент не выпущен, PoC доступен.
🔥 Описание уязвимостей
Уязвимости находятся в Translate Module 1C-Bitrix, который позволяет загружать и распаковывать архивы во временную директорию. Однако система не проверяет содержимое архивов перед извлечением — это позволяет злоумышленнику включить в архив PHP-файл и специально созданный
.htaccess, добиться его распаковки и выполнения на сервере. 📌 Важно! Почему это RCE не для всех
• Для успешной эксплуатации злоумышленнику необходимо иметь права “SOURCE” и “WRITE” для Translate Module. Фактически эти права уже подразумевает возможность изменения php-файлов.
• Инфраструктуры, работающие на чистом Nginx (без Apache / без обработчика .htaccess) не подвержены полноценной RCE — PHP-файлы, как правило, отдаются как статика.
В этом случае риск смещается в сторону arbitrary file write в web-доступной зоне, а не гарантированного RCE.
• На связке nginx → Apache или чистом Apache при включённом AllowOverride сценарий ближе к «настоящей» RCE, но с правами администратора.
🔥Коллеги из 1С-Битрикс подтверждают наши выводы в своем официальном сообщении: https://t.me/bitrixkiberbez/76
📊 Масштаб
По данным СКИПА в Рунете около 2.000.000 инстансов 1С-Bitrix. Потенциально ~10% хостов могут быть подвержены данной проблеме.
Клиенты PentOps были своевременно уведомлены.
📐 Оценка риска
7.2 (Высокий)
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
6.8
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H/E:P/RL:U/RC:C
3/5 — реальный риск эксплуатации
📦 Уязвимые версии
• CVE-2025-67887: все версии Translate Module 1C-Bitrix <= 25.100.500
• CVE-2025-67886: все версии Translate Module Bitrix24 <= 25.100.300
🔧 Proof of Concept
Публично доступный PoC подтвержден.
📌 Что смотреть в логах
Последовательная цепочка загрузки локализации (ключевой индикатор):
1.
/bitrix/services/main/ajax.php?action=bitrix%3Atranslate.controller.asset.grabber.upload2.
/bitrix/services/main/ajax.php?action=bitrix%3Atranslate.controller.asset.grabber.extract3.
/bitrix/services/main/ajax.php?action=bitrix%3Atranslate.controller.asset.grabber.apply ⚠️ Эндпоинт
apply — самый критичный, так как именно он возвращает путь к временной директории, где может находиться загруженный shell.🛡 Рекомендации по защите и проверке
1. Срочно проверьте, кому выдан доступ к модулю — cнимите SOURCE/WRITE со всех, кроме узкого круга админов (а лучше временно закройте модуль).
2. Закройте доступ к контроллерам translate (как минимум к обработчикам распаковки) через WAF/ACL, оставив только админские IP/VPN.
3. Web-сервер:
Apache: запретите .htaccess в writable-директориях (
AllowOverride None) и/или запретите handler’ы/исполнение PHP там, куда может попасть распаковка. Nginx: убедитесь, что PHP исполняется только в ожидаемых location’ах (и точно не из
upload/tmp/кэшей/временных директорий). В аварийном режиме можно дополнительно мониторить и удалять появляющиеся
.htaccess в writable-каталогах, но это костыль — правильнее резать на уровне конфигурации.4. Проверить папку BXTEMP-XXXX-XX-XX на наличие подозрительных архивов, нестандартных подпапок и .php-файлов.
Например:
/www/upload/tmp/BXTEMP-2025-12-18/16/translateДа, это RCE, однако всё упирается в привилегии и конфиг веб-сервера. Для успешной эксплуатации нужны права, которые и так дают доступ к инструменту PHP command line, инструмент позволяет выполнять php-код без танцев с бубном и загрузкой файлов. Проверьте права модуля «Translate» и запретите исполнение в writable-зонах — это закрывает большую часть реального риска.
https://github.com/cyberok-org/CVE-2025-67887
🖇 Источники
Advisory KIS-2025-08 / CVE-2025-67887
NGINX Community Blog
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥19
🏆 Мы плотно утвердились на 3 месте в рейтинге исследователей БДУ ФСТЭК.
Особенно приятно осознавать, что каждая CVE и БДУ — это не просто строчка в базе знаний, а дни и недели анализа и озарений, «сопротивляющиеся», но вдруг прозревающие разработчики, реально предотвращенные взломы и атаки. Это дорогого стоит, именно за это мы любим нашу работу.
⚡️ Спасибо вендорам за быструю реакцию и готовность фиксить, а команде БДУ ФСТЭК за координацию.
🙌 Благодарим команду исследователей, которые каждый день ищут уязвимости, находят 0-day, проверяют гипотезы и доводят находки до исправлений!
Please open Telegram to view this post
VIEW IN TELEGRAM
⚡22
Исследователь СайберОК Роберт Торосян обнаружил несколько уязвимостей в популярных сторонних плагинах Esolutions, размещенных в каталоге решений 1С-Битрикс: Управление сайтом.
📡 По данным СКИПА, до 50.000 сайтов в российском сегменте интернета могут быть подвержены хотя бы одной из уязвимостей, описанных ниже. Пользователи CyberOK СКИПА PentOps были своевременно уведомлены.
⚠️ Уязвимости Sensitive Data Exposure и Path Traversal, особенно действующие совместно, представляют критическую угрозу безопасности, позволяя злоумышленникам раскрывать чувствительные данные (включая хэши паролей всех пользователей) напрямую через интерфейс пользователя с правами контент-редактора или получать несанкционированный доступ к произвольным файлам сервера (конфигурационным файлам, базам данных, исходному коду). Это может привести к полной компрометации учётных записей, краже конфиденциальной информации, перебору паролей в оффлайн режиме и, в конечном итоге, захвату контроля над сервером.
Для предотвращения этих уязвимостей необходимо обновиться до последних версий.
◼️ Плагин «Экспорт/Импорт товаров в Excel»
(esol.importexportexcel, разработчик: esolution)
• COK-2025-12-04 / BDU:2025-16324
• Уязвимы все версии до 3.2.6
• CVSS v4: 7.1 — высокий уровень опасности
◼️ Плагин «Импорт из Excel»
(kda.importexcel, разработчик: esolution)
• COK-2025-12-05 / BDU:2025-16325
• Уязвимы все версии до 3.2.6
• CVSS v4: 7.1 — высокий уровень опасности
◼️ Плагин «Многофункциональный экспорт/импорт в Excel»
(esol.allimportexport, разработчик: esolution)
• COK-2025-12-08 / BDU:2025-16349
• Уязвимы все версии до 0.6.4
• CVSS v4: 7.1 — высокий уровень опасности
◼️ Плагин «Многофункциональный экспорт/импорт в Excel»
(esol.allimportexport, разработчик: esolution)
• COK-2025-12-09 / BDU:2025-16350
• Уязвимы все версии до 0.6.4
• CVSS v4: 7.1 — высокий уровень опасности
💡 Рекомендуется установить обновления и провести аудит на предмет path traversal в собственных плагинах и расширениях.
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥28
🔮 Гадание на взломах. Предсказательная сила EPSS
В конце года принято подводить итоги и делать предсказания ✨
Давайте совместим оба ритуала и посмотрим, насколько лучше мы могли бы контролировать поверхность атак, если бы слепо верили в магию EPSS 🧙♂️
Спойлер: контролировали бы не очень. И вот почему 😈
Что мы сделали 🧪
Мы взяли все CVE, которые CISA добавила в KEV за 2025 год (то есть «уже ломают так, что заметили федералы»🚨).
Всего KEV-уязвимостей: 245.
EPSS «на дату добавления в KEV» удалось получить только для 203 (≈83%). Таким образом, в 17% случаев EPSS как сигнал «на момент решения» просто отсутствовал 🤷♂️
Напоминалка: что такое EPSS и почему там 2 числа 🧠
1. epss — вероятность (0…1), что уязвимость будут эксплуатировать в ближайшие 30 дней.
0.01 = 1% 🎯
2. percentile — «место в очереди« (0…1).
Например, 0.94 означает: уязвимость «горячее», чем 94%
CVE в этот день (то есть, она в ТОП-6% по «эксплуатируемости») 📈
Теперь практика: «сколько KEV вы поймаете порогами EPSS»🧮
Если патчить только то, что выше порога, то среди реально эксплуатируемых (KEV) вы поймаете:
• 0.1% (EPSS ≥ 0.001): 132 из 203 (65%)
• 1% (EPSS ≥ 0.01): 78 из 203 (38%)
• 10% (EPSS ≥ 0.1): 55 из 203 (27%)
Но! Если EPSS используется в реальном процессе, отсутствие EPSS — это тоже значит «не поймал»🙃
Тогда фактический recall на полном наборе KEV ещё ниже:
• EPSS ≥ 0.001: 132 / 245 = 53.9%
• EPSS ≥ 0.01: 78 / 245 = 31.8%
• EPSS ≥ 0.1: 55 / 245 = 22.4%
Иными словами, даже в случаях, где EPSS был, пороги ≥1% и ≥10% ловят лишь 38% и 27%.
А на полном наборе KEV — 31.8% и 22.4%. Грусть-тоска-печаль 🥲
Перевод на человеческий (для тех, кто, как и я, прогуливал матан в школе) 🧷
Если вы используете EPSS как «проходной балл» и берёте только ≥1% — вы пропускаете примерно 68.2% того, что уже реально эксплуатируют.
Так что EPSS — отличный «ускоритель сортировки»⚡️, но плохой «турникет на входе» 🚧
Во 2-м посте разберём «хорошие» и «плохие» примеры на громких CVE 🔥
Будет и «кровоточащая Монга», и React2Shell, и кейсы, где EPSS сначала говорит «ну такое…», а потом внезапно начинает орать сиреной 🚑
В конце года принято подводить итоги и делать предсказания ✨
Давайте совместим оба ритуала и посмотрим, насколько лучше мы могли бы контролировать поверхность атак, если бы слепо верили в магию EPSS 🧙♂️
Спойлер: контролировали бы не очень. И вот почему 😈
Что мы сделали 🧪
Мы взяли все CVE, которые CISA добавила в KEV за 2025 год (то есть «уже ломают так, что заметили федералы»🚨).
Всего KEV-уязвимостей: 245.
EPSS «на дату добавления в KEV» удалось получить только для 203 (≈83%). Таким образом, в 17% случаев EPSS как сигнал «на момент решения» просто отсутствовал 🤷♂️
1. epss — вероятность (0…1), что уязвимость будут эксплуатировать в ближайшие 30 дней.
0.01 = 1% 🎯
2. percentile — «место в очереди« (0…1).
Например, 0.94 означает: уязвимость «горячее», чем 94%
CVE в этот день (то есть, она в ТОП-6% по «эксплуатируемости») 📈
Теперь практика: «сколько KEV вы поймаете порогами EPSS»🧮
Если патчить только то, что выше порога, то среди реально эксплуатируемых (KEV) вы поймаете:
• 0.1% (EPSS ≥ 0.001): 132 из 203 (65%)
• 1% (EPSS ≥ 0.01): 78 из 203 (38%)
• 10% (EPSS ≥ 0.1): 55 из 203 (27%)
Но! Если EPSS используется в реальном процессе, отсутствие EPSS — это тоже значит «не поймал»🙃
Тогда фактический recall на полном наборе KEV ещё ниже:
• EPSS ≥ 0.001: 132 / 245 = 53.9%
• EPSS ≥ 0.01: 78 / 245 = 31.8%
• EPSS ≥ 0.1: 55 / 245 = 22.4%
Иными словами, даже в случаях, где EPSS был, пороги ≥1% и ≥10% ловят лишь 38% и 27%.
А на полном наборе KEV — 31.8% и 22.4%. Грусть-тоска-печаль 🥲
Перевод на человеческий (для тех, кто, как и я, прогуливал матан в школе) 🧷
Если вы используете EPSS как «проходной балл» и берёте только ≥1% — вы пропускаете примерно 68.2% того, что уже реально эксплуатируют.
Так что EPSS — отличный «ускоритель сортировки»⚡️, но плохой «турникет на входе» 🚧
Во 2-м посте разберём «хорошие» и «плохие» примеры на громких CVE 🔥
Будет и «кровоточащая Монга», и React2Shell, и кейсы, где EPSS сначала говорит «ну такое…», а потом внезапно начинает орать сиреной 🚑
🔥17
Давайте посмотрим, что это значит на практике 🔍
❌ Плохой пример (или почему «низкий EPSS» не спасает): «кровоточащая Монга»🩸
CVE-2025-14847 / MongoBleed
• EPSS на дату добавления в KEV: 0.00041 (то есть 0.041%)
• Percentile: 0.122 (примерно «где-то внизу списка»)
• И при этом — KEV. То есть, эксплуатация подтверждена 🚨
Вы же уже пропатчились? Пропатчились, верно? 😏
Потому что вот вам главный урок: низкий EPSS не означает «не эксплуатируют».
Он может означать:
— эксплуатируют точечно;
— нишево;
— по internet-facing инсталляциям;
— с нетипичным шумом;
— без красивой массовой телеметрии, которую любит статистика 📉
✅ Хороший пример (EPSS действительно помогает поднять приоритет): React2Shell ⚡️
CVE-2025-55182 (React Server Components RCE)
• EPSS на дату добавления в KEV: 0.13814 (13.8%)
• К 2025-12-29 вырос до 0.48714
Вот здесь EPSS работает как задумано 👌
«Оно горячее 🔥, оно рядом 🚪, оно будет стрелять 💥»
⚠️ Самый коварный класс: «сначала тихо, потом пожар» 🔥
Есть кейсы, где EPSS на дату добавления был почти ноль (<0.1%), а потом стал огромным:
• CVE-2025-0108: 0.00043 → 0.94007
• CVE-2025-30066 (tj-actions): 0.00036 → 0.87601
То есть, если вы в моменте смотрите и говорите:
«0.04%? Ну, расслабились 😌» —
статистика может догнать уже после того, как рынок горит и пахнет жареным 🚒
🚫 Ещё хуже становится, когда мы выходим за пределы CVE вообще
Особенно — когда смотрим на российские системы 🇷🇺
Например, уязвимости в TrueConf Server:
• BDU:2025-10116
• BDU:2025-10115
• BDU:2025-10114
А также пачки багов, найденные экспертами СайберОК:
• BDU:2025-13736
• BDU:2025-13737
• BDU:2025-13738
У них нет CVE → нет EPSS → нет магии 🪄
Видишь взломы? 👀
А они есть.
❌ Плохой пример (или почему «низкий EPSS» не спасает): «кровоточащая Монга»🩸
CVE-2025-14847 / MongoBleed
• EPSS на дату добавления в KEV: 0.00041 (то есть 0.041%)
• Percentile: 0.122 (примерно «где-то внизу списка»)
• И при этом — KEV. То есть, эксплуатация подтверждена 🚨
Вы же уже пропатчились? Пропатчились, верно? 😏
Потому что вот вам главный урок: низкий EPSS не означает «не эксплуатируют».
Он может означать:
— эксплуатируют точечно;
— нишево;
— по internet-facing инсталляциям;
— с нетипичным шумом;
— без красивой массовой телеметрии, которую любит статистика 📉
✅ Хороший пример (EPSS действительно помогает поднять приоритет): React2Shell ⚡️
CVE-2025-55182 (React Server Components RCE)
• EPSS на дату добавления в KEV: 0.13814 (13.8%)
• К 2025-12-29 вырос до 0.48714
Вот здесь EPSS работает как задумано 👌
«Оно горячее 🔥, оно рядом 🚪, оно будет стрелять 💥»
⚠️ Самый коварный класс: «сначала тихо, потом пожар» 🔥
Есть кейсы, где EPSS на дату добавления был почти ноль (<0.1%), а потом стал огромным:
• CVE-2025-0108: 0.00043 → 0.94007
• CVE-2025-30066 (tj-actions): 0.00036 → 0.87601
То есть, если вы в моменте смотрите и говорите:
«0.04%? Ну, расслабились 😌» —
статистика может догнать уже после того, как рынок горит и пахнет жареным 🚒
🚫 Ещё хуже становится, когда мы выходим за пределы CVE вообще
Особенно — когда смотрим на российские системы 🇷🇺
Например, уязвимости в TrueConf Server:
• BDU:2025-10116
• BDU:2025-10115
• BDU:2025-10114
А также пачки багов, найденные экспертами СайберОК:
• BDU:2025-13736
• BDU:2025-13737
• BDU:2025-13738
У них нет CVE → нет EPSS → нет магии 🪄
Видишь взломы? 👀
А они есть.
Telegram
CyberOK_news
👋 Незваная конференция: 0-day в TrueConf
Эксперты СайберОК Роман Малов и Алексей Седой обнаружили 0-day уязвимости в TrueConf Server — корпоративном мессенджере с ВКС.
В продукте выявлена цепочка уязвимостей, которая при последовательной эксплуатации может…
Эксперты СайберОК Роман Малов и Алексей Седой обнаружили 0-day уязвимости в TrueConf Server — корпоративном мессенджере с ВКС.
В продукте выявлена цепочка уязвимостей, которая при последовательной эксплуатации может…
🔥16
🧮 EPSS и патч-менеджмент:
сколько реально придётся патчить (и сколько пальцев стереть об клавиатуру)
Окей, с KEV разобрались.
Но давайте зададим более приземлённый вопрос 💸👇
👉 Если поставить порог EPSS — сколько вообще придётся патчить ВСЕГО, а не только KEV?
CISO живёт не в мире процентов, а в мире людей, часов и «когда мы это всё успеем».
Мы взяли все CVE-2025 и EPSS-снэпшот на 29 декабря 2025.
Всего уязвимостей: 37 907. Да, почти 38 тысяч 😬
🔹 Порог EPSS ≥ 0.1% (0.001)
• В патч-лист попадает: 8 663 уязвимости
• Это 22.85% всех CVE-2025
Трудозатраты:
• 15 минут на уязвимость → 2 166 часов (≈ 54 человеко-недели)
• 30 минут → 4 332 часа (≈ 108 человеко-недель)
• 60 минут → 8 663 часа (≈ 217 человеко-недель) 😵
📌 Это уже не «спринт», это ксеноморфная многорукая форма жизни.
🔹 Порог EPSS ≥ 1% (0.01)
• В патч-лист попадает: 1 078 уязвимостей
• Это 2.84% всех CVE-2025
Трудозатраты:
• 15 минут → 270 часов (≈ 6.7 человеко-недель)
• 30 минут → 539 часов (≈ 13.5 человеко-недель)
• 60 минут → 1 078 часов (≈ 27 человеко-недель)
📌 Вот это уже похоже на реалистичную нагрузку для команды —
и именно поэтому этот порог так любят 👀
🔹 Порог EPSS ≥ 10% (0.1)
• В патч-лист попадает: 360 уязвимостей
• Это всего 0.95% всех CVE-2025
Трудозатраты:
• 15 минут → 90 часов (≈ 2.2 человеко-недели)
• 30 минут → 180 часов (≈ 4.5 человеко-недели)
• 60 минут → 360 часов (≈ 9 человеко-недель)
📌 Очень комфортно.
📌 Очень красиво в отчётах.
❗️ И при этом вы пропускаете половину KEV. Да, ту самую, которую «уже эксплуатируют».
🧠 Перевод на человеческий язык
• 0.1% EPSS — вы почти не пропускаете KEV,
но платите за это сотнями человеко-недель.
• 1% EPSS — разумный компромисс по нагрузке,
но вы сознательно принимаете риск пропустить часть реально эксплуатируемого.
• 10% EPSS — дешево, быстро, красиво… и крайне опасно, если использовать как единственный фильтр 🚨
Понятно, что один патч может закрывать несколько уязвимостей, но для понимания масштаба бедствия этих цифр достаточно.
🩸 И вот тут вспоминаем MongoBleed
CVE-2025-14847 / MongoBleed
EPSS = 0.00041
❌ Не проходит ни один из этих порогов.
❌ Не попадает в «разумную» очередь.
❌ Зато прекрасно попадает под реальную эксплуатацию.
🧷 Финальный вывод
EPSS — это полезный сигнал для того, чтобы упорядочить хаос, когда патчить нужно много. Но верить только EPSS нельзя.
• KEV и сигналы от СайберОК — нужно безусловно чинить 🧯
• EPSS — сортировать и фокусироваться 🎯
• Порог EPSS = это всегда обмен риска на трудозатраты
• А каждый дополнительный «процент EPSS» — это
стертые об клавиатуру пальцы ✋⌨️
Магия заканчивается там, где начинается планирование ресурсов 😉 К гадалке не ходи.
Для самых дотошных —репа с расчетами.
сколько реально придётся патчить (и сколько пальцев стереть об клавиатуру)
Окей, с KEV разобрались.
Но давайте зададим более приземлённый вопрос 💸👇
👉 Если поставить порог EPSS — сколько вообще придётся патчить ВСЕГО, а не только KEV?
CISO живёт не в мире процентов, а в мире людей, часов и «когда мы это всё успеем».
Мы взяли все CVE-2025 и EPSS-снэпшот на 29 декабря 2025.
Всего уязвимостей: 37 907. Да, почти 38 тысяч 😬
🔹 Порог EPSS ≥ 0.1% (0.001)
• В патч-лист попадает: 8 663 уязвимости
• Это 22.85% всех CVE-2025
Трудозатраты:
• 15 минут на уязвимость → 2 166 часов (≈ 54 человеко-недели)
• 30 минут → 4 332 часа (≈ 108 человеко-недель)
• 60 минут → 8 663 часа (≈ 217 человеко-недель) 😵
📌 Это уже не «спринт», это ксеноморфная многорукая форма жизни.
🔹 Порог EPSS ≥ 1% (0.01)
• В патч-лист попадает: 1 078 уязвимостей
• Это 2.84% всех CVE-2025
Трудозатраты:
• 15 минут → 270 часов (≈ 6.7 человеко-недель)
• 30 минут → 539 часов (≈ 13.5 человеко-недель)
• 60 минут → 1 078 часов (≈ 27 человеко-недель)
📌 Вот это уже похоже на реалистичную нагрузку для команды —
и именно поэтому этот порог так любят 👀
🔹 Порог EPSS ≥ 10% (0.1)
• В патч-лист попадает: 360 уязвимостей
• Это всего 0.95% всех CVE-2025
Трудозатраты:
• 15 минут → 90 часов (≈ 2.2 человеко-недели)
• 30 минут → 180 часов (≈ 4.5 человеко-недели)
• 60 минут → 360 часов (≈ 9 человеко-недель)
📌 Очень комфортно.
📌 Очень красиво в отчётах.
❗️ И при этом вы пропускаете половину KEV. Да, ту самую, которую «уже эксплуатируют».
🧠 Перевод на человеческий язык
• 0.1% EPSS — вы почти не пропускаете KEV,
но платите за это сотнями человеко-недель.
• 1% EPSS — разумный компромисс по нагрузке,
но вы сознательно принимаете риск пропустить часть реально эксплуатируемого.
• 10% EPSS — дешево, быстро, красиво… и крайне опасно, если использовать как единственный фильтр 🚨
Понятно, что один патч может закрывать несколько уязвимостей, но для понимания масштаба бедствия этих цифр достаточно.
🩸 И вот тут вспоминаем MongoBleed
CVE-2025-14847 / MongoBleed
EPSS = 0.00041
❌ Не проходит ни один из этих порогов.
❌ Не попадает в «разумную» очередь.
❌ Зато прекрасно попадает под реальную эксплуатацию.
🧷 Финальный вывод
EPSS — это полезный сигнал для того, чтобы упорядочить хаос, когда патчить нужно много. Но верить только EPSS нельзя.
• KEV и сигналы от СайберОК — нужно безусловно чинить 🧯
• EPSS — сортировать и фокусироваться 🎯
• Порог EPSS = это всегда обмен риска на трудозатраты
• А каждый дополнительный «процент EPSS» — это
стертые об клавиатуру пальцы ✋⌨️
Магия заканчивается там, где начинается планирование ресурсов 😉 К гадалке не ходи.
Для самых дотошных —репа с расчетами.
GitHub
GitHub - scadastrangelove/kev_vs_epss: EPSS predictive power based on CISA KEV registered vulnerabilities
EPSS predictive power based on CISA KEV registered vulnerabilities - scadastrangelove/kev_vs_epss
🔥16
🎄 Рождественский Ni8mare
Пока все допивают глинтвейн, у n8n — своя рождественская сказка: цепочки, которые начинаются с чтения файлов, а заканчиваются захватом инстанса.
📊 Масштаб
СКИПА фиксирует чуть менее 9000 активных n8n в Рунете. По оценке CyberOK, около 70% — потенциально уязвимы из-за версий и/или экспозиции публичных webhook/form/endpoint-сценариев.
🧩 Цепочка атак
Это не «один баг», а набор путей-дорожек, где атакующий выбирает маршрут в зависимости от конфигурации и включённых нод.
1. CVE-2026-21858 — Arbitrary File Read (AFR)
Удалённое чтение файлов. Отличная точка входа: секреты, токены, окружение, конфиги.
2. CVE-2026-21858 (AFR) + CVE-2025-68613 (RCE)
Если удалось вытащить нужные секреты/контекст — дальше можно перейти к удалённому выполнению кода.
3. Pyodide Sandbox Escape — CVE-2025-68668 (нужен Python Code Node)
Специализированный маршрут: работает только там, где реально используется Python Code Node. Зато потенциал у истории неприятный.
4. Expression Injection — CVE-2025-68613 (работает на стандартных установках)
Самый “практичный” вариант для атакующего: не требует редких настроек и чаще встречается в проде.
🧠 Почему это опасно
— n8n - инструмент для автоматизации задач между сервисами, часто живёт как “интеграционный клей” и держит доступы ко всему: API-ключи, токены, учетные записи, webhook-секреты.
— AFR быстро превращается в “достань секрет → расширь доступ → закрепись”.
— Expression Injection на дефолтных установках снижает порог входа и повышает шанс массовых злоупотреблений.
🛡 Рекомендации
1. Срочно обновить n8n до исправленных версий (минимум закрывающих цепочку) и перепроверить релиз-ноты по всем CVE в цепочке.
2. Убрать n8n из прямой интернет-экспозиции: VPN/allowlist/SSO, отдельный периметр, минимизация публичных эндпойнтов.
3. Провести ревизию публичных webhook/forms: какие реально нужны, какие доступны без авторизации, где хранятся секреты.
4. Ротация секретов после обновления: если инстанс мог быть доступен извне — считать токены/ключи потенциально скомпрометированными.
5. Для SOC: добавить детекты на обращения к служебным эндпойнтам и аномальные вызовы workflow (особенно вокруг форм/вебхуков).
⏱️ Таймлайн сигналов
•
Вышла n8n 1.121.0 — версия с исправлением (патч появился до публичной огласки).
•
Запись CVE опубликована в NVD (published date).
•
GitHub Security Advisory (GHSA-v4pr-fm98-w9pg): affected >= 1.65.0 и < 1.121.0, patched 1.121.0, официальных workaround нет.
•
Техразбор от Cyera Research Labs: Ni8mare in n8n (CVE-2026-21858).
•
Публичный PoC (репозиторий с отметкой disclosure time).
🔗 Источники
• https://github.com/Chocapikk/CVE-2026-21858
• https://nvd.nist.gov/vuln/detail/CVE-2025-68668
• https://www.cyera.com/research-labs/ni8mare-unauthenticated-remote-code-execution-in-n8n-cve-2026-21858
Пока все допивают глинтвейн, у n8n — своя рождественская сказка: цепочки, которые начинаются с чтения файлов, а заканчиваются захватом инстанса.
📊 Масштаб
СКИПА фиксирует чуть менее 9000 активных n8n в Рунете. По оценке CyberOK, около 70% — потенциально уязвимы из-за версий и/или экспозиции публичных webhook/form/endpoint-сценариев.
🧩 Цепочка атак
Это не «один баг», а набор путей-дорожек, где атакующий выбирает маршрут в зависимости от конфигурации и включённых нод.
1. CVE-2026-21858 — Arbitrary File Read (AFR)
Удалённое чтение файлов. Отличная точка входа: секреты, токены, окружение, конфиги.
2. CVE-2026-21858 (AFR) + CVE-2025-68613 (RCE)
Если удалось вытащить нужные секреты/контекст — дальше можно перейти к удалённому выполнению кода.
3. Pyodide Sandbox Escape — CVE-2025-68668 (нужен Python Code Node)
Специализированный маршрут: работает только там, где реально используется Python Code Node. Зато потенциал у истории неприятный.
4. Expression Injection — CVE-2025-68613 (работает на стандартных установках)
Самый “практичный” вариант для атакующего: не требует редких настроек и чаще встречается в проде.
🧠 Почему это опасно
— n8n - инструмент для автоматизации задач между сервисами, часто живёт как “интеграционный клей” и держит доступы ко всему: API-ключи, токены, учетные записи, webhook-секреты.
— AFR быстро превращается в “достань секрет → расширь доступ → закрепись”.
— Expression Injection на дефолтных установках снижает порог входа и повышает шанс массовых злоупотреблений.
🛡 Рекомендации
1. Срочно обновить n8n до исправленных версий (минимум закрывающих цепочку) и перепроверить релиз-ноты по всем CVE в цепочке.
2. Убрать n8n из прямой интернет-экспозиции: VPN/allowlist/SSO, отдельный периметр, минимизация публичных эндпойнтов.
3. Провести ревизию публичных webhook/forms: какие реально нужны, какие доступны без авторизации, где хранятся секреты.
4. Ротация секретов после обновления: если инстанс мог быть доступен извне — считать токены/ключи потенциально скомпрометированными.
5. Для SOC: добавить детекты на обращения к служебным эндпойнтам и аномальные вызовы workflow (особенно вокруг форм/вебхуков).
⏱️ Таймлайн сигналов
•
2025-11-18 — VENDOR_FIX_RELEASEDВышла n8n 1.121.0 — версия с исправлением (патч появился до публичной огласки).
•
2026-01-07 — VULN_PUBLISHEDЗапись CVE опубликована в NVD (published date).
•
2026-01-07 — VENDOR_ADVISORY_PUBLISHEDGitHub Security Advisory (GHSA-v4pr-fm98-w9pg): affected >= 1.65.0 и < 1.121.0, patched 1.121.0, официальных workaround нет.
•
2026-01-07 — THREAT_RESEARCH_PUBLISHEDТехразбор от Cyera Research Labs: Ni8mare in n8n (CVE-2026-21858).
•
2026-01-07 11:09 — PUBLIC_POC_RELEASEDПубличный PoC (репозиторий с отметкой disclosure time).
🔗 Источники
• https://github.com/Chocapikk/CVE-2026-21858
• https://nvd.nist.gov/vuln/detail/CVE-2025-68668
• https://www.cyera.com/research-labs/ni8mare-unauthenticated-remote-code-execution-in-n8n-cve-2026-21858
🔥12