🪟 Windows: Июльский Patch Tuesday — рекорд 622 CVE, RoguePlanet закрыт, и новый LegacyHive
Коллеги, вчера вышел July Patch Tuesday. Держитесь.
Microsoft опубликовал 622 уязвимости в июльском Patch Tuesday, включая рекордные 416 уязвимостей Windows. Microsoft известно об эксплуатации в дикой природе двух из сегодняшних уязвимостей, обе добавлены в CISA KEV.
Хорошая новость: RoguePlanet закрыт. Патч вышел через Malware Protection Engine версии 1.1.26060.3008 — OOB-обновление 8-9 июля, до регулярного Patch Tuesday.
Плохая новость: Nightmare Eclipse заявил что патч RoguePlanet привнёс новую проблему — при определённых условиях атакующие могут использовать обновлённый движок для заполнения всего диска.
И сразу же после вчерашнего PT: появился новый PoC LegacyHive — позволяет непривилегированному пользователю монтировать чужой user hive.
Три приоритета на сегодня:
Примечательное изменение в Patch Tuesday: Security Update Guide Microsoft больше не перечисляет отдельные уязвимости — только сводную таблицу количества по семействам продуктов и секцию "Notable CVEs". Это прямое следствие экспоненциального роста объёмов: при 622 CVE детальный listing становится неуправляемым.
Итог: 622 CVE — это не читать, это триажировать. SPNEGO NEGOEX (wormable 9.8) и SharePoint RCE — патчить сегодня. Kerberos RC4 — проверяй Event 205 прямо сейчас.
#windows #patchtuesday #sharepoint #kerberos #security #sysadmin #admin_future
Коллеги, вчера вышел July Patch Tuesday. Держитесь.
Microsoft опубликовал 622 уязвимости в июльском Patch Tuesday, включая рекордные 416 уязвимостей Windows. Microsoft известно об эксплуатации в дикой природе двух из сегодняшних уязвимостей, обе добавлены в CISA KEV.
Хорошая новость: RoguePlanet закрыт. Патч вышел через Malware Protection Engine версии 1.1.26060.3008 — OOB-обновление 8-9 июля, до регулярного Patch Tuesday.
Плохая новость: Nightmare Eclipse заявил что патч RoguePlanet привнёс новую проблему — при определённых условиях атакующие могут использовать обновлённый движок для заполнения всего диска.
И сразу же после вчерашнего PT: появился новый PoC LegacyHive — позволяет непривилегированному пользователю монтировать чужой user hive.
Три приоритета на сегодня:
# 1. КРИТИЧНО: CVE-2026-55040 — SharePoint Authentication Bypass
# Rapid7 нашли цепочку: этот баг + второй (August PT) = unauthenticated RCE
# SharePoint Server Subscription Edition, 2019, 2016 — патчить немедленно
Get-HotFix | Where-Object {$_.InstalledOn -ge "2026-07-13"} |
Select-Object HotFixID, InstalledOn | Sort-Object InstalledOn -Descending
# 2. КРИТИЧНО: CVE-2025-47981 — SPNEGO NEGOEX buffer overflow CVSS 9.8
# Wormable, no auth, no interaction, все Windows с Server 2008R2
# Уже в прошлом месяце был в preview — проверяем что закрыт:
$spnego = Get-HotFix | Where-Object {$_.HotFixID -like "*KB509*"}
$spnego | Format-Table
# 3. RoguePlanet — проверяем версию Defender Engine:
Get-MpComputerStatus | Select-Object AMEngineVersion
# Нужна >= 1.1.26060.3008
# Для air-gapped систем — принудительное обновление:
Update-MpSignature -UpdateSource InternalDefinitionUpdateServer
# 4. ДЕДЛАЙН который пришёл сегодня — Kerberos RC4 ФИНАЛ:
# Реестровый ключ RC4DefaultDisablementPhase больше не существует
# Проверяем нет ли RC4-only учёток которые теперь упадут:
Get-WinEvent -LogName System -ComputerName (hostname) |
Where-Object {$_.Id -eq 205} |
Select-Object TimeCreated, Message | Format-List | Select-Object -First 5
# Event 205 = RC4 ticket запрошен — эти учётки теперь не аутентифицируются
# 5. SQL Server 2016 — сегодня EOL extended support
# Переходит в платный ESU с 15 июля 2026
# SharePoint 2016 и 2019 — вчера последний день поддержки (нет ESU!)
Примечательное изменение в Patch Tuesday: Security Update Guide Microsoft больше не перечисляет отдельные уязвимости — только сводную таблицу количества по семействам продуктов и секцию "Notable CVEs". Это прямое следствие экспоненциального роста объёмов: при 622 CVE детальный listing становится неуправляемым.
Итог: 622 CVE — это не читать, это триажировать. SPNEGO NEGOEX (wormable 9.8) и SharePoint RCE — патчить сегодня. Kerberos RC4 — проверяй Event 205 прямо сейчас.
#windows #patchtuesday #sharepoint #kerberos #security #sysadmin #admin_future
🧠 Skills: 622 CVE в месяц — традиционный CVE-трекинг мёртв. Что вместо него.
Коллеги, среда — день для разговора который давно назрел. Июльский Patch Tuesday поставил финальную точку в дискуссии.
Microsoft на пути к тому чтобы закрыть более 1000 уязвимостей за год. FIRST прогнозирует 66 000 CVE в индустрии за 2026 год. Первопричина — AI-assisted vulnerability discovery. Автоматический фаззинг, статический анализ и variant hunting находят баги быстрее чем команды успевают их исправлять.
При таком масштабе традиционный workflow "оцени каждый CVE" рушится. Рейтинг CVSS High или Critical звучит срочно — пока не понимаешь что он применяется к 58% всех опубликованных CVE. Нельзя считать все из них приоритетами — это слово перестаёт что-либо означать.
Современная альтернатива — двухуровневая система приоритизации:
Один честный вывод из июля: Microsoft не только убрал детальный список уязвимостей из Security Update Guide — это признание что детальный CVE-трекинг при 622 CVE/месяц нефункционален даже для Microsoft. Они перешли на summary + Notable CVEs.
Это сигнал: если Microsoft не может детально описать 622 CVE — ты не можешь их все трекать. Приоритизация это не лень. Это единственный способ не утонуть.
Итог: CISA KEV + EPSS + контекст среды = рабочая система на 2026 год. Всё остальное — попытка пить из пожарного шланга. Настрой EPSS API и KEV RSS сегодня.
#skills #patchmanagement #epss #cve #security #sysadmin #admin_future
Коллеги, среда — день для разговора который давно назрел. Июльский Patch Tuesday поставил финальную точку в дискуссии.
Microsoft на пути к тому чтобы закрыть более 1000 уязвимостей за год. FIRST прогнозирует 66 000 CVE в индустрии за 2026 год. Первопричина — AI-assisted vulnerability discovery. Автоматический фаззинг, статический анализ и variant hunting находят баги быстрее чем команды успевают их исправлять.
При таком масштабе традиционный workflow "оцени каждый CVE" рушится. Рейтинг CVSS High или Critical звучит срочно — пока не понимаешь что он применяется к 58% всех опубликованных CVE. Нельзя считать все из них приоритетами — это слово перестаёт что-либо означать.
Современная альтернатива — двухуровневая система приоритизации:
УРОВЕНЬ 1: CISA KEV + EPSS
CISA KEV — факт эксплуатации в дикой природе
EPSS — вероятность эксплуатации в следующие 30 дней (0 до 1.0)
Действие: CISA KEV → патчить немедленно, без обсуждений
EPSS > 0.5 → патчить в этот цикл
EPSS < 0.1 → плановый следующий квартал
УРОВЕНЬ 2: КОНТЕКСТ СРЕДЫ
CVSS 9.8 на компонент которого у тебя нет = не твоя проблема
CVSS 7.0 на компонент который торчит наружу = твоя проблема
Вопросы которые надо задать ДО паники:
□ Этот компонент установлен?
□ Доступен ли вектор атаки в нашей топологии?
□ Есть ли публичный PoC?
□ Есть ли в CISA KEV?
КАК ВЫГЛЯДИТ ПРАВИЛЬНЫЙ ТРИКАЖ ИЮЛЯ 2026:
622 CVE → смотрим Notable CVEs от Microsoft
+ CISA KEV за неделю (обычно 5-15 записей)
+ EPSS > 0.5 фильтр через api.first.org
Итог: из 622 → реально срочных ~20-30
Остальные 600 → плановый цикл
# Практика: EPSS API для быстрого триажа
# Пример: проверяем EPSS score для конкретного CVE
curl -s "https://api.first.org/data/v1/epss?cve=CVE-2026-55040" | \
python3 -c "import sys,json; d=json.load(sys.stdin); \
print(f\"EPSS: {d['data'][0]['epss']} | Percentile: {d['data'][0]['percentile']}\")"
# Автоматизированная проверка нескольких CVE:
CVES="CVE-2026-55040,CVE-2025-47981,CVE-2026-50656"
curl -s "https://api.first.org/data/v1/epss?cve=${CVES}" | \
python3 -m json.tool | grep -E "cve|epss|percentile"
# CISA KEV — RSS для алертов:
# https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json
# Добавить в любой RSS-ридер или скрипт мониторинга
Один честный вывод из июля: Microsoft не только убрал детальный список уязвимостей из Security Update Guide — это признание что детальный CVE-трекинг при 622 CVE/месяц нефункционален даже для Microsoft. Они перешли на summary + Notable CVEs.
Это сигнал: если Microsoft не может детально описать 622 CVE — ты не можешь их все трекать. Приоритизация это не лень. Это единственный способ не утонуть.
Итог: CISA KEV + EPSS + контекст среды = рабочая система на 2026 год. Всё остальное — попытка пить из пожарного шланга. Настрой EPSS API и KEV RSS сегодня.
#skills #patchmanagement #epss #cve #security #sysadmin #admin_future
🔥2
🐧 Linux: 400+ уязвимостей ядра за 24 часа — это не апокалипсис, это AI-аудит
Коллеги, с Днём системного администратора! Сегодня праздник — но разбор горячей новости всё равно будет.
19-20 июля произошло кое-что беспрецедентное: Linux-сообщество закрыло более 400 уязвимостей ядра за 24 часа, затронув XFS, Btrfs, Netfilter, Bluetooth, KVM, NVMe, CIFS/SMB, Wi-Fi, IOMMU, DMA, RDMA и десятки сетевых драйверов. Среди них use-after-free, out-of-bounds, NULL-pointer dereferences, race conditions и improper input validation.
Это не паника. Это результат работы AI-assisted vulnerability scanning в промышленном масштабе. Торвальдс прокомментировал это прямо: ядро не является анти-AI проектом, AI — это инструмент, задача сообщества — улучшать инструменты, а не отвергать их.
Что это означает для нас как администраторов:
Снимок недели 30: glibc, ядро Linux, WebKitGTK, glib2, libtiff — всё получило критические фиксы. Apache httpd, nginx, .NET 8-10, Node.js 22, Python 3.14 — все патчатся. Отдельно стоит CVE-2026-8933 в snap-confine на Ubuntu — race condition в sandbox initialization, root code execution.
Один честный тезис про 400+ CVE за сутки: это не страшнее чем 1 critical CVE с публичным PoC. Большинство из 400 — это fixes для corner cases в редко используемых драйверах без известной эксплуатации. Более сложная задача — определить какие обновления несут наибольший операционный риск. EPSS + CISA KEV — единственный рабочий фильтр.
Итог: 7.1.4 вышла 23 июля, патчи июля закрыли всё что накопилось. С Днём администратора — обнови ядро и иди отдыхать.
#linux #kernel #security #patch #sysadmin #admin_future
Коллеги, с Днём системного администратора! Сегодня праздник — но разбор горячей новости всё равно будет.
19-20 июля произошло кое-что беспрецедентное: Linux-сообщество закрыло более 400 уязвимостей ядра за 24 часа, затронув XFS, Btrfs, Netfilter, Bluetooth, KVM, NVMe, CIFS/SMB, Wi-Fi, IOMMU, DMA, RDMA и десятки сетевых драйверов. Среди них use-after-free, out-of-bounds, NULL-pointer dereferences, race conditions и improper input validation.
Это не паника. Это результат работы AI-assisted vulnerability scanning в промышленном масштабе. Торвальдс прокомментировал это прямо: ядро не является анти-AI проектом, AI — это инструмент, задача сообщества — улучшать инструменты, а не отвергать их.
Что это означает для нас как администраторов:
Снимок недели 30: glibc, ядро Linux, WebKitGTK, glib2, libtiff — всё получило критические фиксы. Apache httpd, nginx, .NET 8-10, Node.js 22, Python 3.14 — все патчатся. Отдельно стоит CVE-2026-8933 в snap-confine на Ubuntu — race condition в sandbox initialization, root code execution.
# ФИНАЛЬНЫЙ ПАТЧ-РЕЙД ИЮЛЯ — всё сразу:
# Ubuntu/Debian — максимально агрессивное обновление:
apt update && apt full-upgrade -y
# Проверяем что ядро обновилось:
uname -r
# После reboot — должна быть 7.1.4+ (вышла 23 июля):
# Linux Kernel 7.1.4 Released with Bug Fixes, Security Updates
# RHEL/Rocky/AlmaLinux — включая real-time kernel:
dnf update -y
dnf update kernel kernel-rt -y # если используется RT-ядро
# Snap + Ubuntu — CVE-2026-8933 snap-confine:
snap refresh core
snap version
# Python 3.14 на продакшн-серверах:
python3 --version
apt install python3 --only-upgrade # Ubuntu
dnf update python3 -y # RHEL/Rocky
# glibc — патчится при full-upgrade, но требует reboot:
ldd --version
# Убеждаемся что взяли обновлённую версию после перезагрузки
# Audit July итог — сколько пакетов обновилось:
grep "2026-07" /var/log/dpkg.log | grep "install\|upgrade" | wc -l
Один честный тезис про 400+ CVE за сутки: это не страшнее чем 1 critical CVE с публичным PoC. Большинство из 400 — это fixes для corner cases в редко используемых драйверах без известной эксплуатации. Более сложная задача — определить какие обновления несут наибольший операционный риск. EPSS + CISA KEV — единственный рабочий фильтр.
Итог: 7.1.4 вышла 23 июля, патчи июля закрыли всё что накопилось. С Днём администратора — обнови ядро и иди отдыхать.
#linux #kernel #security #patch #sysadmin #admin_future
🪟 Windows: Итог июля — SharePoint патч, SQL Server 2016 EOL и LegacyHive без патча
Коллеги, последняя пятница июля — подводим итог Windows-фронта за месяц.
Главные закрытые угрозы: RoguePlanet (CVE-2026-50656) — патч вышел OOB 8-9 июля через Malware Protection Engine 1.1.26060.3008. SharePoint authentication bypass (CVE-2026-55040) — закрыт в июльском PT. SPNEGO NEGOEX wormable buffer overflow (CVE-2025-47981, CVSS 9.8) — закрыт.
Что остаётся открытым: LegacyHive — новый PoC Nightmare Eclipse, позволяет непривилегированному пользователю монтировать чужой user hive. Патча нет. Nightmare Eclipse также заявил что патч RoguePlanet вводит новую проблему disk exhaustion при определённых условиях.
Критическое напоминание о дедлайнах которые уже наступили:
SQL Server 2016 переходит в платный ESU с 15 июля 2026. SharePoint Server 2016 и 2019 достигли end of life 14 июля — без ESU. После сегодня единственный поддерживаемый self-hosted SharePoint — SharePoint Subscription Edition.
Взгляд на август: SharePoint RCE — вторая часть цепочки от Rapid7 (CVE-2026-55040 + embargoed second CVE) ожидается в августовском Patch Tuesday. Это означает что уязвимость шире чем кажется сейчас.
Итог: июль для Windows был не "bone shattering" как обещал Nightmare Eclipse — но 622 CVE, RoguePlanet, SharePoint bypass и Kerberos finalization достаточно серьёзны. SQL Server 2016 и SharePoint 2016/2019 — всё, поддержка кончилась. Принимайте решение.
#windows #patchtuesday #sharepoint #sqlserver #security #sysadmin #admin_future
Коллеги, последняя пятница июля — подводим итог Windows-фронта за месяц.
Главные закрытые угрозы: RoguePlanet (CVE-2026-50656) — патч вышел OOB 8-9 июля через Malware Protection Engine 1.1.26060.3008. SharePoint authentication bypass (CVE-2026-55040) — закрыт в июльском PT. SPNEGO NEGOEX wormable buffer overflow (CVE-2025-47981, CVSS 9.8) — закрыт.
Что остаётся открытым: LegacyHive — новый PoC Nightmare Eclipse, позволяет непривилегированному пользователю монтировать чужой user hive. Патча нет. Nightmare Eclipse также заявил что патч RoguePlanet вводит новую проблему disk exhaustion при определённых условиях.
Критическое напоминание о дедлайнах которые уже наступили:
SQL Server 2016 переходит в платный ESU с 15 июля 2026. SharePoint Server 2016 и 2019 достигли end of life 14 июля — без ESU. После сегодня единственный поддерживаемый self-hosted SharePoint — SharePoint Subscription Edition.
# ИТОГОВЫЙ АУДИТ ИЮЛЯ — три команды
# 1. Проверяем что все июльские патчи на месте:
Get-HotFix | Where-Object {$_.InstalledOn -ge "2026-07-08"} |
Select-Object HotFixID, InstalledOn |
Sort-Object InstalledOn -Descending | Select-Object -First 5
# 2. Defender Engine — должна быть 1.1.26060.3008+:
Get-MpComputerStatus | Select-Object AMEngineVersion
# Если меньше — принудительное обновление:
Update-MpSignature
# 3. SQL Server 2016 инвентаризация (платный ESU с 15 июля):
Get-ADComputer -Filter * -Properties OperatingSystem |
ForEach-Object {
Invoke-Command -ComputerName $_.Name -ScriptBlock {
Get-Service MSSQL* | Where-Object {$_.Status -eq "Running"}
} -ErrorAction SilentlyContinue
} | Where-Object {$_ -ne $null}
# 4. Kerberos RC4 — финал. Ищем учётки которые сломались:
Get-WinEvent -LogName System |
Where-Object {$_.Id -eq 205 -and
$_.TimeCreated -gt (Get-Date).AddDays(-14)} |
Select-Object TimeCreated, Message |
Format-List | Select-Object -First 10
# 5. Мониторим disk space после RoguePlanet патча:
# Nightmare Eclipse предупредил о возможном disk exhaustion
Get-PSDrive -PSProvider FileSystem |
Where-Object {($_.Free / $_.Used) -lt 0.1} |
Select-Object Name, @{N="FreeGB";E={[math]::Round($_.Free/1GB,1)}}
Взгляд на август: SharePoint RCE — вторая часть цепочки от Rapid7 (CVE-2026-55040 + embargoed second CVE) ожидается в августовском Patch Tuesday. Это означает что уязвимость шире чем кажется сейчас.
Итог: июль для Windows был не "bone shattering" как обещал Nightmare Eclipse — но 622 CVE, RoguePlanet, SharePoint bypass и Kerberos finalization достаточно серьёзны. SQL Server 2016 и SharePoint 2016/2019 — всё, поддержка кончилась. Принимайте решение.
#windows #patchtuesday #sharepoint #sqlserver #security #sysadmin #admin_future
🧠 Skills: С Днём сисадмина. Честный разговор о профессии в 2026 году.
Коллеги, сегодня 31 июля — наш день. День системного администратора. И вместо поздравительной открытки — честный разговор о профессии. Потому что это полезнее.
Что произошло с профессией за первые семь месяцев 2026 года:
Мы закрыли больше уязвимостей за полгода чем раньше за год. Мы реагировали на Copy Fail, Dirty Frag, Fragnesia, DirtyClone, GhostLock, Januscape, CIFSwitch, CVE-2026-46333 — восемь LPE за 90 дней. Мы провели через RC4 Kerberos, Secure Boot истечение, Entra hard match, рекордные Patch Tuesday. Мы видели Atomic Arch и supply chain атаки на npm. И выстояли.
Это не мелкие задачи. Это то что большинство людей за пределами нашей профессии не замечают пока всё работает.
Три честных наблюдения о профессии:
Один совет на второе полугодие:
С Днём системного администратора, коллеги.
Вы держите мир работающим. Серверы не падают, данные не теряются, компании продолжают работать — во многом потому что вы делаете свою работу профессионально каждый день.
Это не всегда замечают. Но это важно. По-настоящему важно.
Отдыхайте сегодня. Вы заслужили.
#skills #деньсисадмина #sysadmin #карьера #профессия #admin_future
Коллеги, сегодня 31 июля — наш день. День системного администратора. И вместо поздравительной открытки — честный разговор о профессии. Потому что это полезнее.
Что произошло с профессией за первые семь месяцев 2026 года:
Мы закрыли больше уязвимостей за полгода чем раньше за год. Мы реагировали на Copy Fail, Dirty Frag, Fragnesia, DirtyClone, GhostLock, Januscape, CIFSwitch, CVE-2026-46333 — восемь LPE за 90 дней. Мы провели через RC4 Kerberos, Secure Boot истечение, Entra hard match, рекордные Patch Tuesday. Мы видели Atomic Arch и supply chain атаки на npm. И выстояли.
Это не мелкие задачи. Это то что большинство людей за пределами нашей профессии не замечают пока всё работает.
Три честных наблюдения о профессии:
НАБЛЮДЕНИЕ 1: СЛОЖНОСТЬ РАСТЁТ, ВИДИМОСТЬ — НЕТ
622 CVE в один Patch Tuesday.
400+ уязвимостей ядра за 24 часа.
AI находит баги быстрее чем вендоры их закрывают.
Бизнес видит: "всё работает, зачем платить больше?"
Реальность: чтобы "всё работало" — нужна системная работа
которую раньше не было.
Что делать: считай нагрузку в цифрах и показывай.
"В июле я закрыл 3 критических CVE с активной эксплуатацией,
обновил 47 серверов, мигрировал SharePoint с EOL"
— это не хвастовство, это операционный отчёт.
НАБЛЮДЕНИЕ 2: ПРОФЕССИЯ РАЗДЕЛИЛАСЬ НА ДВЕ
Первая: реактивный администратор.
Тушит пожары, устаёт, не успевает учиться.
Каждый новый LPE — паника.
Вторая: инженер инфраструктуры.
Строит системы (EPSS, CISA KEV, ModuleJail, IaC).
Новый LPE — плановая задача в трекере.
Разница не в знаниях. В подходе.
Второй путь доступен всем кто решит его выбрать.
НАБЛЮДЕНИЕ 3: ЦЕННОСТЬ РАСТЁТ, НО ЕЁ НУЖНО ОБЪЯСНЯТЬ
Безопасная инфраструктура невидима.
Никто не видит атаки которые ты предотвратил.
Никто не ценит апдейт который прошёл без инцидента.
Один инструмент который меняет это:
инженерный журнал. Ты его ведёшь?
Январь: Copy Fail митигейшн — 2 часа, 30 серверов
Апрель: DC reboot loop — 4 часа, восстановление
Июль: 622 CVE, SharePoint EOL, SQL Server 2016 — неделя
Через год это доказательство.
На собеседовании, на ревью, при разговоре о зарплате.
Один совет на второе полугодие:
Выбери одну вещь которую делаешь руками каждую неделю
и автоматизируй её до конца августа.
Не всё. Одну.
Патчинг? → unattended-upgrades или dnf-automatic
Мониторинг сертификатов? → скрипт + cron + алерт
RC4 аудит? → скрипт на PowerShell в расписание
Один автоматизированный процесс в месяц —
это 6 к концу года. Это уже другая инфраструктура.
С Днём системного администратора, коллеги.
Вы держите мир работающим. Серверы не падают, данные не теряются, компании продолжают работать — во многом потому что вы делаете свою работу профессионально каждый день.
Это не всегда замечают. Но это важно. По-настоящему важно.
Отдыхайте сегодня. Вы заслужили.
#skills #деньсисадмина #sysadmin #карьера #профессия #admin_future
❤2
Коллеги, на связи. Канал молчал несколько недель. Был плотный период по проектам: несколько площадок сразу, миграции, дежурства. На посты не оставалось ни времени, ни головы. Писать «для галочки» не хотел: пост без проверенных фактов хуже, чем отсутствие поста.
❤3
🔥 Alert: MikroTrik — обход аутентификации SSH в RouterOS. Уже эксплуатируется, уже в CISA KEV.
Коллеги, пятница. Начинаем с того, что надо проверить до выходных.
ЧТО ПРОИЗОШЛО:
CVE-2026-67276 (CVSS 9.2) — обход аутентификации SSH. По данным исследователей, RouterOS сверяет только модуль RSA-ключа, а не весь ключ.
CVE-2026-86060 (CVSS 9.2) — повышение привилегий через специально сформированное имя пользователя в SSH, вплоть до полного админа.
CVE-2026-67277 (CVSS 8.8) — утечка памяти ядра и DoS без аутентификации.
Уязвимости нашёл CERT Polska. Эксплуатация в дикой природе идёт как минимум со 2 сентября.
КОГО КАСАЕТСЯ:
Всех, у кого SSH на MikroTik доступен из недоверенных сетей. Дефолтный firewall такой доступ закрывает. Но «открыл 22 порт для удалёнки провайдера/подрядчика» — классика малого бизнеса.
ИСПРАВЛЕННЫЕ ВЕРСИИ:
v6 → 6.49.21+
v7 LT → 7.23.5 (в 7.23.4 фикс есть, но исследователи сообщают о регрессии IPv6)
v7 stable → 7.24.2+
v7 dev → 7.25beta3+
# 1. Версия и открыт ли SSH наружу
/system/resource/print
/ip/service/print where name=ssh
# 2. Ограничить SSH доверенными адресами (пример)
/ip/service/set ssh address=10.0.0.0/8,192.168.0.0/16
# 3. Признаки компрометации
/log/print where message~"user -2"
/user/print
/system/script/print
/system/scheduler/print
/system/device-mode/print
В логах ищем: login failure for user -2 и user <name> added by ssh:-2@<ip>. Подозрительны неизвестные учётки (в отчётах фигурирует ops), скрипты и задания в планировщике. IP, замеченные в атаках: 82.192.72.4, 103.102.31.18.
Важно: обновление закрывает дыру, но не вычищает то, что атакующий уже оставил. Если устройство было скомпрометировано — сначала обновление, потом ревизия пользователей, скриптов, scheduler и firewall. Надёжнее — netinstall и конфиг из известного бэкапа.
Итог: обновиться, закрыть SSH от интернета, управлять через WireGuard, проверить логи. Сегодня, а не в понедельник.
#alert #mikrotik #routeros #cve #security #sysadmin #admin_future
Коллеги, пятница. Начинаем с того, что надо проверить до выходных.
ЧТО ПРОИЗОШЛО:
CVE-2026-67276 (CVSS 9.2) — обход аутентификации SSH. По данным исследователей, RouterOS сверяет только модуль RSA-ключа, а не весь ключ.
CVE-2026-86060 (CVSS 9.2) — повышение привилегий через специально сформированное имя пользователя в SSH, вплоть до полного админа.
CVE-2026-67277 (CVSS 8.8) — утечка памяти ядра и DoS без аутентификации.
Уязвимости нашёл CERT Polska. Эксплуатация в дикой природе идёт как минимум со 2 сентября.
КОГО КАСАЕТСЯ:
Всех, у кого SSH на MikroTik доступен из недоверенных сетей. Дефолтный firewall такой доступ закрывает. Но «открыл 22 порт для удалёнки провайдера/подрядчика» — классика малого бизнеса.
ИСПРАВЛЕННЫЕ ВЕРСИИ:
v6 → 6.49.21+
v7 LT → 7.23.5 (в 7.23.4 фикс есть, но исследователи сообщают о регрессии IPv6)
v7 stable → 7.24.2+
v7 dev → 7.25beta3+
# 1. Версия и открыт ли SSH наружу
/system/resource/print
/ip/service/print where name=ssh
# 2. Ограничить SSH доверенными адресами (пример)
/ip/service/set ssh address=10.0.0.0/8,192.168.0.0/16
# 3. Признаки компрометации
/log/print where message~"user -2"
/user/print
/system/script/print
/system/scheduler/print
/system/device-mode/print
В логах ищем: login failure for user -2 и user <name> added by ssh:-2@<ip>. Подозрительны неизвестные учётки (в отчётах фигурирует ops), скрипты и задания в планировщике. IP, замеченные в атаках: 82.192.72.4, 103.102.31.18.
Важно: обновление закрывает дыру, но не вычищает то, что атакующий уже оставил. Если устройство было скомпрометировано — сначала обновление, потом ревизия пользователей, скриптов, scheduler и firewall. Надёжнее — netinstall и конфиг из известного бэкапа.
Итог: обновиться, закрыть SSH от интернета, управлять через WireGuard, проверить логи. Сегодня, а не в понедельник.
#alert #mikrotik #routeros #cve #security #sysadmin #admin_future
👍1
📊 Patch Tuesday сентября: ~970 CVE за месяц. Прогноз из июльского поста не просто сбылся — его перекрыли.
Коллеги, в июле я писал про 622 CVE и конец ручного трекинга. В августе было ~400. В сентябре Microsoft закрыл, по разным подсчётам, от 964 до 974 уязвимостей. Это крупнейший выпуск в истории. Расхождение между трекерами — само по себе показатель: даже посчитать это одинаково не получается.
ФАКТЫ:
Critical: 105 (из них RCE — 81)
EoP: 438 | RCE: 258 | Info Disclosure: 173
Zero-day, эксплуатируются:
CVE-2026-81963 — Windows Update Stack, EoP до SYSTEM
CVE-2026-85880 — ALPC, heap overflow, EoP до SYSTEM
ИНТЕРПРЕТАЦИЯ (моя):
Оба zero-day локальные. Сами по себе они не пробивают периметр — это второй шаг после фишинга или скомпрометированной учётки. Поэтому их приоритет — «немедленно» (KEV), а не «паника».
ПОДВОДНЫЙ КАМЕНЬ — RDS:
После KB5122876 (2019), KB5122882 (2022), KB5122871 (2025) пользователи сообщают, что хосты сессий зависают через несколько часов после загрузки. RDP висит на «Connecting…», Task Manager не отвечает, перезагрузка часто требует hard reset. В логах — Event ID 20498. Независимая отладка указывает на deadlock в RDPSERVERBASE при закрытии сессии. Microsoft на момент публикаций причину не подтвердил.
# Стоит ли проблемный KB
Get-HotFix -Id KB5122876,KB5122882,KB5122871 -ErrorAction SilentlyContinue
# Ловим 20498
Get-WinEvent -ListLog '*RemoteConnectionManager*' | ForEach-Object {
Get-WinEvent -FilterHashtable @{LogName=$_.LogName; Id=20498} -MaxEvents 20 -ErrorAction SilentlyContinue
}
# Откат: wusa не снимет LCU из-за вшитого SSU — только DISM
dism /online /get-packages | findstr /i "RollupFix"
dism /online /remove-package /packagename:<имя_пакета_RollupFix>
ПОРЯДОК ДЕЙСТВИЙ:
□ DC, файловые, SQL, гипервизоры — ставим по обычному циклу (закрываем zero-day)
□ RDSH-фермы — сначала один пилотный хост, наблюдать 24–48 ч
□ Откат — только если воспроизвелось. Потеря патча = возврат двух эксплуатируемых EoP
Итог: ~970 CVE не значит 970 задач. Из них срочных — два zero-day плюс то, что реально торчит наружу. А больше всего сломать инфраструктуру в этом месяце может сам патч, а не уязвимость.
#patchtuesday #windows #rds #cve #sysadmin #admin_future
Коллеги, в июле я писал про 622 CVE и конец ручного трекинга. В августе было ~400. В сентябре Microsoft закрыл, по разным подсчётам, от 964 до 974 уязвимостей. Это крупнейший выпуск в истории. Расхождение между трекерами — само по себе показатель: даже посчитать это одинаково не получается.
ФАКТЫ:
Critical: 105 (из них RCE — 81)
EoP: 438 | RCE: 258 | Info Disclosure: 173
Zero-day, эксплуатируются:
CVE-2026-81963 — Windows Update Stack, EoP до SYSTEM
CVE-2026-85880 — ALPC, heap overflow, EoP до SYSTEM
ИНТЕРПРЕТАЦИЯ (моя):
Оба zero-day локальные. Сами по себе они не пробивают периметр — это второй шаг после фишинга или скомпрометированной учётки. Поэтому их приоритет — «немедленно» (KEV), а не «паника».
ПОДВОДНЫЙ КАМЕНЬ — RDS:
После KB5122876 (2019), KB5122882 (2022), KB5122871 (2025) пользователи сообщают, что хосты сессий зависают через несколько часов после загрузки. RDP висит на «Connecting…», Task Manager не отвечает, перезагрузка часто требует hard reset. В логах — Event ID 20498. Независимая отладка указывает на deadlock в RDPSERVERBASE при закрытии сессии. Microsoft на момент публикаций причину не подтвердил.
# Стоит ли проблемный KB
Get-HotFix -Id KB5122876,KB5122882,KB5122871 -ErrorAction SilentlyContinue
# Ловим 20498
Get-WinEvent -ListLog '*RemoteConnectionManager*' | ForEach-Object {
Get-WinEvent -FilterHashtable @{LogName=$_.LogName; Id=20498} -MaxEvents 20 -ErrorAction SilentlyContinue
}
# Откат: wusa не снимет LCU из-за вшитого SSU — только DISM
dism /online /get-packages | findstr /i "RollupFix"
dism /online /remove-package /packagename:<имя_пакета_RollupFix>
ПОРЯДОК ДЕЙСТВИЙ:
□ DC, файловые, SQL, гипервизоры — ставим по обычному циклу (закрываем zero-day)
□ RDSH-фермы — сначала один пилотный хост, наблюдать 24–48 ч
□ Откат — только если воспроизвелось. Потеря патча = возврат двух эксплуатируемых EoP
Итог: ~970 CVE не значит 970 задач. Из них срочных — два zero-day плюс то, что реально торчит наружу. А больше всего сломать инфраструктуру в этом месяце может сам патч, а не уязвимость.
#patchtuesday #windows #rds #cve #sysadmin #admin_future
🐧 Skills: три CVE ядра Linux в CISA KEV — и почему «локальная» уязвимость с CVSS 9.8 должна насторожить.
Коллеги, 18 сентября CISA добавила в KEV сразу три уязвимости ядра. Red Hat 19-го подтвердил эксплуатацию и наличие публичного эксплойта. Срок для федеральных агентств — 21 сентября, всего три дня. Это нетипично мало.
ЧТО ЗАКРЫТО:
CVE-2025-39682 (9.8) — kernel TLS (модуль tls), путь приёма
CVE-2026-53266 (8.8) — ebtables SNAT, out-of-bounds write при переписывании ARP
CVE-2025-39964 (7.8) — AF_ALG, гонка при двух записях в один сокет
ФАКТ vs ИНТЕРПРЕТАЦИЯ:
Все три по описанию требуют локального доступа. CVSS 9.8 при локальном векторе — противоречие: такую оценку обычно дают сетевым багам без аутентификации. Значит, либо оценка завышена, либо вектор шире описанного. До разъяснений исходим из худшего. Практический смысл: это стадия повышения привилегий после первичного доступа — через веб-шелл, контейнер или украденный SSH-ключ.
ПРОВЕРКА:
uname -r
# Загружены ли уязвимые подсистемы
lsmod | grep -E '^(tls|ebt_snat|ebtable_nat|ebtables|af_alg|algif_[a-z]+)\s'
# Не вшиты ли в ядро (=y — блэклист не поможет, только обновление)
grep -E 'CONFIG_TLS=|CONFIG_BRIDGE_EBT_SNAT=|CONFIG_CRYPTO_USER_API' /boot/config-$(uname -r)
# Статус по дистрибутиву
# https://security-tracker.debian.org/tracker/CVE-2025-39682
apt update && apt list --upgradable 2>/dev/null | grep -E 'linux-image|proxmox-kernel'
ВРЕМЕННАЯ МЕРА (если патч прямо сейчас невозможен):
cat > /etc/modprobe.d/kev-2026-09.conf <<'EOF'
install tls /bin/false
install ebt_snat /bin/false
install algif_aead /bin/false
install algif_skcipher /bin/false
install algif_hash /bin/false
EOF
⚠️ Перед блэклистом проверить зависимости:
• kTLS используют nginx/HAProxy с ktls и часть NFS-over-TLS
• ebtables использует pve-firewall на Proxmox
• AF_ALG задействуют cryptsetup в отдельных режимах, iwd и часть криптобиблиотек
Блэклист — это мост до перезагрузки в новое ядро, а не решение.
Итог: «локальная» не значит «неважная». В KEV эти CVE попали потому, что их используют как второй шаг атаки. Обновить ядро, перезагрузиться, проверить uname -r — сегодня, если на хосте есть контейнеры, общие учётки или сервисы, доступные извне.
#skills #linux #kernel #cve #kev #proxmox #sysadmin #admin_future
Коллеги, 18 сентября CISA добавила в KEV сразу три уязвимости ядра. Red Hat 19-го подтвердил эксплуатацию и наличие публичного эксплойта. Срок для федеральных агентств — 21 сентября, всего три дня. Это нетипично мало.
ЧТО ЗАКРЫТО:
CVE-2025-39682 (9.8) — kernel TLS (модуль tls), путь приёма
CVE-2026-53266 (8.8) — ebtables SNAT, out-of-bounds write при переписывании ARP
CVE-2025-39964 (7.8) — AF_ALG, гонка при двух записях в один сокет
ФАКТ vs ИНТЕРПРЕТАЦИЯ:
Все три по описанию требуют локального доступа. CVSS 9.8 при локальном векторе — противоречие: такую оценку обычно дают сетевым багам без аутентификации. Значит, либо оценка завышена, либо вектор шире описанного. До разъяснений исходим из худшего. Практический смысл: это стадия повышения привилегий после первичного доступа — через веб-шелл, контейнер или украденный SSH-ключ.
ПРОВЕРКА:
uname -r
# Загружены ли уязвимые подсистемы
lsmod | grep -E '^(tls|ebt_snat|ebtable_nat|ebtables|af_alg|algif_[a-z]+)\s'
# Не вшиты ли в ядро (=y — блэклист не поможет, только обновление)
grep -E 'CONFIG_TLS=|CONFIG_BRIDGE_EBT_SNAT=|CONFIG_CRYPTO_USER_API' /boot/config-$(uname -r)
# Статус по дистрибутиву
# https://security-tracker.debian.org/tracker/CVE-2025-39682
apt update && apt list --upgradable 2>/dev/null | grep -E 'linux-image|proxmox-kernel'
ВРЕМЕННАЯ МЕРА (если патч прямо сейчас невозможен):
cat > /etc/modprobe.d/kev-2026-09.conf <<'EOF'
install tls /bin/false
install ebt_snat /bin/false
install algif_aead /bin/false
install algif_skcipher /bin/false
install algif_hash /bin/false
EOF
⚠️ Перед блэклистом проверить зависимости:
• kTLS используют nginx/HAProxy с ktls и часть NFS-over-TLS
• ebtables использует pve-firewall на Proxmox
• AF_ALG задействуют cryptsetup в отдельных режимах, iwd и часть криптобиблиотек
Блэклист — это мост до перезагрузки в новое ядро, а не решение.
Итог: «локальная» не значит «неважная». В KEV эти CVE попали потому, что их используют как второй шаг атаки. Обновить ядро, перезагрузиться, проверить uname -r — сегодня, если на хосте есть контейнеры, общие учётки или сервисы, доступные извне.
#skills #linux #kernel #cve #kev #proxmox #sysadmin #admin_future
👍2🔥1
🔧 Апдейт: RDS после сентябрьских патчей — исправление вышло, но через WSUS оно не придёт.
Коллеги, суббота — поправка к четверговому разбору. Я писал, что Microsoft не подтвердил зависания RDS. Это неверно: 14 сентября вышли внеплановые (OOB) обновления.
ФАКТЫ:
Server 2019 → KB5129238
Server 2022 → KB5129237
Server 2025 → KB5129235
Что исправлено: сбои подключения и входа по RDP, зависания серверов, а также зависания MMC, RDS Licensing Diagnoser, Проводника и Windows Update. Попутно исправлены общие папки Linux-ВМ в Hyper-V.
Точную причину Microsoft официально не назвал.
ГЛАВНЫЙ ПОДВОДНЫЙ КАМЕНЬ:
Серверные OOB выложены ТОЛЬКО в Microsoft Update Catalog.
WSUS и Windows Update их сами не предложат.
Если RDSH-ферма обновляется через WSUS, то исправления на ней скорее всего нет.
# Проблемный LCU стоит, а исправления нет?
$bad = 'KB5122876','KB5122882','KB5122871'
$fix = 'KB5129238','KB5129237','KB5129235'
$hf = (Get-HotFix).HotFixID
"Проблемный LCU: " + (($bad | ? { $hf -contains $_ }) -join ', ')
"OOB-фикс: " + (($fix | ? { $hf -contains $_ }) -join ', ')
# Установка скачанного из Catalog пакета
wusa.exe C:\Temp\<файл>.msu /quiet /norestart
ПОРЯДОК:
□ Проверить все RDSH и хосты с RD Licensing
□ Скачать OOB из Catalog → поставить на пилотный хост → понаблюдать
□ Импортировать в WSUS вручную (Import Updates) или раскатать через GPO/скрипт
□ Тем, кто откатил LCU: ставить заново сентябрьский LCU + OOB. Оставаться без патча — значит жить с двумя эксплуатируемыми zero-day EoP
Итог: проблема решена, но только у тех, кто сам сходил в Catalog. Проверь фермы до понедельника.
#patchtuesday #windows #rds #wsus #sysadmin #admin_future
Коллеги, суббота — поправка к четверговому разбору. Я писал, что Microsoft не подтвердил зависания RDS. Это неверно: 14 сентября вышли внеплановые (OOB) обновления.
ФАКТЫ:
Server 2019 → KB5129238
Server 2022 → KB5129237
Server 2025 → KB5129235
Что исправлено: сбои подключения и входа по RDP, зависания серверов, а также зависания MMC, RDS Licensing Diagnoser, Проводника и Windows Update. Попутно исправлены общие папки Linux-ВМ в Hyper-V.
Точную причину Microsoft официально не назвал.
ГЛАВНЫЙ ПОДВОДНЫЙ КАМЕНЬ:
Серверные OOB выложены ТОЛЬКО в Microsoft Update Catalog.
WSUS и Windows Update их сами не предложат.
Если RDSH-ферма обновляется через WSUS, то исправления на ней скорее всего нет.
# Проблемный LCU стоит, а исправления нет?
$bad = 'KB5122876','KB5122882','KB5122871'
$fix = 'KB5129238','KB5129237','KB5129235'
$hf = (Get-HotFix).HotFixID
"Проблемный LCU: " + (($bad | ? { $hf -contains $_ }) -join ', ')
"OOB-фикс: " + (($fix | ? { $hf -contains $_ }) -join ', ')
# Установка скачанного из Catalog пакета
wusa.exe C:\Temp\<файл>.msu /quiet /norestart
ПОРЯДОК:
□ Проверить все RDSH и хосты с RD Licensing
□ Скачать OOB из Catalog → поставить на пилотный хост → понаблюдать
□ Импортировать в WSUS вручную (Import Updates) или раскатать через GPO/скрипт
□ Тем, кто откатил LCU: ставить заново сентябрьский LCU + OOB. Оставаться без патча — значит жить с двумя эксплуатируемыми zero-day EoP
Итог: проблема решена, но только у тех, кто сам сходил в Catalog. Проверь фермы до понедельника.
#patchtuesday #windows #rds #wsus #sysadmin #admin_future
🧠 Skills: Veeam Agent CVE-2026-32996 — эксплуатируется или нет? Разбираем, где факт, а где заголовок.
Коллеги, на этой неделе новость «Veeam эксплуатируется в дикой природе» разошлась по лентам. Хороший повод проверить, на чём она держится.
ФАКТЫ:
CVE-2026-32996, Veeam Agent for Microsoft Windows, LPE до SYSTEM, CVSS v4 7.3
Механизм: когда админ открывает агент с повышенными правами, служба VeeamEndpointBackupSvc выдаёт идентификатор сессии. Этот идентификатор пишется открытым текстом в лог, который читают все пользователи машины. Любой, кто его прочитал, может предъявить его службе и выполнять команды как SYSTEM.
Уязвимы: сборки 13.0.2.1102 и ниже
Исправлено: 13.0.3.1220+ (актуальная standalone-версия — 13.1.1.700)
Публичный PoC: с 14 сентября
ЧТО НЕ ФАКТ:
Arctic Wolf сообщил об активной эксплуатации, а затем убрал бюллетень. В бюллетене самого Veeam упоминаний эксплуатации нет, в CISA KEV на момент написания уязвимости тоже нет.
Подтверждённой эксплуатации нет. Но публичный PoC для локальной LPE — это вопрос недель, а не месяцев.
УСЛОВИЯ АТАКИ:
• локальный доступ к машине
• админ хотя бы раз открыл агент с повышенными правами, и сессия активна
Самые рискованные машины — терминальные серверы и общие рабочие станции, где много пользователей и сидит агент.
# Версия агента на машине
Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\*',
'HKLM:\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Uninstall\*' |
? DisplayName -like '*Veeam Agent*' | Select DisplayName, DisplayVersion
# По списку серверов
$srv = Get-Content .\servers.txt
Invoke-Command -ComputerName $srv -ScriptBlock {
Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\*' |
? DisplayName -like '*Veeam Agent*' | Select DisplayName, DisplayVersion
} | Select PSComputerName, DisplayName, DisplayVersion
КАК ОБНОВЛЯТЬ:
Standalone → 13.1.1.700
Агенты под управлением VBR → сначала VBR до 13.0.2.29+, затем убедиться, что агенты реально обновились. Обновление VBR само по себе не означает обновлённых агентов.
Итог: «эксплуатируется» здесь — неподтверждённое утверждение, а публичный PoC и тривиальный механизм — факт. Для решения хватает второго: обновляем, начиная с RDS-хостов.
#skills #veeam #backup #cve #lpe #sysadmin #admin_future
Коллеги, на этой неделе новость «Veeam эксплуатируется в дикой природе» разошлась по лентам. Хороший повод проверить, на чём она держится.
ФАКТЫ:
CVE-2026-32996, Veeam Agent for Microsoft Windows, LPE до SYSTEM, CVSS v4 7.3
Механизм: когда админ открывает агент с повышенными правами, служба VeeamEndpointBackupSvc выдаёт идентификатор сессии. Этот идентификатор пишется открытым текстом в лог, который читают все пользователи машины. Любой, кто его прочитал, может предъявить его службе и выполнять команды как SYSTEM.
Уязвимы: сборки 13.0.2.1102 и ниже
Исправлено: 13.0.3.1220+ (актуальная standalone-версия — 13.1.1.700)
Публичный PoC: с 14 сентября
ЧТО НЕ ФАКТ:
Arctic Wolf сообщил об активной эксплуатации, а затем убрал бюллетень. В бюллетене самого Veeam упоминаний эксплуатации нет, в CISA KEV на момент написания уязвимости тоже нет.
Подтверждённой эксплуатации нет. Но публичный PoC для локальной LPE — это вопрос недель, а не месяцев.
УСЛОВИЯ АТАКИ:
• локальный доступ к машине
• админ хотя бы раз открыл агент с повышенными правами, и сессия активна
Самые рискованные машины — терминальные серверы и общие рабочие станции, где много пользователей и сидит агент.
# Версия агента на машине
Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\*',
'HKLM:\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Uninstall\*' |
? DisplayName -like '*Veeam Agent*' | Select DisplayName, DisplayVersion
# По списку серверов
$srv = Get-Content .\servers.txt
Invoke-Command -ComputerName $srv -ScriptBlock {
Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\*' |
? DisplayName -like '*Veeam Agent*' | Select DisplayName, DisplayVersion
} | Select PSComputerName, DisplayName, DisplayVersion
КАК ОБНОВЛЯТЬ:
Standalone → 13.1.1.700
Агенты под управлением VBR → сначала VBR до 13.0.2.29+, затем убедиться, что агенты реально обновились. Обновление VBR само по себе не означает обновлённых агентов.
Итог: «эксплуатируется» здесь — неподтверждённое утверждение, а публичный PoC и тривиальный механизм — факт. Для решения хватает второго: обновляем, начиная с RDS-хостов.
#skills #veeam #backup #cve #lpe #sysadmin #admin_future
👍1
📅 Суббота — инвентаризация: SQL Server 2016 уже без поддержки, Windows Server 2016 — через 108 дней.
Коллеги, выходные — лучшее время посчитать то, что в будни всегда откладывается.
ФАКТЫ:
SQL Server 2016 — расширенная поддержка закончилась 14 июля 2026
Windows Server 2016 — закончится 12 января 2027
ESU для WS2016 Microsoft предлагает через Azure Arc
ИНТЕРПРЕТАЦИЯ ДЛЯ НАС:
Microsoft прекратил продажи в РФ в 2022 году, поэтому для большинства российских организаций ESU недоступен. На практике после 12 января у 2016-х серверов остаются два пути: миграция или изоляция и компенсирующие меры. Вспомните два сентябрьских zero-day EoP в Windows: после EOL такие уязвимости останутся открытыми навсегда.
ШАГ 1 — СЧИТАЕМ WINDOWS:
Get-ADComputer -Filter 'OperatingSystem -like "*Server 2016*" -and Enabled -eq $true' `
-Properties OperatingSystem, LastLogonDate, IPv4Address |
Sort LastLogonDate -Descending |
Select Name, IPv4Address, LastLogonDate |
Export-Csv .\ws2016.csv -NoTypeInformation -Encoding UTF8
ШАГ 2 — СЧИТАЕМ SQL (major 13 = 2016):
sql
SELECT @@SERVERNAME AS server,
SERVERPROPERTY('ProductVersion') AS version,
SERVERPROPERTY('ProductLevel') AS level,
SERVERPROPERTY('Edition') AS edition,
CASE WHEN CAST(PARSENAME(CAST(SERVERPROPERTY('ProductVersion') AS nvarchar(32)),4) AS int) <= 13
THEN 'EOL' ELSE 'OK' END AS status;
ШАГ 3 — ДЛЯ КАЖДОЙ МАШИНЫ ОДНО РЕШЕНИЕ:
□ Мигрировать — на что, кто отвечает, в какой срок
□ Вывести из эксплуатации — роль уже никому не нужна
□ Изолировать — если зависимость не снять (легаси-1С, железо, лицензии): отдельный VLAN, доступ по белому списку, никакого RDP из общей сети, усиленный мониторинг
Строка без ответственного и даты — это не план, а список.
Итог: 108 дней — это примерно три цикла Patch Tuesday. Выгрузку и таблицу «сервер → решение → ответственный → срок» лучше сделать в эти выходные.
#skills #eol #windowsserver #sqlserver #inventory #sysadmin #admin_future
Коллеги, выходные — лучшее время посчитать то, что в будни всегда откладывается.
ФАКТЫ:
SQL Server 2016 — расширенная поддержка закончилась 14 июля 2026
Windows Server 2016 — закончится 12 января 2027
ESU для WS2016 Microsoft предлагает через Azure Arc
ИНТЕРПРЕТАЦИЯ ДЛЯ НАС:
Microsoft прекратил продажи в РФ в 2022 году, поэтому для большинства российских организаций ESU недоступен. На практике после 12 января у 2016-х серверов остаются два пути: миграция или изоляция и компенсирующие меры. Вспомните два сентябрьских zero-day EoP в Windows: после EOL такие уязвимости останутся открытыми навсегда.
ШАГ 1 — СЧИТАЕМ WINDOWS:
Get-ADComputer -Filter 'OperatingSystem -like "*Server 2016*" -and Enabled -eq $true' `
-Properties OperatingSystem, LastLogonDate, IPv4Address |
Sort LastLogonDate -Descending |
Select Name, IPv4Address, LastLogonDate |
Export-Csv .\ws2016.csv -NoTypeInformation -Encoding UTF8
ШАГ 2 — СЧИТАЕМ SQL (major 13 = 2016):
sql
SELECT @@SERVERNAME AS server,
SERVERPROPERTY('ProductVersion') AS version,
SERVERPROPERTY('ProductLevel') AS level,
SERVERPROPERTY('Edition') AS edition,
CASE WHEN CAST(PARSENAME(CAST(SERVERPROPERTY('ProductVersion') AS nvarchar(32)),4) AS int) <= 13
THEN 'EOL' ELSE 'OK' END AS status;
ШАГ 3 — ДЛЯ КАЖДОЙ МАШИНЫ ОДНО РЕШЕНИЕ:
□ Мигрировать — на что, кто отвечает, в какой срок
□ Вывести из эксплуатации — роль уже никому не нужна
□ Изолировать — если зависимость не снять (легаси-1С, железо, лицензии): отдельный VLAN, доступ по белому списку, никакого RDP из общей сети, усиленный мониторинг
Строка без ответственного и даты — это не план, а список.
Итог: 108 дней — это примерно три цикла Patch Tuesday. Выгрузку и таблицу «сервер → решение → ответственный → срок» лучше сделать в эти выходные.
#skills #eol #windowsserver #sqlserver #inventory #sysadmin #admin_future
https://mfgit.ru/2026/09/25/худший-патч-вторник-этого-года-что-зак/
Худший патч-вторник года: что патчить в Windows и Linux
Худший патч-вторник года: что патчить в Windows и Linux
Admin Future
Худший патч-вторник года: что патчить в Windows и Linux - Admin Future
Сентябрьский Patch Tuesday 2026: два эксплуатируемых 0-day, критичная RCE в DNS и Kerberos, три CVE ядра Linux в CISA KEV.
⚡️ [ root@admin-future ~ ]# new_post
PowerShell Remoting: управляем серверами через WinRM без RDP
🔗 https://mfgit.ru/2026/09/26/powershell-remoting-%d1%83%d0%bf%d1%80%d0%b0%d0%b2%d0%bb%d1%8f%d0%b5%d0%bc-%d1%81%d0%b5%d1%80%d0%b2%d0%b5%d1%80%d0%b0%d0%bc%d0%b8-%d1%87%d0%b5%d1%80%d0%b5%d0%b7-winrm-%d0%b1%d0%b5%d0%b7-rdp/
#powershell #windows
PowerShell Remoting: управляем серверами через WinRM без RDP
🔗 https://mfgit.ru/2026/09/26/powershell-remoting-%d1%83%d0%bf%d1%80%d0%b0%d0%b2%d0%bb%d1%8f%d0%b5%d0%bc-%d1%81%d0%b5%d1%80%d0%b2%d0%b5%d1%80%d0%b0%d0%bc%d0%b8-%d1%87%d0%b5%d1%80%d0%b5%d0%b7-winrm-%d0%b1%d0%b5%d0%b7-rdp/
#powershell #windows
Admin Future
PowerShell Remoting: управляем серверами через WinRM без RDP - Admin Future
От RDP-марафона к одной команде Знакомая картина: нужно проверить свободное место на диске на сорока серверах. «Админ-пожарный» открывает RDP-клиент, подключается […]
⚡️ [ root@admin-future ~ ]# new_post
Group Policy для начинающих: как управлять сотней компьютеров, не обходя их ногами
🔗 https://mfgit.ru/2026/09/27/group-policy-%d0%b4%d0%bb%d1%8f-%d0%bd%d0%b0%d1%87%d0%b8%d0%bd%d0%b0%d1%8e%d1%89%d0%b8%d1%85-%d0%ba%d0%b0%d0%ba-%d1%83%d0%bf%d1%80%d0%b0%d0%b2%d0%bb%d1%8f%d1%82%d1%8c-%d1%81%d0%be%d1%82%d0%bd%d0%b5/
#powershell #windows
Group Policy для начинающих: как управлять сотней компьютеров, не обходя их ногами
🔗 https://mfgit.ru/2026/09/27/group-policy-%d0%b4%d0%bb%d1%8f-%d0%bd%d0%b0%d1%87%d0%b8%d0%bd%d0%b0%d1%8e%d1%89%d0%b8%d1%85-%d0%ba%d0%b0%d0%ba-%d1%83%d0%bf%d1%80%d0%b0%d0%b2%d0%bb%d1%8f%d1%82%d1%8c-%d1%81%d0%be%d1%82%d0%bd%d0%b5/
#powershell #windows
Admin Future
Group Policy для начинающих: как управлять сотней компьютеров, не обходя их ногами - Admin Future
Заявка «поменяйте заставку на всех компьютерах» и 300 машин по одной Руководство решило, что на всех рабочих станциях должен стоять […]
🔥 Alert: MikroTik, часть 2 — в KEV новая CVE, а «исправленные» версии из прошлого поста уже недостаточны.
Коллеги, воскресенье, но к MikroTik придётся вернуться. За неделю картина заметно расширилась.
ЧТО НОВОГО:
CVE-2026-67279 — 25 сентября добавлена в CISA KEV.
SSH переходит в рабочий режим после запрошенного клиентом rekey, хотя аутентификации не было. Результат: без пароля можно создавать файлы и читать конфигурацию. В связке с CVE-2026-86060 это полный контроль над роутером.
CVE-2026-67278 — RouterOS принимает некорректные RSA-подписи в TLS и SSH. Сертификат можно подделать без закрытого ключа и выдать себя за роутер.
⚠️ Уязвимы 7.23.5 и 7.24.2 — именно те версии, которые я называл безопасными 25 сентября.
CVE-2026-67281 — WebFig, путь /jsproxy: чтение файлов без аутентификации, вплоть до учётных данных. Значит, проблема не только в SSH, но и в веб-интерфейсе.
CVE-2026-67277 — btest-сервер принимает соединения до аутентификации: утечка памяти ядра и DoS.
ВЕРСИИ (по CERT Polska):
v7 LT → 7.23.6+
v7 stable → 7.24.3+
v6 → 6.49.21+ (67278 касается только 7.x)
# Версия и что торчит наружу
/system/resource/print
/ip/service/print
/tool/bandwidth-server/print
# Закрываем лишнее
/ip/service/disable telnet,ftp,www,api
/ip/service/set ssh address=<доверенные_подсети>
/ip/service/set www-ssl address=<доверенные_подсети>
/tool/bandwidth-server/set enabled=no
# Обновление
/system/package/update/check-for-updates
/system/package/update/install
ИНТЕРПРЕТАЦИЯ (моя):
Шесть CVE за три недели в одних и тех же подсистемах (SSH, TLS, WebFig) — это не «баг, который закрыли», а аудит кода, который ещё идёт. Стоит ждать новых записей. Единственная мера, которая работает независимо от следующей CVE, — management-интерфейсы не видны из интернета вообще: только через WireGuard.
Итог: если обновлялись до 7.23.5 или 7.24.2 — обновляйтесь ещё раз. Если WebFig открыт наружу — проверяйте устройство на компрометацию так же, как в первой части.
#alert #mikrotik #routeros #cve #kev #sysadmin #admin_future
Коллеги, воскресенье, но к MikroTik придётся вернуться. За неделю картина заметно расширилась.
ЧТО НОВОГО:
CVE-2026-67279 — 25 сентября добавлена в CISA KEV.
SSH переходит в рабочий режим после запрошенного клиентом rekey, хотя аутентификации не было. Результат: без пароля можно создавать файлы и читать конфигурацию. В связке с CVE-2026-86060 это полный контроль над роутером.
CVE-2026-67278 — RouterOS принимает некорректные RSA-подписи в TLS и SSH. Сертификат можно подделать без закрытого ключа и выдать себя за роутер.
⚠️ Уязвимы 7.23.5 и 7.24.2 — именно те версии, которые я называл безопасными 25 сентября.
CVE-2026-67281 — WebFig, путь /jsproxy: чтение файлов без аутентификации, вплоть до учётных данных. Значит, проблема не только в SSH, но и в веб-интерфейсе.
CVE-2026-67277 — btest-сервер принимает соединения до аутентификации: утечка памяти ядра и DoS.
ВЕРСИИ (по CERT Polska):
v7 LT → 7.23.6+
v7 stable → 7.24.3+
v6 → 6.49.21+ (67278 касается только 7.x)
# Версия и что торчит наружу
/system/resource/print
/ip/service/print
/tool/bandwidth-server/print
# Закрываем лишнее
/ip/service/disable telnet,ftp,www,api
/ip/service/set ssh address=<доверенные_подсети>
/ip/service/set www-ssl address=<доверенные_подсети>
/tool/bandwidth-server/set enabled=no
# Обновление
/system/package/update/check-for-updates
/system/package/update/install
ИНТЕРПРЕТАЦИЯ (моя):
Шесть CVE за три недели в одних и тех же подсистемах (SSH, TLS, WebFig) — это не «баг, который закрыли», а аудит кода, который ещё идёт. Стоит ждать новых записей. Единственная мера, которая работает независимо от следующей CVE, — management-интерфейсы не видны из интернета вообще: только через WireGuard.
Итог: если обновлялись до 7.23.5 или 7.24.2 — обновляйтесь ещё раз. Если WebFig открыт наружу — проверяйте устройство на компрометацию так же, как в первой части.
#alert #mikrotik #routeros #cve #kev #sysadmin #admin_future
🧠 Skills: SharePoint CVE-2026-65660 — «spoofing», который оказался RCE. Почему метке CVE нельзя верить на слово.
Коллеги, хороший кейс к моему июльскому посту о приоритизации.
ФАКТЫ:
CVE-2026-65660, SharePoint Server 2016, 2019, Subscription Edition. CVSS 8.8.
Исправлено августовскими обновлениями безопасности (11 августа). Патч по умолчанию отключает уязвимую функцию.
В августе Microsoft классифицировал уязвимость как Spoofing. Позже классификацию сменили на RCE (code injection).
Механизм: компонент ToolPane восстанавливает директивы Register, не экранируя кавычки. Через них внедряются свои директивы, регистрируются произвольные .NET-классы, дальше — десериализация через XamlServices.Parse() и выполнение кода.
Нужна любая учётная запись с базовыми правами в SharePoint.
Эксплойт опубликован. 25 сентября Microsoft подтвердил атаки, в тот же день CVE попала в CISA KEV.
По данным исследователя, уязвима и SharePoint 2013, но она без поддержки с апреля 2023, и патча для неё не будет.
ПОЧЕМУ ЭТО ВАЖНО:
Приоритизация по типу CVE («spoofing — подождёт») в августе отправила эту уязвимость в плановый цикл. Полтора месяца спустя это эксплуатируемый RCE.
Вывод: тип и CVSS — это интерпретация вендора на момент публикации, а не свойство уязвимости. Факт эксплуатации (KEV) и EPSS пересчитываются, а метка — нет.
# На сервере SharePoint (SharePoint Management Shell)
(Get-SPFarm).BuildVersion
Get-SPProduct -Local | Select -ExpandProperty PatchableUnitDisplayNames
# Были ли обращения к ToolPane
Get-ChildItem 'C:\inetpub\logs\LogFiles\W3SVC*\*.log' |
Select-String -Pattern 'ToolPane\.aspx' |
Select -First 50 Path, LineNumber, Line
ЧТО ДЕЛАТЬ:
□ Сверить BuildVersion с августовским CU/SU для вашей редакции (MSRC → CVE-2026-65660)
□ Если август не установлен — ставить сейчас, это KEV
□ SharePoint 2013 — изолировать от пользователей или выводить из эксплуатации
□ Если в IIS-логах ToolPane.aspx встречается от необычных учёток или в нерабочее время — разбираться как с инцидентом
Итог: раз в месяц прогоняйте прошлые «низкие» CVE через KEV и EPSS заново. Метки вендора стареют быстрее, чем вы успеваете патчить.
#skills #sharepoint #cve #kev #patchmanagement #sysadmin #admin_future
Коллеги, хороший кейс к моему июльскому посту о приоритизации.
ФАКТЫ:
CVE-2026-65660, SharePoint Server 2016, 2019, Subscription Edition. CVSS 8.8.
Исправлено августовскими обновлениями безопасности (11 августа). Патч по умолчанию отключает уязвимую функцию.
В августе Microsoft классифицировал уязвимость как Spoofing. Позже классификацию сменили на RCE (code injection).
Механизм: компонент ToolPane восстанавливает директивы Register, не экранируя кавычки. Через них внедряются свои директивы, регистрируются произвольные .NET-классы, дальше — десериализация через XamlServices.Parse() и выполнение кода.
Нужна любая учётная запись с базовыми правами в SharePoint.
Эксплойт опубликован. 25 сентября Microsoft подтвердил атаки, в тот же день CVE попала в CISA KEV.
По данным исследователя, уязвима и SharePoint 2013, но она без поддержки с апреля 2023, и патча для неё не будет.
ПОЧЕМУ ЭТО ВАЖНО:
Приоритизация по типу CVE («spoofing — подождёт») в августе отправила эту уязвимость в плановый цикл. Полтора месяца спустя это эксплуатируемый RCE.
Вывод: тип и CVSS — это интерпретация вендора на момент публикации, а не свойство уязвимости. Факт эксплуатации (KEV) и EPSS пересчитываются, а метка — нет.
# На сервере SharePoint (SharePoint Management Shell)
(Get-SPFarm).BuildVersion
Get-SPProduct -Local | Select -ExpandProperty PatchableUnitDisplayNames
# Были ли обращения к ToolPane
Get-ChildItem 'C:\inetpub\logs\LogFiles\W3SVC*\*.log' |
Select-String -Pattern 'ToolPane\.aspx' |
Select -First 50 Path, LineNumber, Line
ЧТО ДЕЛАТЬ:
□ Сверить BuildVersion с августовским CU/SU для вашей редакции (MSRC → CVE-2026-65660)
□ Если август не установлен — ставить сейчас, это KEV
□ SharePoint 2013 — изолировать от пользователей или выводить из эксплуатации
□ Если в IIS-логах ToolPane.aspx встречается от необычных учёток или в нерабочее время — разбираться как с инцидентом
Итог: раз в месяц прогоняйте прошлые «низкие» CVE через KEV и EPSS заново. Метки вендора стареют быстрее, чем вы успеваете патчить.
#skills #sharepoint #cve #kev #patchmanagement #sysadmin #admin_future
🐳 Воскресный чек: Docker API на 2375 — теперь его ломает AI-агент из Telegram.
Коллеги, воскресенье — короткий пост, но проверку лучше сделать сегодня.
ФАКТЫ (отчёт ThreatDown, пересказ BleepingComputer):
Малварь Carbonato ищет Docker daemon с API без аутентификации на порту 2375.
Через API она запускает privileged-контейнер и получает доступ к хосту.
Дальше работает AI-агент на фреймворке Hermes (персона «GH0ST»). Команды он получает через Telegram, сам выполняет терминальные команды, читает вывод и решает, что делать дальше.
Крадёт облачные учётные данные, SSH-ключи, API-ключи (в том числе ключи AI-сервисов) и токены.
Закрепление: свой SSH-сервер с ключом оператора плюс cron, systemd timers, rc.local и OpenRC.
Активность прослеживается с октября 2024 по август 2026.
ИНТЕРПРЕТАЦИЯ (моя):
Уязвимости здесь нет. Вход — открытый API, который кто-то включил «на минутку». AI-агент не делает атаку умнее, он делает её дешевле: один оператор ведёт сотни хостов. Бьют не самую сильную защиту, а самую частую ошибку конфигурации.
ПРОВЕРКА:
# Слушает ли dockerd TCP
ss -ltnp | grep -E ':(2375|2376)\b'
grep -E '"hosts"|tcp://' /etc/docker/daemon.json 2>/dev/null
systemctl cat docker | grep -E -- '-H|--host'
# Privileged-контейнеры
docker ps -q | xargs -r docker inspect \
--format '{{.Name}} privileged={{.HostConfig.Privileged}} image={{.Config.Image}}'
# Следы закрепления
crontab -l; ls -la /etc/cron.d/
systemctl list-timers --all
cat /etc/rc.local 2>/dev/null
cat ~/.ssh/authorized_keys /root/.ssh/authorized_keys 2>/dev/null
ss -tnp | grep -i ssh
ЕСЛИ НУЖЕН УДАЛЁННЫЙ DOCKER:
• DOCKER_HOST=ssh://user@host — через SSH, без открытого порта
• или 2376 с TLS и проверкой клиентских сертификатов (tlsverify)
• 2375 без TLS — никогда, даже во «внутренней» сети
Если что-то нашлось: хост считаем скомпрометированным. Ротируем все ключи и токены, которые на нём были, — облачные, SSH, API. Сам хост пересобираем, а не чистим.
Итог: пять минут на ss -ltnp на каждом Docker-хосте. Сегодня эти пять минут дешевле любого инцидента.
#docker #linux #security #containers #sysadmin #admin_future
Коллеги, воскресенье — короткий пост, но проверку лучше сделать сегодня.
ФАКТЫ (отчёт ThreatDown, пересказ BleepingComputer):
Малварь Carbonato ищет Docker daemon с API без аутентификации на порту 2375.
Через API она запускает privileged-контейнер и получает доступ к хосту.
Дальше работает AI-агент на фреймворке Hermes (персона «GH0ST»). Команды он получает через Telegram, сам выполняет терминальные команды, читает вывод и решает, что делать дальше.
Крадёт облачные учётные данные, SSH-ключи, API-ключи (в том числе ключи AI-сервисов) и токены.
Закрепление: свой SSH-сервер с ключом оператора плюс cron, systemd timers, rc.local и OpenRC.
Активность прослеживается с октября 2024 по август 2026.
ИНТЕРПРЕТАЦИЯ (моя):
Уязвимости здесь нет. Вход — открытый API, который кто-то включил «на минутку». AI-агент не делает атаку умнее, он делает её дешевле: один оператор ведёт сотни хостов. Бьют не самую сильную защиту, а самую частую ошибку конфигурации.
ПРОВЕРКА:
# Слушает ли dockerd TCP
ss -ltnp | grep -E ':(2375|2376)\b'
grep -E '"hosts"|tcp://' /etc/docker/daemon.json 2>/dev/null
systemctl cat docker | grep -E -- '-H|--host'
# Privileged-контейнеры
docker ps -q | xargs -r docker inspect \
--format '{{.Name}} privileged={{.HostConfig.Privileged}} image={{.Config.Image}}'
# Следы закрепления
crontab -l; ls -la /etc/cron.d/
systemctl list-timers --all
cat /etc/rc.local 2>/dev/null
cat ~/.ssh/authorized_keys /root/.ssh/authorized_keys 2>/dev/null
ss -tnp | grep -i ssh
ЕСЛИ НУЖЕН УДАЛЁННЫЙ DOCKER:
• DOCKER_HOST=ssh://user@host — через SSH, без открытого порта
• или 2376 с TLS и проверкой клиентских сертификатов (tlsverify)
• 2375 без TLS — никогда, даже во «внутренней» сети
Если что-то нашлось: хост считаем скомпрометированным. Ротируем все ключи и токены, которые на нём были, — облачные, SSH, API. Сам хост пересобираем, а не чистим.
Итог: пять минут на ss -ltnp на каждом Docker-хосте. Сегодня эти пять минут дешевле любого инцидента.
#docker #linux #security #containers #sysadmin #admin_future
⚡️ [ root@admin-future ~ ]# new_post
Подсети и маски на пальцах: считаем /26 в уме, а не в калькуляторе
🔗 https://mfgit.ru/2026/09/27/%d0%bf%d0%be%d0%b4%d1%81%d0%b5%d1%82%d0%b8-%d0%b8-%d0%bc%d0%b0%d1%81%d0%ba%d0%b8-%d0%bd%d0%b0-%d0%bf%d0%b0%d0%bb%d1%8c%d1%86%d0%b0%d1%85-%d1%81%d1%87%d0%b8%d1%82%d0%b0%d0%b5%d0%bc-26-%d0%b2-%d1%83/
#linux
Подсети и маски на пальцах: считаем /26 в уме, а не в калькуляторе
🔗 https://mfgit.ru/2026/09/27/%d0%bf%d0%be%d0%b4%d1%81%d0%b5%d1%82%d0%b8-%d0%b8-%d0%bc%d0%b0%d1%81%d0%ba%d0%b8-%d0%bd%d0%b0-%d0%bf%d0%b0%d0%bb%d1%8c%d1%86%d0%b0%d1%85-%d1%81%d1%87%d0%b8%d1%82%d0%b0%d0%b5%d0%bc-26-%d0%b2-%d1%83/
#linux
Admin Future
Подсети и маски на пальцах: считаем /26 в уме, а не в калькуляторе - Admin Future
Правило файрвола, которое разрешило больше, чем нужно Нужно было открыть доступ к внутреннему сервису только для одного этажа офиса — […]
🔥 Alert: Roundcube CVE-2026-48842 — SQL-инъекция до логина. Патч вышел в мае, эксплуатация — в сентябре.
Коллеги, понедельник. Начинаем неделю с веб-почты, которая стоит почти у каждого второго хостинга и у многих организаций.
ФАКТЫ:
CVE-2026-48842, CVSS 8.1, pre-auth SQL injection
Причина: обход экранирования через backslash в preg_replace() в плагине virtuser_query
Запрос выполняется во время обработки логина, до проверки сессии. Учётная запись атакующему не нужна.
Уязвимы: 1.6.x < 1.6.16 и 1.7.x < 1.7.1
Исправлено: 24 мая 2026. Актуальные версии — 1.6.19 и 1.7.4 (6 сентября)
Эксплуатация в дикой природе: с 21 сентября (Canadian Centre for Cyber Security)
УСЛОВИЕ, КОТОРОЕ ВСЁ РЕШАЕТ:
Плагин virtuser_query должен быть ВКЛЮЧЁН в $config['plugins']. По умолчанию он выключен. Если плагин просто лежит в каталоге, это не опасно.
Кто пользуется virtuser_query: те, кто сопоставляет виртуальных пользователей с ящиками через SQL-запрос. Типичные связки — Postfix/Dovecot + MySQL и хостинговые панели.
ИНТЕРПРЕТАЦИЯ (моя):
Импакт — SQL-операции с правами БД-пользователя Roundcube. Это не автоматический RCE. Но если Roundcube ходит в ту же БД, что и почтовый сервер (таблицы users/aliases), атакующий добирается до хешей паролей и маршрутизации почты. Права этого БД-пользователя и определяют реальный ущерб.
bash
# Версия
grep -E "RCMAIL_VERSION" /var/www/roundcube/program/include/iniset.php 2>/dev/null \
|| grep -rE "RCMAIL_VERSION'?, ?'" /usr/share/roundcube/program/include/ 2>/dev/null
# Включён ли плагин (во всех конфигах, не только в основном)
grep -rn "virtuser_query" /etc/roundcube/ /var/www/roundcube/config/ 2>/dev/null
# Какие права у БД-пользователя Roundcube (MySQL)
mysql -e "SHOW GRANTS FOR 'roundcube'@'localhost';"
# Всплески неуспешных логинов
grep -c "Failed login" /var/log/roundcube/errors.log
ЧТО ДЕЛАТЬ:
□ Обновиться до 1.6.19 / 1.7.4 (перед этим бэкап БД и конфигов)
□ Если сейчас нельзя — убрать virtuser_query из $config['plugins'] и проверить логин
□ Урезать права БД-пользователя Roundcube до собственной схемы
□ Если плагин был включён — сохранить логи веб-сервера и БД с 21 сентября и проверить их
Итог: четыре месяца между патчем и атакой — обычное окно для веб-приложений «поставил и забыл». Roundcube обновляется не через Windows Update, и никто, кроме вас, не напомнит.
#alert #roundcube #mail #sqli #cve #sysadmin #admin_future
Коллеги, понедельник. Начинаем неделю с веб-почты, которая стоит почти у каждого второго хостинга и у многих организаций.
ФАКТЫ:
CVE-2026-48842, CVSS 8.1, pre-auth SQL injection
Причина: обход экранирования через backslash в preg_replace() в плагине virtuser_query
Запрос выполняется во время обработки логина, до проверки сессии. Учётная запись атакующему не нужна.
Уязвимы: 1.6.x < 1.6.16 и 1.7.x < 1.7.1
Исправлено: 24 мая 2026. Актуальные версии — 1.6.19 и 1.7.4 (6 сентября)
Эксплуатация в дикой природе: с 21 сентября (Canadian Centre for Cyber Security)
УСЛОВИЕ, КОТОРОЕ ВСЁ РЕШАЕТ:
Плагин virtuser_query должен быть ВКЛЮЧЁН в $config['plugins']. По умолчанию он выключен. Если плагин просто лежит в каталоге, это не опасно.
Кто пользуется virtuser_query: те, кто сопоставляет виртуальных пользователей с ящиками через SQL-запрос. Типичные связки — Postfix/Dovecot + MySQL и хостинговые панели.
ИНТЕРПРЕТАЦИЯ (моя):
Импакт — SQL-операции с правами БД-пользователя Roundcube. Это не автоматический RCE. Но если Roundcube ходит в ту же БД, что и почтовый сервер (таблицы users/aliases), атакующий добирается до хешей паролей и маршрутизации почты. Права этого БД-пользователя и определяют реальный ущерб.
bash
# Версия
grep -E "RCMAIL_VERSION" /var/www/roundcube/program/include/iniset.php 2>/dev/null \
|| grep -rE "RCMAIL_VERSION'?, ?'" /usr/share/roundcube/program/include/ 2>/dev/null
# Включён ли плагин (во всех конфигах, не только в основном)
grep -rn "virtuser_query" /etc/roundcube/ /var/www/roundcube/config/ 2>/dev/null
# Какие права у БД-пользователя Roundcube (MySQL)
mysql -e "SHOW GRANTS FOR 'roundcube'@'localhost';"
# Всплески неуспешных логинов
grep -c "Failed login" /var/log/roundcube/errors.log
ЧТО ДЕЛАТЬ:
□ Обновиться до 1.6.19 / 1.7.4 (перед этим бэкап БД и конфигов)
□ Если сейчас нельзя — убрать virtuser_query из $config['plugins'] и проверить логин
□ Урезать права БД-пользователя Roundcube до собственной схемы
□ Если плагин был включён — сохранить логи веб-сервера и БД с 21 сентября и проверить их
Итог: четыре месяца между патчем и атакой — обычное окно для веб-приложений «поставил и забыл». Roundcube обновляется не через Windows Update, и никто, кроме вас, не напомнит.
#alert #roundcube #mail #sqli #cve #sysadmin #admin_future
🧠 Skills: Zyxel GS1900 — 996 скомпрометированных коммутаторов. Коммутатор доступа — тоже сервер.
Коллеги, неуправляемые и «умные» коммутаторы — самый забытый класс устройств в инвентаризации. Их не обновляют годами, потому что «они просто работают».
ФАКТЫ:
CVE-2026-7273, CVSS 8.8, stack-based buffer overflow
Атакующий без аутентификации, находящийся в той же сети, отправляет специальный HTTP-запрос на веб-интерфейс и выполняет команды ОС.
Модели: GS1900-8, -8HP, -10HP, -16, -24, -24E, -24EP, -24HPv2, -48, -48HPv2
Уязвимы прошивки 2.90(xxxx.1)C0 и старше, исправлено в 2.90(xxxx.2)C0
Эксплуатация с 17 августа 2026: 996 коммутаторов в 48 странах
После взлома атакующие скачивают по TFTP скрипты-сборщики конфигураций и учётных данных
CISA KEV: с 21 сентября
ИНТЕРПРЕТАЦИЯ (моя):
996 устройств в 48 странах при «LAN-based» векторе означают одно из двух: либо веб-интерфейс торчит в интернет, либо атакующий уже был внутри и использовал коммутатор для закрепления. Оба варианта — про гигиену management plane, а не про Zyxel.
Скомпрометированный коммутатор — идеальная точка: он видит весь трафик сегмента, EDR на нём не стоит, в SIEM он почти никогда не логирует.
bash
# Найти GS1900 в management-подсети
nmap -p 80,443 --open --script http-title 10.0.0.0/24 | grep -B4 -i "GS1900"
# TFTP-трафик от коммутаторов (на шлюзе или зеркале порта)
tcpdump -ni any 'udp port 69'
# Проверка из внешнего сегмента: веб-интерфейс коммутаторов не должен отвечать
nmap -p 80,443 -Pn <IP_коммутатора>
MANAGEMENT PLANE — МИНИМУМ:
□ Управление коммутаторами — только из выделенного VLAN, ACL на самом коммутаторе
□ Веб-интерфейс выключен там, где хватает SSH/CLI
□ Исходящий трафик от коммутаторов запрещён, кроме NTP, syslog и сервера обновлений. TFTP наружу — однозначно нет
□ Syslog с коммутаторов → в SIEM
□ Коммутаторы — в реестре прошивок наравне с серверами
Итог: если в инвентаризации нет колонки «версия прошивки» для коммутаторов, значит там есть устройства, которые никто не обновлял с момента установки.
#skills #zyxel #network #switch #cve #kev #sysadmin #admin_future
Коллеги, неуправляемые и «умные» коммутаторы — самый забытый класс устройств в инвентаризации. Их не обновляют годами, потому что «они просто работают».
ФАКТЫ:
CVE-2026-7273, CVSS 8.8, stack-based buffer overflow
Атакующий без аутентификации, находящийся в той же сети, отправляет специальный HTTP-запрос на веб-интерфейс и выполняет команды ОС.
Модели: GS1900-8, -8HP, -10HP, -16, -24, -24E, -24EP, -24HPv2, -48, -48HPv2
Уязвимы прошивки 2.90(xxxx.1)C0 и старше, исправлено в 2.90(xxxx.2)C0
Эксплуатация с 17 августа 2026: 996 коммутаторов в 48 странах
После взлома атакующие скачивают по TFTP скрипты-сборщики конфигураций и учётных данных
CISA KEV: с 21 сентября
ИНТЕРПРЕТАЦИЯ (моя):
996 устройств в 48 странах при «LAN-based» векторе означают одно из двух: либо веб-интерфейс торчит в интернет, либо атакующий уже был внутри и использовал коммутатор для закрепления. Оба варианта — про гигиену management plane, а не про Zyxel.
Скомпрометированный коммутатор — идеальная точка: он видит весь трафик сегмента, EDR на нём не стоит, в SIEM он почти никогда не логирует.
bash
# Найти GS1900 в management-подсети
nmap -p 80,443 --open --script http-title 10.0.0.0/24 | grep -B4 -i "GS1900"
# TFTP-трафик от коммутаторов (на шлюзе или зеркале порта)
tcpdump -ni any 'udp port 69'
# Проверка из внешнего сегмента: веб-интерфейс коммутаторов не должен отвечать
nmap -p 80,443 -Pn <IP_коммутатора>
MANAGEMENT PLANE — МИНИМУМ:
□ Управление коммутаторами — только из выделенного VLAN, ACL на самом коммутаторе
□ Веб-интерфейс выключен там, где хватает SSH/CLI
□ Исходящий трафик от коммутаторов запрещён, кроме NTP, syslog и сервера обновлений. TFTP наружу — однозначно нет
□ Syslog с коммутаторов → в SIEM
□ Коммутаторы — в реестре прошивок наравне с серверами
Итог: если в инвентаризации нет колонки «версия прошивки» для коммутаторов, значит там есть устройства, которые никто не обновлял с момента установки.
#skills #zyxel #network #switch #cve #kev #sysadmin #admin_future