⚡️ [ root@admin-future ~ ]# new_post

Group Policy для начинающих: как управлять сотней компьютеров, не обходя их ногами

🔗 https://mfgit.ru/2026/09/27/group-policy-%d0%b4%d0%bb%d1%8f-%d0%bd%d0%b0%d1%87%d0%b8%d0%bd%d0%b0%d1%8e%d1%89%d0%b8%d1%85-%d0%ba%d0%b0%d0%ba-%d1%83%d0%bf%d1%80%d0%b0%d0%b2%d0%bb%d1%8f%d1%82%d1%8c-%d1%81%d0%be%d1%82%d0%bd%d0%b5/

#powershell #windows

🔥 Alert: MikroTik, часть 2 — в KEV новая CVE, а «исправленные» версии из прошлого поста уже недостаточны.

Коллеги, воскресенье, но к MikroTik придётся вернуться. За неделю картина заметно расширилась.

ЧТО НОВОГО:
CVE-2026-67279 — 25 сентября добавлена в CISA KEV.
SSH переходит в рабочий режим после запрошенного клиентом rekey, хотя аутентификации не было. Результат: без пароля можно создавать файлы и читать конфигурацию. В связке с CVE-2026-86060 это полный контроль над роутером.
CVE-2026-67278 — RouterOS принимает некорректные RSA-подписи в TLS и SSH. Сертификат можно подделать без закрытого ключа и выдать себя за роутер.
⚠️ Уязвимы 7.23.5 и 7.24.2 — именно те версии, которые я называл безопасными 25 сентября.
CVE-2026-67281 — WebFig, путь /jsproxy: чтение файлов без аутентификации, вплоть до учётных данных. Значит, проблема не только в SSH, но и в веб-интерфейсе.
CVE-2026-67277 — btest-сервер принимает соединения до аутентификации: утечка памяти ядра и DoS.

ВЕРСИИ (по CERT Polska):
v7 LT → 7.23.6+
v7 stable → 7.24.3+
v6 → 6.49.21+ (67278 касается только 7.x)

# Версия и что торчит наружу
/system/resource/print
/ip/service/print
/tool/bandwidth-server/print

# Закрываем лишнее
/ip/service/disable telnet,ftp,www,api
/ip/service/set ssh address=<доверенные_подсети>
/ip/service/set www-ssl address=<доверенные_подсети>
/tool/bandwidth-server/set enabled=no

# Обновление
/system/package/update/check-for-updates
/system/package/update/install

ИНТЕРПРЕТАЦИЯ (моя):
Шесть CVE за три недели в одних и тех же подсистемах (SSH, TLS, WebFig) — это не «баг, который закрыли», а аудит кода, который ещё идёт. Стоит ждать новых записей. Единственная мера, которая работает независимо от следующей CVE, — management-интерфейсы не видны из интернета вообще: только через WireGuard.

Итог: если обновлялись до 7.23.5 или 7.24.2 — обновляйтесь ещё раз. Если WebFig открыт наружу — проверяйте устройство на компрометацию так же, как в первой части.

#alert #mikrotik #routeros #cve #kev #sysadmin #admin_future

🧠 Skills: SharePoint CVE-2026-65660 — «spoofing», который оказался RCE. Почему метке CVE нельзя верить на слово.

Коллеги, хороший кейс к моему июльскому посту о приоритизации.

ФАКТЫ:
CVE-2026-65660, SharePoint Server 2016, 2019, Subscription Edition. CVSS 8.8.
Исправлено августовскими обновлениями безопасности (11 августа). Патч по умолчанию отключает уязвимую функцию.
В августе Microsoft классифицировал уязвимость как Spoofing. Позже классификацию сменили на RCE (code injection).
Механизм: компонент ToolPane восстанавливает директивы Register, не экранируя кавычки. Через них внедряются свои директивы, регистрируются произвольные .NET-классы, дальше — десериализация через XamlServices.Parse() и выполнение кода.
Нужна любая учётная запись с базовыми правами в SharePoint.
Эксплойт опубликован. 25 сентября Microsoft подтвердил атаки, в тот же день CVE попала в CISA KEV.
По данным исследователя, уязвима и SharePoint 2013, но она без поддержки с апреля 2023, и патча для неё не будет.

ПОЧЕМУ ЭТО ВАЖНО:
Приоритизация по типу CVE («spoofing — подождёт») в августе отправила эту уязвимость в плановый цикл. Полтора месяца спустя это эксплуатируемый RCE.
Вывод: тип и CVSS — это интерпретация вендора на момент публикации, а не свойство уязвимости. Факт эксплуатации (KEV) и EPSS пересчитываются, а метка — нет.

# На сервере SharePoint (SharePoint Management Shell)
(Get-SPFarm).BuildVersion
Get-SPProduct -Local | Select -ExpandProperty PatchableUnitDisplayNames

# Были ли обращения к ToolPane
Get-ChildItem 'C:\inetpub\logs\LogFiles\W3SVC*\*.log' |
Select-String -Pattern 'ToolPane\.aspx' |
Select -First 50 Path, LineNumber, Line

ЧТО ДЕЛАТЬ:
□ Сверить BuildVersion с августовским CU/SU для вашей редакции (MSRC → CVE-2026-65660)
□ Если август не установлен — ставить сейчас, это KEV
□ SharePoint 2013 — изолировать от пользователей или выводить из эксплуатации
□ Если в IIS-логах ToolPane.aspx встречается от необычных учёток или в нерабочее время — разбираться как с инцидентом

Итог: раз в месяц прогоняйте прошлые «низкие» CVE через KEV и EPSS заново. Метки вендора стареют быстрее, чем вы успеваете патчить.

#skills #sharepoint #cve #kev #patchmanagement #sysadmin #admin_future

🐳 Воскресный чек: Docker API на 2375 — теперь его ломает AI-агент из Telegram.

Коллеги, воскресенье — короткий пост, но проверку лучше сделать сегодня.

ФАКТЫ (отчёт ThreatDown, пересказ BleepingComputer):
Малварь Carbonato ищет Docker daemon с API без аутентификации на порту 2375.
Через API она запускает privileged-контейнер и получает доступ к хосту.
Дальше работает AI-агент на фреймворке Hermes (персона «GH0ST»). Команды он получает через Telegram, сам выполняет терминальные команды, читает вывод и решает, что делать дальше.
Крадёт облачные учётные данные, SSH-ключи, API-ключи (в том числе ключи AI-сервисов) и токены.
Закрепление: свой SSH-сервер с ключом оператора плюс cron, systemd timers, rc.local и OpenRC.
Активность прослеживается с октября 2024 по август 2026.

ИНТЕРПРЕТАЦИЯ (моя):
Уязвимости здесь нет. Вход — открытый API, который кто-то включил «на минутку». AI-агент не делает атаку умнее, он делает её дешевле: один оператор ведёт сотни хостов. Бьют не самую сильную защиту, а самую частую ошибку конфигурации.

ПРОВЕРКА:

# Слушает ли dockerd TCP
ss -ltnp | grep -E ':(2375|2376)\b'
grep -E '"hosts"|tcp://' /etc/docker/daemon.json 2>/dev/null
systemctl cat docker | grep -E -- '-H|--host'

# Privileged-контейнеры
docker ps -q | xargs -r docker inspect \
--format '{{.Name}} privileged={{.HostConfig.Privileged}} image={{.Config.Image}}'

# Следы закрепления
crontab -l; ls -la /etc/cron.d/
systemctl list-timers --all
cat /etc/rc.local 2>/dev/null
cat ~/.ssh/authorized_keys /root/.ssh/authorized_keys 2>/dev/null
ss -tnp | grep -i ssh

ЕСЛИ НУЖЕН УДАЛЁННЫЙ DOCKER:
• DOCKER_HOST=ssh://user@host — через SSH, без открытого порта
• или 2376 с TLS и проверкой клиентских сертификатов (tlsverify)
• 2375 без TLS — никогда, даже во «внутренней» сети

Если что-то нашлось: хост считаем скомпрометированным. Ротируем все ключи и токены, которые на нём были, — облачные, SSH, API. Сам хост пересобираем, а не чистим.

Итог: пять минут на ss -ltnp на каждом Docker-хосте. Сегодня эти пять минут дешевле любого инцидента.

#docker #linux #security #containers #sysadmin #admin_future

⚡️ [ root@admin-future ~ ]# new_post

Подсети и маски на пальцах: считаем /26 в уме, а не в калькуляторе

🔗 https://mfgit.ru/2026/09/27/%d0%bf%d0%be%d0%b4%d1%81%d0%b5%d1%82%d0%b8-%d0%b8-%d0%bc%d0%b0%d1%81%d0%ba%d0%b8-%d0%bd%d0%b0-%d0%bf%d0%b0%d0%bb%d1%8c%d1%86%d0%b0%d1%85-%d1%81%d1%87%d0%b8%d1%82%d0%b0%d0%b5%d0%bc-26-%d0%b2-%d1%83/

#linux

🔥 Alert: Roundcube CVE-2026-48842 — SQL-инъекция до логина. Патч вышел в мае, эксплуатация — в сентябре.

Коллеги, понедельник. Начинаем неделю с веб-почты, которая стоит почти у каждого второго хостинга и у многих организаций.

ФАКТЫ:
CVE-2026-48842, CVSS 8.1, pre-auth SQL injection
Причина: обход экранирования через backslash в preg_replace() в плагине virtuser_query
Запрос выполняется во время обработки логина, до проверки сессии. Учётная запись атакующему не нужна.
Уязвимы: 1.6.x < 1.6.16 и 1.7.x < 1.7.1
Исправлено: 24 мая 2026. Актуальные версии — 1.6.19 и 1.7.4 (6 сентября)
Эксплуатация в дикой природе: с 21 сентября (Canadian Centre for Cyber Security)

УСЛОВИЕ, КОТОРОЕ ВСЁ РЕШАЕТ:
Плагин virtuser_query должен быть ВКЛЮЧЁН в $config['plugins']. По умолчанию он выключен. Если плагин просто лежит в каталоге, это не опасно.
Кто пользуется virtuser_query: те, кто сопоставляет виртуальных пользователей с ящиками через SQL-запрос. Типичные связки — Postfix/Dovecot + MySQL и хостинговые панели.

ИНТЕРПРЕТАЦИЯ (моя):
Импакт — SQL-операции с правами БД-пользователя Roundcube. Это не автоматический RCE. Но если Roundcube ходит в ту же БД, что и почтовый сервер (таблицы users/aliases), атакующий добирается до хешей паролей и маршрутизации почты. Права этого БД-пользователя и определяют реальный ущерб.

bash
# Версия
grep -E "RCMAIL_VERSION" /var/www/roundcube/program/include/iniset.php 2>/dev/null \
|| grep -rE "RCMAIL_VERSION'?, ?'" /usr/share/roundcube/program/include/ 2>/dev/null

# Включён ли плагин (во всех конфигах, не только в основном)
grep -rn "virtuser_query" /etc/roundcube/ /var/www/roundcube/config/ 2>/dev/null

# Какие права у БД-пользователя Roundcube (MySQL)
mysql -e "SHOW GRANTS FOR 'roundcube'@'localhost';"

# Всплески неуспешных логинов
grep -c "Failed login" /var/log/roundcube/errors.log

ЧТО ДЕЛАТЬ:
□ Обновиться до 1.6.19 / 1.7.4 (перед этим бэкап БД и конфигов)
□ Если сейчас нельзя — убрать virtuser_query из $config['plugins'] и проверить логин
□ Урезать права БД-пользователя Roundcube до собственной схемы
□ Если плагин был включён — сохранить логи веб-сервера и БД с 21 сентября и проверить их

Итог: четыре месяца между патчем и атакой — обычное окно для веб-приложений «поставил и забыл». Roundcube обновляется не через Windows Update, и никто, кроме вас, не напомнит.

#alert #roundcube #mail #sqli #cve #sysadmin #admin_future

🧠 Skills: Zyxel GS1900 — 996 скомпрометированных коммутаторов. Коммутатор доступа — тоже сервер.

Коллеги, неуправляемые и «умные» коммутаторы — самый забытый класс устройств в инвентаризации. Их не обновляют годами, потому что «они просто работают».

ФАКТЫ:
CVE-2026-7273, CVSS 8.8, stack-based buffer overflow
Атакующий без аутентификации, находящийся в той же сети, отправляет специальный HTTP-запрос на веб-интерфейс и выполняет команды ОС.
Модели: GS1900-8, -8HP, -10HP, -16, -24, -24E, -24EP, -24HPv2, -48, -48HPv2
Уязвимы прошивки 2.90(xxxx.1)C0 и старше, исправлено в 2.90(xxxx.2)C0
Эксплуатация с 17 августа 2026: 996 коммутаторов в 48 странах
После взлома атакующие скачивают по TFTP скрипты-сборщики конфигураций и учётных данных
CISA KEV: с 21 сентября

ИНТЕРПРЕТАЦИЯ (моя):
996 устройств в 48 странах при «LAN-based» векторе означают одно из двух: либо веб-интерфейс торчит в интернет, либо атакующий уже был внутри и использовал коммутатор для закрепления. Оба варианта — про гигиену management plane, а не про Zyxel.
Скомпрометированный коммутатор — идеальная точка: он видит весь трафик сегмента, EDR на нём не стоит, в SIEM он почти никогда не логирует.

bash
# Найти GS1900 в management-подсети
nmap -p 80,443 --open --script http-title 10.0.0.0/24 | grep -B4 -i "GS1900"

# TFTP-трафик от коммутаторов (на шлюзе или зеркале порта)
tcpdump -ni any 'udp port 69'

# Проверка из внешнего сегмента: веб-интерфейс коммутаторов не должен отвечать
nmap -p 80,443 -Pn <IP_коммутатора>

MANAGEMENT PLANE — МИНИМУМ:
□ Управление коммутаторами — только из выделенного VLAN, ACL на самом коммутаторе
□ Веб-интерфейс выключен там, где хватает SSH/CLI
□ Исходящий трафик от коммутаторов запрещён, кроме NTP, syslog и сервера обновлений. TFTP наружу — однозначно нет
□ Syslog с коммутаторов → в SIEM
□ Коммутаторы — в реестре прошивок наравне с серверами

Итог: если в инвентаризации нет колонки «версия прошивки» для коммутаторов, значит там есть устройства, которые никто не обновлял с момента установки.

#skills #zyxel #network #switch #cve #kev #sysadmin #admin_future

📅 Планирование: Microsoft объявил о deprecation WDS. PXE-деплой на Windows нужно пересобирать.

Коллеги, понедельник — хороший день для новости, которая не горит, но влияет на планы на год.

ФАКТЫ (Microsoft Support, сентябрь 2026):
Начиная со следующего релиза Windows Server объявляется deprecated вся роль WDS:
• Deployment Server и Transport Server
• PXE-загрузка, предоставляемая WDS
• консоль, CLI (wdsutil) и API
• multicast-развёртывание
• WinPE-WDS-Tools
В Windows Server 2025 и более ранних версиях WDS продолжает работать в рамках их жизненного цикла.
Сроки удаления пока не объявлены.

Предыстория:
2021 — boot.wim-сценарии в режиме WDS объявлены deprecated для Windows 11+
Апрель 2026 — hands-free deployment отключён по умолчанию

АЛЬТЕРНАТИВЫ ПО MICROSOFT:
• Configuration Manager с собственным PXE responder
• сторонние PXE-решения
• HTTP(S) Boot, если прошивка устройств его поддерживает

ИНТЕРПРЕТАЦИЯ (моя):
Deprecated ≠ удалено. Паники нет: WDS на Server 2025 будет жить весь его lifecycle. Но это третий шаг за пять лет в одном направлении. Новые проекты на WDS строить уже не стоит.
ConfigMgr для небольшой инфраструктуры избыточен. Для малых площадок реальнее iPXE + HTTP-сервер с WinPE или UEFI HTTP Boot, где его поддерживает железо.

ИНВЕНТАРИЗАЦИЯ:

powershell
# Где установлена роль WDS
Get-ADComputer -Filter 'OperatingSystem -like "*Server*"' |
ForEach-Object {
try {
$f = Get-WindowsFeature WDS -ComputerName $_.Name -ErrorAction Stop
if ($f.Installed) { $_.Name }
} catch {}
}

# PXE через DHCP-опции (66/67) на Windows DHCP
Get-DhcpServerv4Scope | ForEach-Object {
Get-DhcpServerv4OptionValue -ScopeId $_.ScopeId -OptionId 66,67 -ErrorAction SilentlyContinue |
Select @{n='Scope';e={$_.ScopeId}}, OptionId, Value
}

ПЛАН:
□ Список серверов WDS и их задач: деплой ОС, multicast, загрузка тонких клиентов
□ Проверить, поддерживает ли парк UEFI HTTP Boot
□ Выбрать целевую схему до следующего обновления серверов развёртывания
□ Не переносить WDS на новые серверы «как есть» — сразу строить замену

Итог: срок не горит, но решение нужно принять до того, как вы начнёте обновлять серверы развёртывания. Иначе переделывать придётся дважды.

#planning #wds #pxe #windowsserver #deployment #sysadmin #admin_future

⚡️ [ root@admin-future ~ ]# new_post

Docker для сисадмина: от первого контейнера до продакшена

🔗 https://mfgit.ru/2026/09/28/docker-dlya-sysadmina/

#adminfuture #linux

⚡️ [ root@admin-future ~ ]# new_post

Rootless Docker и безопасность контейнеров

🔗 https://mfgit.ru/2026/09/28/rootless-docker-bezopasnost-konteinerov/

#adminfuture #linux #информационнаябезопасность

🔥 Alert: периметр под атакой — NetScaler и Check Point. Эксплуатация шла неделями до патча

Коллеги, если у вас на внешке висят Citrix или Check Point — бросайте рутину и проверяйте периметр прямо сейчас. В активной эксплуатации сразу несколько критических уязвимостей.

🔴 CITRIX NETSCALER ADC / GATEWAY
CVE-2026-88771 — Pre-auth RCE в конфигурации по умолчанию.

CVE-2026-88772 — переполнение буфера → RCE или DoS. Эксплуатируется через DTLS (включён по дефолту на VPN vServers).

Обе уязвимости крутятся «в дикой природе» независимо друг от друга уже недели. Патчи вышли только 28 сентября.

Почерк атаки: под каждое устройство заливается уникальный веб-шелл, следы вычищаются. Работают профи с серьезными ресурсами (вероятно, целевой шпионаж).

Исправлено в версиях: 14.1-73.37, 13.1-64.23, FIPS 14.1-73.37, NDcPP 13.1-37.279.

Добавлено в CISA KEV (дедлайн на закрытие — 30 сентября).

🔴 CHECK POINT
CVE-2026-85102 — Pre-auth RCE в обработке VPN-сертификатов. Затронуты Security Gateway R81.10–R82.10 и Quantum Spark. Активная эксплуатация фиксируется минимум с 12 сентября.

IoC по сертификатам: ищите связки CN=vpn,OU=users,O=global, а также вариации с vpn-user / vpnuser.

CVE-2026-93616 — Pre-auth path traversal в веб-сервисе Management Server с последующим выполнением скриптов. Живой zero-day аж с 23 июля.

Исправления для 85102: Jumbo HF R81.20 Take 166, R82 Take 126, R82.10 Take 44, R81.10 Take 190; LivePatch Take 26; Spark R82.00.10 Build 2325 / R81.10.17 Build 4968.

🛠 Как быстро проверить свои версии
Bash

# NetScaler — смотрим билд
show ns version

# Check Point — версия и накатанные хотфиксы
fw ver
cpinfo -y all

🛡 ПЛАН ДЕЙСТВИЙ (строго в таком порядке!)
Сначала дампы, потом патчи. На NetScaler до перезагрузки и обновления снимите дамп памяти и выгрузите логи минимум за последний месяц. После апдейта артефакты затрет, расследовать инцидент будет не по чему.

Грепаем логи NetScaler на следы: ищите base64-пейлоады сразу после User-Agent, а также паттерны pitboss + IFS и pitboss*b64decode.

Изолируем Check Point Management: веб-морда управления должна быть доступна исключительно из изолированной mgmt-сети. Пока нет хотфикса под 93616 — это единственный рабочий барьер.

Если Check Point нельзя пропатчить на лету: вырубайте implied rules для VPN; для Site-to-Site жестко режьте входящие IP пиров на UDP/500 и UDP/4500.

Пост-обработка: после установки патчей на обоих вендорах принудительно дропайте все активные сессии и инициируйте смену паролей для всех учетных записей, авторизовавшихся через эти шлюзы.

Важно понимать: апдейт после пары месяцев эксплуатации 0-day шлюза не делает его автоматически «чистым». Если уязвимый инстанс торчал в интернет всё это окно — считаем его скомпрометированным по умолчанию, пока форензика не докажет обратное.

Периметр, стоявший открытым неделями, сначала расследуют, а уже потом обновляют. Не наступайте на грабли.

#alert #security #citrix #netscaler #checkpoint #vpn #cve #kev #sysadmin #admin_future

⚡️ [ root@admin-future ~ ]# new_post

Kubernetes: когда он реально нужен, а когда это Compose с понтами

🔗 https://mfgit.ru/2026/09/29/kubernetes-kogda-nuzhen-a-kogda-eto-ponty/

#adminfuture #linux

🧠 Skills: Aurora шифрует ESXi. AI на разведке, но цель сдаёт обычный LDAP-запрос

Коллеги, разбор свежей тактики вымогателей, который напрямую касается каждого, кто держит виртуализацию — будь то VMware ESXi, vCenter или Proxmox.

📌 ФАКТЫ (по свежему отчёту Gambit Security)
Кампания Aurora Ransomware: две волны атак в 2026 году на бизнес в Европе, США и Израиле.

AI в роли Co-pilot злоумышленника: оператор использовал Cursor Agent (на базе Claude Sonnet) для автоматизации рутины — генерации конфигов proxychains/VPN, парсинга выдачи Nmap и NetExec, разведки Active Directory, NTLM relay и атак на AD CS.

Операционная дисциплина: атакующий осознанно выставил агенту жесткие рамки — никаких DCSync, без локаута аккаунтов, без регистрации новых машин в домене. Задача — нулевой шум в SIEM.

Как находили виртуализацию: самописный модуль NetExec (esxi_finder.py) вытягивал список хостов через стандартные LDAP-запросы, опрашивал порты 443 и 902, а затем по TLS-сертификату однозначно детектировал гипервизоры и vCenter.

Удар: Linux-бинарник шифровальщика с флагом -esxi тушит виртуальные машины через штатный esxcli и зашифровывает диски (ChaCha20 + RSA-4096).

💡 В ЧЁМ СУТЬ

ИИ здесь не взламывает квантовым алгоритмом — он просто снимает рутину и ускоряет рекогносцировку. Архитектурная дыра ровно та же, что и 5 лет назад: гипервизоры видны из пользовательского сегмента или привязаны к общему AD. Если порт виден наружу, его найдут и без нейросетей.

🛠 АУДИТ БЕЗОПАСНОСТИ
1. Проверяем хост ESXi (по SSH):

Bash

# Проверить, активен ли Lockdown Mode
vim-cmd -U dcui vimsvc/auth/lockdown_is_enabled

# Ограничение белых списков IP для SSH и веб-морды
esxcli network firewall ruleset allowedip list --ruleset-id sshServer
esxcli network firewall ruleset allowedip list --ruleset-id webAccess

# Блокировка запуска неподписанных бинарников (дропает чужой шифровальщик)
esxcli system settings encryption get

# Ревизия локальных учетных записей
esxcli system account list

2. Сканируем из пользовательского сегмента (быстрый smoke-тест):

Bash

nmap -Pn -p 443,902,8006 <подсеть_гипервизоров>
# Порты должны быть отфильтрованы в глухую! (8006 — для Proxmox VE)

🛡 БАЗОВЫЙ ЧЕКЛИСТ ЗАЩИТЫ ГИПЕРВИЗОРОВ
Изолированный Out-of-Band / Management VLAN: интерфейсы управления ESXi, vCenter и Proxmox VE не должны маршрутизироваться в клиентские подсети. Доступ — строго через выделенный Jump-хост с MFA.

Никакого прямого членства в Active Directory: гипервизорам не место в корпоративном домене. Если ESXi все еще там — срочно проверяйте группу ESX Admins и закрывайте дыру CVE-2024-37085.

Харденинг хостов: флаг execInstalledOnly включен, SSH заглушен на уровне службы и поднимается только под регламентные работы.

Неизменяемые (Immutable) бэкапы: резервные копии должны лежать в изолированном пуле (WORM/S3 Object Lock/air-gapped), к которому нет и не может быть доступа с доменными учетками.

Гипервизор — самая дорогая и желанная точка отказа в инфраструктуре. Одна команда — и ложится всё предприятие разом. Проектируйте доступ к нему так, словно злоумышленник уже захватил доменную рабочую станцию.

#skills #esxi #vmware #proxmox #ransomware #virtualization #sysadmin #admin_future

🌐 WordPress CVE-2026-87902 — 10-летняя дыра в ядре. В активной эксплуатации с первых часов

Коллеги, если у вас на балансе или поддержке есть хоть один сайт на WordPress (корпоративный портал, лендинг визитка или старый блог) — бросайте текущие таски и проверяйте версии прямо сейчас.

📌 ФАКТЫ
Уязвимость: CVE-2026-87902 (CVSS 4.0: 9.2, CWE-98).

Масштаб катастрофы: уязвимы все версии с WordPress 4.7.0 по 7.1.1 — это почти 10 лет релизов.

Где поправлено: релиз 7.1.2 + выпущены бэкпорты во все поддерживаемые ветки вплоть до 4.7.

В чём суть бага: функция get_page_template() в wp-includes/template.php парсила имя шаблона напрямую из параметра pagename без вызова validate_file(). Итог — неаутентифицированный Local File Inclusion (LFI).

Автообновления раскатывали фикс с 22 сентября, но дыра уже внесена в CISA KEV. Сканирование и эксплуатация начались практически сразу после публикации адвайзори.

⚠️ КОГДА LFI ПРЕВРАЩАЕТСЯ В ПОЛНЫЙ RCE
Для удаленного выполнения кода злоумышленнику требуется совпадение трех факторов:

Каталог в теме: внутри активной темы есть директория верхнего уровня с префиксом page- (типичная история для дефолтных тем WordPress и популярных кастомных шаблонов).

Файл-трамплин: на сервере присутствует пригодный для инклуда PHP-скрипт (классический вектор — pearcmd.php из состава PEAR).

Окружение PHP: включена директива register_argc_argv = On. Она по умолчанию активна в официальных Docker-образах PHP, а также на хостингах с cPanel на версиях PHP ниже 8.5.

🛠 БЫСТРЫЙ ЧЕК ЧЕРЕЗ КОНСОЛЬ
Bash

# 1. Проверяем текущую версию WordPress
grep "wp_version =" /var/www/*/wp-includes/version.php
# или через WP-CLI:
wp core version --path=/var/www/site

# 2. Проверяем фактор риска №1 (каталоги page-* в активной теме)
ls -d /var/www/site/wp-content/themes/*/page-*/ 2>/dev/null

# 3. Ищем pearcmd.php на хосте
find / -name pearcmd.php 2>/dev/null

# 4. Проверяем флаг register_argc_argv
php -i | grep "register_argc_argv"

# 5. Грепаем логи веб-сервера на попытки пробить path traversal
grep -E "pagename=.*(\.\./|%2e%2e)" /var/log/nginx/access.log* /var/log/apache2/access.log* 2>/dev/null

🛡 ЧТО ДЕЛАТЬ (ЧЕКЛИСТ)
Обновиться: накатить 7.1.2 (или минорный секьюрити-патч для вашей ветки):

Bash

wp core update --path=/var/www/site

Проверить автообновления: убедитесь, что в wp-config.php не захардкожены флаги AUTOMATIC_UPDATER_DISABLED = true или WP_AUTO_UPDATE_CORE = false.

Харденинг (если немедленный патч невозможен): принудительно выставить register_argc_argv = Off в php.ini и полностью снести пакет PEAR, если он не задействован в проекте.

Форензика при совпадении условий: если все три фактора RCE сошлись, а сайт не был обновлен до 22 сентября — ищите новосозданные .php файлы и веб-шеллы в директории wp-content/uploads/.

Уверенность в том, что «сайт на WP сам обновляется в фоне» — опасная иллюзия, пока вы лично не убедились в версии через CLI. Делов на одну строчку в терминале.

#wordpress #security #web #cve #kev #lfi #rce #php #sysadmin #admin_future

⚡️ [ root@admin-future ~ ]# new_post

WireGuard vs OpenVPN vs IPsec: практический выбор VPN для сисадмина

🔗 https://mfgit.ru/2026/09/29/wireguard-vs-openvpn-vs-ipsec/

#adminfuture #linux #информационнаябезопасность

⚡️ [ root@admin-future ~ ]# new_post

Zero Trust на практике, а не в маркетинге

🔗 https://mfgit.ru/2026/09/29/zero-trust-na-praktike-a-ne-v-marketinge/

#adminfuture #linux #информационнаябезопасность

⚡️ [ root@admin-future ~ ]# new_post

Ansible для тех, кто устал руками настраивать сервера

🔗 https://mfgit.ru/2026/09/29/ansible-dlya-teh-kto-ustal-nastraivat-servera-rukami/

#adminfuture #linux

⚡️ [ root@admin-future ~ ]# new_post

SPF/DKIM/DMARC разобрано по-настоящему

🔗 https://mfgit.ru/2026/09/29/spf-dkim-dmarc-razobrano-po-nastoyashchemu/

#adminfuture #linux #информационнаябезопасность

⚡️ [ root@admin-future ~ ]# new_post

Prometheus + Grafana vs Zabbix — реальная разница, а не маркетинг

🔗 https://mfgit.ru/2026/09/29/prometheus-grafana-vs-zabbix/

#adminfuture #linux

⚡️ [ root@admin-future ~ ]# new_post

Сертификаты и PKI: автоматизация Let’s Encrypt, свой CA и авария, которую никто не видит заранее

🔗 https://mfgit.ru/2026/09/29/sertifikaty-i-pki-letsencrypt-svoy-ca/

#adminfuture #linux #информационнаябезопасность

⚡️ [ root@admin-future ~ ]# new_post

Passkeys/FIDO2 для своей инфраструктуры, а не только для потребительских приложений

🔗 https://mfgit.ru/2026/09/29/passkeys-fido2-dlya-infrastruktury/

#adminfuture #linux #windows #информационнаябезопасность