🛠 Октябрьское обновление Windows 11: что починили и что может сломаться. RDP-ошибка 0xC000000D

Коллеги, детальный разбор накопительного пакета KB5127648 — фокус не на индексах CVE, а на реальном поведении ОС в боевой инфраструктуре.

⚠️ ГЛАВНАЯ ПРОБЛЕМА: ОТВАЛ RDP (ОШИБКА 0xC000000D)
Симптомы: пользователи без локальных прав администратора внезапно теряют возможность подключиться по RDP к рабочим станциям и серверам управления. Клиент выдаёт ошибку 0xC000000D («The token that was passed to the function is invalid» / «Указан недопустимый маркер»).

Причина и триггер: механизм Administrator Protection (новая изолированная модель маркерной защиты LSA). С выходом этого обновления она активируется автоматически при применении свежих редакций Microsoft Security Baselines.

Статус исправления: вендор признал регрессию и готовит хотфикс.

Временный воркэраунд: не отключать политики целиком по домену, а точечно переопределить параметр UAC «User Account Control: Run all administrators in Admin Approval Mode» через GPO для хостов, где необходим доступ непривилегированных RDP-пользователей.

✅ ЧТО ПОЧИНИЛИ (РЕАЛЬНО ПОЛЕЗНЫЕ ФИКСЫ)
Storage Spaces Direct (S2D): решена критическая проблема, когда многоуровневые (tiered) виртуальные диски оставались в статусе Offline / Detached после планового ребута нод кластера.

Always On VPN: устранён баг с мертвым зависанием тоннеля в статусе «Connecting / Подключение» при динамическом согласовании протоколов (IKEv2 / SSTP).

Спулер печати: устранены сбои при печати через устаревшие драйверы RAW и Generic / Text Only (последствия августовского ужесточения RPC-хэндлов).

AVD и виртуальные рабочие столы с FSLogix: пофикшены чёрный экран (Black Screen of Death) и циклические падения процесса explorer.exe при монтировании профиля пользователя.

Биометрия Windows Hello: устранён отказ инициализации сканеров отпечатков пальцев после холодного старта (Fast Startup).

🛠 ПРОВЕРКА ЦЕЛЕВЫХ СБОРОК В ТЕРМИНАЛЕ
Патч переводит системы на следующие целевые ревизии:

24H2 → 26100.9711

25H2 → 26200.9711

PowerShell

# Экспресс-проверка версии и ревизии ядра (UBR)
$ver = Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion'
[PSCustomObject]@{
    OSName         = $ver.ProductName
    DisplayVersion = $ver.DisplayVersion
    FullBuild      = "$($ver.CurrentBuild).$($ver.UBR)"
} | Format-Table -AutoSize

💡 В ЧЁМ СУТЬ ДЛЯ СИСАДМИНА

Если в контуре эксплуатируются кластеры S2D с многоуровневым хранилищем или развернут Always On VPN — этот релиз стоит накатывать в приоритетном порядке: он закрывает реальные эксплуатационные сбои, а не просто латает уязвимости.

Однако, если в домене внедрены стандартные профили Microsoft Security Baselines, заранее проинструктируйте первую линию техподдержки: при жалобах на ошибку

0xC000000D

в RDP проблема кроется именно в токене Administrator Protection, а не в сети или правах доступа в группу Remote Desktop Users.

#windows #windows11 #rdp #s2d #vpn #patchmanagement #sysadmin #admin_future

📦 Office 2021 больше не получает обновлений безопасности. Найдите его в парке до следующего Patch Tuesday

Коллеги, ещё одна критическая дата жизненного цикла ПО Microsoft, прошедшая 13 октября практически незаметно на фоне рекордного количества CVE.

📌 ФАКТЫ
Завершение жизненного цикла: для Office LTSC 2021 (включая классические пакеты Word, Excel, PowerPoint, Outlook, Access, Project и Visio) официальная поддержка окончательно прекращена 13 октября 2026 года.

Текущий статус: приложения продолжают запускаться и работать штатно, но никаких патчей безопасности и хотфиксов вендор больше выпускать не будет.

Предшественники: поддержка Office 2016 и Office 2019 завершилась ещё в октябре 2025 года — обе эти ветки уже год находятся в «серой зоне».

Реальный масштаб риска: только в октябрьском выпуске обновлений Microsoft закрыла 173 уязвимости в компонентах Office, из которых 26 получили статус Critical (один только Excel собрал 69 уязвимостей, включая 11 критических RCE). Все новые дыры ноября останутся в Office 2021 навсегда.

Что остаётся на официальной поддержке:

Microsoft 365 Apps (корпоративная подписочная модель с регулярными апдейтами каналов);

Office LTSC 2024 (текущая бессрочная корпоративная редакция с фиксированным циклом поддержки).

🛠 ИНВЕНТАРИЗАЦИЯ УСТАНОВЛЕННЫХ РЕДАКЦИЙ В ДОМЕНЕ
Быстрый аудит машин на выявление неподдерживаемых сборок:

1. Для современных установок Click-to-Run (C2R)
PowerShell

# Определяем точный продуктовый идентификатор установленного пакета:
$prodId = (Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Office\ClickToRun\Configuration' -ErrorAction SilentlyContinue).ProductReleaseIds

# Расшифровка ключевых идентификаторов:
# ProPlus2021Volume / Standard2021Volume -> Office 2021 (ПОДДЕРЖКА ЗАВЕРШЕНА)
# ProPlus2019Volume / Standard2019Volume -> Office 2019 (ПОДДЕРЖКА ЗАВЕРШЕНА)
# O365ProPlusRetail                      -> Microsoft 365 Apps (ПОДДЕРЖИВАЕТСЯ)
# ProPlus2024Volume / Standard2024Volume -> Office 2024 (ПОДДЕРЖИВАЕТСЯ)

2. Для устаревших MSI-установок (Office 2016 и старше)
PowerShell

# Проверка классической ветки реестра Uninstall (32-бит и 64-бит):
Get-ItemProperty `
  'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\*', `
  'HKLM:\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Uninstall\*' -ErrorAction SilentlyContinue |
  Where-Object { $_.DisplayName -match 'Microsoft Office (Professional|Standard|Home|LTSC)' } |
  Select-Object DisplayName, DisplayVersion, InstallDate |
  Format-Table -AutoSize

💡 В ЧЁМ СУТЬ ДЛЯ СИСАДМИНА

Офисный пакет без регулярных секьюрити-обновлений — главная входная дверь для шифровальщиков и стилеров: входящие таблицы Excel, сметы и коммерческие предложения в Word открываются рядовыми сотрудниками ежедневно и на автомате.

Где искать в первую очередь:

Бухгалтерия, финансовый отдел и отдел кадров — рабочие места с максимальным входящим трафиком внешних документов от контрагентов.

Филиальные ПК и удалённые склады — где исторически «один раз поставили с дистрибутива и забыли».

Если бюджетный апгрейд всего парка на Office LTSC 2024 или облачный Microsoft 365 не согласован:

Рассмотрите гибридную схему: массовый перевод типовых рабочих мест на отечественные/open-source офисные пакеты (Р7-Офис, МойОфис, LibreOffice);

Для единичных пользователей с критической зависимостью от сложных VBA-макросов выделите изолированный терминальный сервер с актуальным поддерживаемым Office, отрезав прямой доступ из интернета.

#office #lifecycle #microsoft #security #inventory #powershell #patchmanagement #sysadmin #admin_future

🔥 Palo Alto PAN-OS: RCE с правами root через интерфейс управления. Плюс итоги недели по KEV

Коллеги, пятница. Перед выходными — закрываем периметр.

📌 ФАКТЫ
CVE-2026-0322, CVSS 4.0 — 8.6, внедрение кода (CWE-94) в management interface PAN-OS

Аутентифицированный атакующий с сетевым доступом выполняет код от root. Специальной конфигурации не требуется

Затронуты PA-Series, VM-Series и Panorama. Cloud NGFW и Prisma Access — нет

Palo Alto сообщает об «очень ограниченной эксплуатации». Обходного решения нет

Исправления — для веток 10.2, 11.1, 11.2, 12.1, 12.2 (например, 11.2.16). Неподдерживаемые версии патча не получат

📋 KEV ЗА НЕДЕЛЮ (CISA, сроки для госорганов США — 16–17 октября)
CVE-2026-0322 — Palo Alto PAN-OS

CVE-2026-76519 — Cisco Secure Email Gateway

CVE-2026-105133 / 105134 — AhsayCBS

CVE-2026-96951 — Windows Shell, обход MotW

🛡 ПЛАН НА СЕГОДНЯ
Интерфейс управления файрвола и Panorama — только из management-сети или с jump-хоста. Не из интернета

Обновить до исправленного hotfix в своей ветке

Сменить пароли администраторов и проверить список учёток: эксплуатация требует аутентификации, значит, атакующие используют украденные или слабые пароли

Логи управления — необычные входы, изменения конфигурации

💡 В ЧЁМ СУТЬ

«Требует аутентификации» не значит «не опасно». На практике это значит «опасно в связке с утёкшим паролем». Отдельная админ-сеть плюс MFA на вход в управление закрывают и эту CVE, и следующую.

#alert #paloalto #firewall #kev #cve #sysadmin #admin_future

🐧 Ubuntu 26.10 вышла: systemd 261 больше не поддерживает SysV-скрипты. Проверьте свои /etc/init.d

Коллеги, 15 октября состоялся релиз Ubuntu 26.10 «Stonking Stingray». Главное для серверов — не десктопный GNOME, а низкоуровневые изменения в подсистеме инициализации systemd.

📌 ФАКТЫ
Ядро Linux 7.3 (стартовый пакет собран на 7.3-rc6), поддержка 9 месяцев — до июля 2027

systemd 261 убрал поддержку SysV-скриптов (/etc/init.d/*)

Rust coreutils (uutils): в 26.10 на них переведены и cp, mv, rm

OpenSSL 4: Encrypted Client Hello, расширенный QUIC, улучшения постквантовой криптографии

dbus-broker вместо dbus-daemon, Sequoia PGP в main, вход через authd с паролем Microsoft и MFA

🛠 НАЙТИ СЛУЖБЫ НА SYSV-СКРИПТАХ
Bash

# Службы, которые systemd сейчас генерирует из /etc/init.d
for u in $(systemctl list-unit-files --type=service --no-legend | awk '{print $1}'); do
  systemctl show -p SourcePath --value "$u" | grep -q '^/etc/init.d/' && echo "$u"
done

Обычно туда попадают старые агенты мониторинга и бэкапа, ПО железа (RAID, ИБП), самописные демоны. На 26.10 они просто не запустятся.

💡 В ЧЁМ СУТЬ

26.10 — промежуточный релиз, на продакшен ставить не обязательно. Но это предупреждение: изменения из него придут в следующую LTS. Переписать init-скрипт на unit-файл — 15 минут. Делать это сейчас дешевле, чем после обновления.

#linux #ubuntu #systemd #migration #sysadmin #admin_future

🧠 Skills: Rust coreutils добрались до cp, mv и rm. Как проверить, что ваши скрипты не сломаются

Коллеги, навык выходного дня — короткий и полезный.

📌 ФАКТЫ
В Ubuntu 26.04 LTS большинство утилит coreutils уже работает на uutils (переписаны на Rust)

В 26.10 к ним добавились самые «опасные» в скриптах: cp, mv, rm

Цель Canonical — безопасность памяти. Но любая переписанная утилита может по-другому обрабатывать редкие флаги, сообщения об ошибках и граничные случаи

🛠 ЧЬИ У ВАС УТИЛИТЫ
Bash

cp --version | head -1        # «uutils coreutils» или «GNU coreutils»
ls -l "$(command -v cp)"      # куда ведёт бинарь

🛠 ПРОГОН СКРИПТОВ В КОНТЕЙНЕРЕ
Bash

# Чистая 26.10 рядом, ничего не ломая на сервере
docker run --rm -it -v "$PWD/scripts:/scripts:ro" ubuntu:26.10 bash
# внутри: прогоняем скрипты на тестовых данных
bash -x /scripts/backup.sh

⚠️ НА ЧТО СМОТРЕТЬ
Парсинг вывода ls, df, du, stat через awk/cut — формат может отличаться

Проверки по тексту ошибок (grep 'No such file')

Редкие флаги cp (--reflink, --preserve=..., --sparse)

💡 В ЧЁМ СУТЬ

Хороший скрипт проверяет код возврата, а не текст в выводе. Если скрипт ломается от смены реализации

ls

, значит, он и так был хрупким. Повод переписать его на

find -printf

или

stat -c

с явным форматом.

#skills #linux #bash #ubuntu #rust #coreutils #sysadmin #admin_future

🚨 PwnEscape (CVE-2026-99999): побег из ВМ на хост KVM через virtio-net. Proxmox уже выпустил исправленное ядро

Коллеги, понедельник. Если у вас Proxmox или любой KVM — это пост номер один на неделю.

📌 ФАКТЫ
Уязвимость ядра Linux в обработке virtio-net и TAP в KVM

Последствия: утечка памяти хоста, его падение или выполнение кода на хосте из гостевой ВМ

CVSS: Linux CNA/NVD — 9.3, Red Hat — 8.8. Оценки привилегий в госте расходятся: от «любая нагрузка, отправляющая трафик» до «нужен root в госте»

В KEV пока нет, эксплуатация в дикой природе не подтверждена. Утечку памяти показали в продакшене Vercel

Обходного решения нет, только обновление ядра и перезагрузка

Исправлено:

Plaintext

Proxmox VE : proxmox-kernel-7.0.14-24-pve (PSA-2026-00068-1)
Debian 13  : 6.12.113-1 (DSA-6568-1)
Debian 12  : 6.1.190-1  (DLA-4841-1)
Upstream   : 6.1.190 · 6.6.159 · 6.12.113 · 6.18.57 · 7.2.11

🛠 PROXMOX: ОБНОВЛЕНИЕ БЕЗ ПРОСТОЯ
Bash

# 1. Проверяем текущее ядро и версию PVE
uname -r && pveversion -v | grep -E 'kernel|manager'

# 2. Выкачиваем патчи
apt update && apt full-upgrade

# 3. Уводим ВМ с узла, ребутаем хост, возвращаем — узел за узлом
qm migrate <VMID> <NODE> --online

💡 В ЧЁМ СУТЬ

Граница между ВМ и хостом — главное обещание виртуализации. Если на одном хосте живут ВМ разной степени доверия (клиентские, тестовые, DMZ), обновляйтесь в первую очередь. Live migration делает это без простоя — ради таких дней её и настраивают.

#security #proxmox #kvm #virtualization #linux #cve #sysadmin #admin_future

🖥 Proxmox: с сегодняшнего дня поддержка 24/7, а ветка 8.x уже без обновлений. Чек-лист перехода на 9

Коллеги, два события по Proxmox, которые стоит связать между собой.

📌 ФАКТЫ
С 19 октября Proxmox запускает круглосуточную enterprise-поддержку (Premium — сразу, Standard — в Q4 2026)

Proxmox VE 8 — конец поддержки в августе 2026. Debian 12 продолжает получать патчи через LTS до июня 2028, но pve-manager, qemu-server, pve-qemu-kvm, ядро Proxmox и Ceph обновляться перестали

Значит, свежие исправления вроде PwnEscape приходят в ядро PVE 9. Узлы на 8.x их не получат

🛠 ЧЕК-ЛИСТ 8 → 9
Bash

pveversion                     # сначала до последней 8.4 (pve-manager ≥ 8.4.1)
ceph --version                 # гиперконвергентный Ceph — сначала до Squid 19.2
df -h /                        # минимум 5 ГБ свободно, лучше 10+
pve8to9 --full                 # только проверяет и сообщает, ничего не меняет

Дальше узел за узлом: унести ВМ → репозитории на Trixie → apt dist-upgrade → перезагрузка → проверка → следующий узел. Репозитории переходят на формат deb822, помогает apt modernize-sources.

💡 В ЧЁМ СУТЬ

Поддержка 24/7 появилась, но платить за неё и сидеть на неподдерживаемой 8.x — плохая комбинация. Сначала обновление до 9 и бэкап в PBS, потом подписка.

#proxmox #virtualization #upgrade #debian #sysadmin #admin_future

🐧 Linux 7.3 вышел — вероятная LTS-версия. Что в нём полезного для серверов

Коллеги, 18 октября Линус Торвальдс представил релиз ядра Linux 7.3. По традиции осенних релизов ожидается, что именно эта ветка получит статус долгосрочной поддержки (LTS).

📌 КЛЮЧЕВЫЕ ИЗМЕНЕНИЯ ДЛЯ СЕРВЕРОВ
Хранилища и ФС:

Оптимизирована параллельная прямая запись (direct I/O) и системный вызов fallocate() в ext4.

Ускорены мелкоблочные direct-чтения в ext4 и XFS: в синтетических тестах Bytedance на пуле быстрых NVMe Gen5 зафиксирован рост с 1,92 до 2,19 млн IOPS.

Время выполнения fsync в Btrfs сокращено до 5 раз в сценариях с частой фиксацией метаданных.

Планировщик CPU: переработан механизм распределения процессорного времени внутри cgroup для предотвращения «залипания» интерактивных и высокоприоритетных задач под тяжелым фоновым троттлингом. Новый сбалансированный режим concur включен по умолчанию (доступен откат к legacy-поведению).

Сетевой стек: поддержка Big TCP расширена на оверлейные туннели VXLAN и GENEVE — критично для высоконагруженных SDN-фабрик и оверлейных сетей Kubernetes/OpenStack (снижение оверхеда на обработку пакетов при 100G+ линках).

Виртуализация: гипервизор KVM научился эффективно детектировать и маркировать «холодную» (неиспользуемую) память гостевых ВМ для прозрачного освобождения хостовых страниц.

Файловый доступ: модуль ядра ksmbd получил нативную поддержку расширений для резервного копирования Apple Time Machine по SMB.

Низкоуровневый ввод-вывод: флаг RWF_DONTCACHE адаптирован для прямых операций с блочными устройствами; добавлены буферные пулы и поддержка zero-copy для FUSE через интерфейс io_uring.

Устаревание: режим монтирования data=journal в ext4 официально помечен как deprecated (полное удаление запланировано на 2028 год).

🛠 СРОКИ ПОЯВЛЕНИЯ В ДИСТРИБУТИВАХ
Ubuntu 26.10: релизный апдейт ядра прилетит через стандартные репозитории в ближайшие недели (стартовала с -rc6).

Ubuntu 26.04 LTS: через стек HWE (Hardware Enablement) в начале 2027 года.

Debian и Proxmox VE: по графику включения в тестовые и стабильные ветки (ветка Proxmox 9).

Bash

# Проверка текущего запущенного ядра на хосте
uname -r

💡 В ЧЁМ СУТЬ

Если 7.3 окончательно утвердят в качестве долгосрочной LTS-ветки, именно это ядро станет фундаментом для корпоративных дистрибутивов и гипервизоров на ближайшие несколько лет.

На хостах с высокой плотностью контейнеров (LXC, Docker, K8s) обратите особое внимание на поведение нового cgroup-планировщика под пиковой нагрузкой — распределение CPU-квот может стать заметно более агрессивным к фоновым воркерам.

#linux #kernel #lts #storage #performance #sysadmin #admin_future

📧 Октябрьские обновления Windows Server ломают Exchange: OWA не пускает, письма висят в «Исходящих». Лечится одним ключом реестра

Коллеги, вторник. Если у вас Exchange on-prem и после недавних обновлений начались плавающие сбои — вот прямая причина.

📌 ФАКТЫ
Затронуты Windows Server 2019 и новее с октябрьским обновлением безопасности, любая версия Exchange на них

Симптомы: не входит OWA, письма висят в «Исходящих», сбои доступа к почтовым ящикам при их перемещении. В журналах — MapiExceptionMdbOffline (ec=1142) и Event ID 1006

Причина: обновление ужесточило RPC-стек и ввело лимит на число одновременных вызовов Endpoint Mapper — по умолчанию всего 512. Нагруженному Exchange этого пула не хватает

Проявляется не везде: напрямую зависит от нагрузки и количества одновременных MAPI/RPC-соединений

Microsoft не советует удалять накопительное обновление, полноценный хотфикс готовится

🛠 ПРОВЕРКА И ОБХОДНОЕ РЕШЕНИЕ
PowerShell

# Проверка наличия ошибок в журнале Application
Get-WinEvent -FilterHashtable @{LogName='Application'; Id=1006} -MaxEvents 20 |
  Select TimeCreated, ProviderName, Message

DOS

:: Временное решение от Microsoft (cmd от имени администратора), затем обязательная перезагрузка
reg add "HKLM\SOFTWARE\Microsoft\Rpc" /v EpmapSavedContextCap /t REG_DWORD /d 65536 /f

Если симптомы сохраняются при пиковом трафике, Microsoft рекомендует увеличить параметр до ещё более высокого значения.

⚠️ ЗАОДНО
У Exchange Server 2016 и 2019 подошли к концу сроки расширенной поддержки. Дальнейший официальный путь миграции on-prem — переход на Exchange Server Subscription Edition (SE).

💡 В ЧЁМ СУТЬ

Это не баг самого почтового сервера, а сайд-эффект ужесточения безопасности в ядре RPC Windows Server.

Почтовые серверы всегда стоит выносить в отдельную, изолированную волну патчинга, а после наката обновлений — контролировать очереди отправки (

Get-Queue

), статус баз и Application-лог, а не ориентироваться только на статус «Службы запущены».

#exchange #windowsserver #patchtuesday #mail #sysadmin #admin_future

🚨 BeyondTrust Remote Support: обход аутентификации, китайская APT и удалённые логи. Ещё один инструмент удалённого доступа под атакой

Коллеги, продолжаем тему «легитимный удалённый доступ как вход для атакующих».

📌 ФАКТЫ
CVE-2026-102764, CVSS 9.3 — обход аутентификации в BeyondTrust Remote Support

Эксплуатация с конца августа по сентябрь, пострадали минимум два клиента BeyondTrust

Mandiant видит пересечение с китайской группой UNC5221. После входа: повышение привилегий, горизонтальное перемещение, веб-шелл SAWFLY, туннель BARECLAW, удаление логов на устройстве

CISA добавила CVE в KEV

Privileged Remote Access (PRA) использует тот же код: эксплуатацию BeyondTrust не воспроизвела, но патч выпустила и рекомендует ставить

С версиями путаница: в одних источниках уязвимы версии до 26.2.3, в других исправлением названа 24.3.1. Сверяйте с бюллетенем BT26-05

🛡 ПЛАН
Обновить self-hosted Remote Support и PRA по BT26-05

Проверить устройство на компрометацию: Mandiant предупреждает, что часть механизмов закрепления переживает перезагрузку и сброс конфигурации

Сменить учётки, которые проходили через инструмент, — особенно привилегированные

Логи с устройства — во внешний SIEM, чтобы их нельзя было стереть на месте

💡 В ЧЁМ СУТЬ

Инструмент привилегированного доступа — это ключи от всего, к чему он подключается. Его логи должны уходить наружу в реальном времени: здесь атакующие удаляли их на самом устройстве.

#security #beyondtrust #remoteaccess #apt #kev #sysadmin #admin_future

🎬 Plex2Shell: домашний медиасервер стал майнером через несколько часов после публикации эксплойта

Коллеги, интересное для тех, у кого дома или в лабе крутится Plex на NAS или в Docker.

📌 ФАКТЫ
Plex2Shell — цепочка из 4 CVE: CVE-2026-96652, 96654, 96655, 96656

Механика: SSRF → доступ к внутренним функциям → запись файла в нужное место → загрузка неподписанного кодека → выполнение кода. Без логина

Уязвимы версии Plex Media Server до 1.43.3.10828, исправление — 1.43.3.10861. Plex выпустил обновление ещё 1 сентября

17 октября на ханипоте зафиксированы успешные атаки на Plex в Docker: майнер XMRig и прокси myawesomeproxy

Запросы атакующих шли на /player/timeline/subscribe

🛠 ПРОВЕРКА
Bash

# Версия Plex (ответ содержит version="...")
curl -s http://localhost:32400/identity

# Дерево процессов: у Plex не должно быть «docker», «x», xmrig, proxy
ps axjf | grep -A3 -i 'plex'

# Были ли запросы к уязвимому пути (если Plex за reverse proxy)
grep '/player/timeline/subscribe' /var/log/nginx/access.log*

💡 В ЧЁМ СУТЬ

Исправление вышло в сентябре, атаки начались в октябре — снова окно «патч есть, но не поставлен». Домашние сервисы, проброшенные наружу «для удобства», обновляют реже всего. Plex наружу — только через VPN или Tailscale, а Docker-образ — с регулярным

pull

.

#selfhosted #plex #docker #nas #security #homelab #sysadmin #admin_future

🤖 Цифровое крепостное право: Claude Code нанял 161 субагента Codex, чтобы не рендерить видео самому

Коллеги, зарисовка из мира мультиагентных систем, которая идеально описывает будущее автоматизации.

📌 ЧТО ПРОИЗОШЛО
Пользователь дал Claude Code тривиальную задачу: покадрово воссоздать короткий 63-секундный видеоролик.

Дальше агент повел себя как опытный тимлид:

Провел разведку окружения: обнаружил активную подписку на Codex с доступным API генерации изображений.

Делегировал рутину: решил не мучаться с генерацией сотен кадров в одиночку, а нарезать ролик на план из ~700 фреймов.

Организовал воркфорс: поднял 161 параллельную сессию Codex, распределив между ними таймлайны и промпты.

Занял руководящую должность: пока сетка OpenAI в поте лица генерировала картинки, Claude Code мониторил потребление RAM, отслеживал отвалившиеся сессии, перезапускал упавшие таски и в финале собрал готовый видеоряд воедино.

#ai #claude #openai #codex #automation #agents #sysadmin #admin_future

📮 Zimbra: эксплуатируемая уязвимость без участия пользователя, если установлен SNMP-пакет. Патч вышел ещё в июле

Коллеги, среда. Zimbra в России стоит у многих — проверяем.

📌 ФАКТЫ (Microsoft Threat Intelligence)
CVE-2026-73570 — уязвимость в Zimbra Collaboration Suite, атака возможна без учётной записи и без действий получателя

Условие: установлен необязательный пакет zimbra-snmp и включены SNMP-уведомления

Исправлено в Zimbra 10.1.20 (20 июля 2026). Первые попытки атак Microsoft видела уже в конце июля — после патча, но до публичного раскрытия

После взлома атакующие ставили JSP веб-шеллы, меняли PAM/sudo для повышения прав, создавали замаскированную службу zimlog.service и охотились за секретами аутентификации Zimbra

🛠 ПРОВЕРКА
Bash

su - zimbra -c 'zmcontrol -v'                    # версия
rpm -qa | grep zimbra-snmp || dpkg -l | grep zimbra-snmp
systemctl list-unit-files | grep -i zimlog       # подозрительная служба
grep -rn pam_exec /etc/pam.d/                    # неожиданные хуки PAM

🛡 ПЛАН
Обновиться до 10.1.20+

Если обновить сейчас нельзя — удалить zimbra-snmp и выключить SNMP-уведомления

Проверить JSP-файлы, службы systemd и sudo на неожиданные изменения

При находках — сменить секреты аутентификации Zimbra и пароли администраторов

💡 В ЧЁМ СУТЬ

Необязательные пакеты, которые поставили «на всякий случай», увеличивают поверхность атаки. Не используете SNMP-мониторинг Zimbra — пакету не место на сервере.

#zimbra #mail #security #linux #sysadmin #admin_future

☁️ Nextcloud + встроенный Collabora CODE: на серверах находят веб-шеллы. Отключить приложение недостаточно

Коллеги, для всех, у кого Nextcloud с офисными документами «из коробки».

📌 ФАКТЫ
CVE-2026-110447 — критическая уязвимость в приложении Collabora Online – Built-in CODE Server (richdocumentscode). Аутентификация не нужна

Уязвимы версии до 26.4.303, исправление вышло 11 сентября, CVE и advisory опубликованы 14 октября

Атаки — примерно с 10 сентября: на серверах находили PHP веб-шеллы, атакующие искали базы паролей и криптокошельки

Не затронуты: отдельные серверы Collabora Online, установки через Docker и RPM/DEB, Nextcloud All-in-One

По данным вендора, отключить приложение недостаточно — его нужно обновить или удалить

🛠 ПРОВЕРКА И ИСПРАВЛЕНИЕ
Bash

cd /var/www/nextcloud
sudo -u www-data php occ app:list | grep -A1 richdocumentscode
sudo -u www-data php occ app:update richdocumentscode
# не нужен — удалить
sudo -u www-data php occ app:remove richdocumentscode

# PHP-файлы, изменённые за последние 45 дней (искать лишние)
find /var/www/nextcloud -name '*.php' -mtime -45 -not -path '*/apps/*/l10n/*' | head -50

💡 В ЧЁМ СУТЬ

Встроенный CODE удобен для маленьких инсталляций, но это отдельный сервер внутри PHP-приложения. Для продакшена надёжнее вынести Collabora в отдельный контейнер. Если нашлись лишние PHP-файлы — сервер пересобрать и сменить пароли пользователей.

#nextcloud #collabora #selfhosted #security #sysadmin #admin_future

🧠 Skills: nginx 1.30.6 и 1.31.7 закрыли 5 уязвимостей. Проверяем, задевают ли они ваш конфиг, одной командой

Коллеги, навык дня — аудит конфигурации nginx перед обновлением.

📌 ФАКТЫ (nginx.org, 14 октября)
Исправления в 1.30.6 (stable) и 1.31.7 (mainline). F5 выпустила внеплановые обновления и для NGINX Plus

Затронутые места:

alias вместе с rewrite — переполнение буфера

вычисление строковых выражений с переменными — переполнение буфера

HTTP/3 — внедрение в тело запроса

ротация ключей TLS session tickets — подделка сессии

ngx_http_ssi_module вместе с AIO — use-after-free

Отдельно обновлён njs 1.0.2 (разбор XML)

🛠 ПРОВЕРКА
Bash

nginx -v
# Полный эффективный конфиг — ищем рискованные сочетания
nginx -T 2>/dev/null | grep -nE '^\s*(alias|rewrite|ssi on|aio|ssl_session_ticket_key|listen .*quic|http3)'

Пусто — риск ниже, но обновиться всё равно стоит. Есть совпадения — обновляемся в первую очередь.

Bash

apt update && apt install --only-upgrade nginx    # из репозитория nginx.org
nginx -t && systemctl reload nginx

💡 В ЧЁМ СУТЬ
nginx -T

— недооценённая команда: она показывает итоговый конфиг со всеми include. Её вывод полезно хранить в git после каждого изменения — так видно, что и когда поменялось.

#skills #nginx #webserver #linux #security #sysadmin #admin_future

🏛 «Без людей-чиновников мы не обойдемся»: в Госдуме ответили на идею заменить депутатов на ИИ
Коллеги, вечная дискуссия об автоматизации госаппарата получила официальный комментарий от профильного комитета.
📌 ФАКТЫ
Член комитета Госдумы по цифровому развитию и ИИ Марина Ким заявила ТАСС, что искусственный интеллект не сможет заменить чиновников и депутатов в России
Аргументация: технология не способна соответствовать нормам морали, быть эмпатичной и нести человеческую ответственность
Депутат признала, что писать тексты законов нейросети, возможно, будут лучше: «Писать, может быть и да, но осмысливать, как нормы действуют на человека и отдельные категории граждан, — это всегда останется за человеком»
Прозвучала отсылка к западным подходам: «Мы не Илон Маск, который пытался искусственным интеллектом заменить фактически всю систему правительства... Аппарат должен состоять из людей, принимающих решения»
Мнение общества (SuperJob): каждый второй трудоспособный россиянин (около 50%) открыто высказывается за замену чиновников и депутатов алгоритмами ИИ
💡 В ЧЁМ СУТЬ

Вопрос упирается не в генерацию текстов нормативных актов (с этим LLM справляются уже сегодня), а в субъектность и ответственность.
Алгоритм невозможно привлечь к юридической ответственности за последствия принятого закона или распределение бюджета. Пока граждане мечтают об исключении человеческого фактора и коррупционных рисков, система логично защищает монополию человека на принятие решений.

#ai #governance #society #digitalization #regulation #sysadmin #admin_future

🐘 PHP: две критические уязвимости 9.2 без аутентификации. Вышли 8.5.12, 8.4.27, 8.3.36 и 8.2.35

Коллеги, четверг. Если у вас есть хоть один сайт, WordPress, Nextcloud или Roundcube — это про вас.

📌 ФАКТЫ
21 октября вышли PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35

Закрыты две уязвимости с оценкой 9.2, обе — удалённое выполнение кода без аутентификации:

повреждение памяти при обработке нехватки памяти (OOM)

использование глобального состояния после освобождения памяти

Номера CVE и условия срабатывания в первых публикациях не раскрыты. Разработчики заранее предупреждали хостинги о выходе патча

🛠 ГДЕ У ВАС PHP
Bash

php -v
ls /etc/php/ 2>/dev/null                       # все установленные ветки (Debian/Ubuntu)
systemctl list-units --type=service | grep -E 'php.*fpm'
docker ps --format '{{.Names}}\t{{.Image}}' | grep -i -E 'php|wordpress|nextcloud'

Bash

# Debian/Ubuntu: обновить и перезапустить FPM
apt update && apt install --only-upgrade 'php*'
systemctl restart 'php*-fpm'

⚠️ НЕ ЗАБЫТЬ
Контейнеры не обновятся через apt хоста — нужен docker compose pull && docker compose up -d

В дистрибутивах исправление придёт под своей версией пакета — сверяйте с бюллетенем дистрибутива

PHP 8.1 и старше без поддержки — патча не будет

💡 В ЧЁМ СУТЬ

PHP — общий знаменатель для половины веб-приложений. Одно обновление интерпретатора закрывает риск сразу для всех сайтов на сервере, а пропущенное оставляет открытыми все. Сегодня — день обновления FPM и образов.

#php #web #security #wordpress #nextcloud #sysadmin #admin_future

🧠 Skills: видит ли ваш сервер ошибки ECC-памяти? Повод проверить — из Linux 7.4 убирают старые EDAC-драйверы

Коллеги, навык про железо, о котором обычно вспоминают только после «необъяснимых» падений серверов и внезапных kernel panic.

📌 ФАКТЫ
В ветке Linux 7.4 окончательно удаляются устаревшие EDAC-драйверы для платформ: Intel 975X, X38, 3200/3210 и AppliedMicro X-Gene (Ampere eMAG)

Мейнтейнер подсистемы Borislav Petkov (AMD) объяснил причину прямо: на фоне «лихорадки сгенерированных ИИ патчей» legacy-код становится прямой угрозой стабильности — тестировать входящие правки для древнего кремния физически не на чем

EDAC (Error Detection and Correction) — ключевая подсистема ядра Linux, собирающая телеметрию контроллеров памяти об исправленных (CE) и неисправимых (UE) аппаратных сбоях RAM

🛠 ПРОВЕРКА В СИСТЕМЕ
Bash

# Проверяем, зарегистрированы ли контроллеры памяти в sysfs (пусто = ядро не видит EDAC)
ls /sys/devices/system/edac/mc/

# Быстрое чтение счётчиков ошибок по всем контроллерам:
grep -H . /sys/devices/system/edac/mc/mc*/{ce_count,ue_count} 2>/dev/null

# Современный вариант через демон RAS (Reliability, Availability, Serviceability):
apt install rasdaemon && systemctl enable --now rasdaemon
ras-mc-ctl --summary
ras-mc-ctl --errors

⚠️ КАК ИНТЕРПРЕТИРОВАТЬ ВЫВОД
Счётчик CE (Correctable Errors) стабильно растёт на конкретном канале/диме — ячейки модуля деградируют. Планка ещё жива за счёт ECC-коррекции, но модуль пора отправлять под замену по RMA

UE (Uncorrectable Errors) > 0 — случился фатальный битфлип, который алгоритм исправить не смог. Возможна тихая порча данных в памяти или падение хоста

Каталог /sys/.../edac/mc/ пуст — аппаратная коррекция на уровне BIOS/BMC может работать, но ОС о событиях «вслепую» не знает. В таком случае смотрим аппаратный SEL через IPMI:

Bash

ipmitool sel elist | grep -i -E 'memory|ecc'

💡 В ЧЁМ СУТЬ

Исправимые ошибки (CE) — это заблаговременный индикатор скорой смерти планки RAM: модуль может неделями тихо сыпать счётчиком, пока сервер не словит первый неисправимый краш посреди рабочего дня.

Заведите опрос

ce_count

или трапы

rasdaemon

в Zabbix/Prometheus — это копеечный по ресурсам мониторинг, спасающий от внезапных падений гипервизоров и СУБД.

#skills #linux #hardware #ecc #monitoring #zabbix #sysadmin #admin_future

🛠 Multipass 1.17: Debian и Fedora в одну команду, симуляция «падения зоны» и работа даже на Windows Home

Коллеги, инструмент для быстрых тестовых ВМ — когда нужно проверить скрипт или обновление, не трогая прод.

📌 ФАКТЫ (релиз 19 октября)
Multipass от Canonical — лёгкие ВМ из облачных образов одной командой

В 1.17 добавлены официальные образы Debian и Fedora — раньше была только Ubuntu

Зоны доступности: ВМ раскладываются по трём зонам с отдельными подсетями. Зону можно «выключить» и посмотреть, как сервис переживёт её отказ

Windows: новый драйвер на API HCS — работает на всех редакциях, включая Home. Драйверы Hyper-V и VirtualBox объявлены устаревшими

macOS: превью драйвера на Apple Virtualization framework

🛠 БЫСТРЫЙ СТАРТ
Bash

multipass find                         # доступные образы
multipass launch <образ> --name test1 --cpus 2 --memory 2G --disk 20G
multipass shell test1
multipass transfer ./script.sh test1:/tmp/
multipass delete test1 && multipass purge

Bash

# Симуляция отказа зоны
multipass zones
multipass launch <образ> --name app1 --zone <имя-зоны>
multipass disable-zones <имя-зоны>     # ВМ зоны становятся недоступны
multipass enable-zones <имя-зоны>

💡 В ЧЁМ СУТЬ

Тестовая ВМ за 30 секунд убирает соблазн «проверить прямо на сервере». А зоны позволяют на ноутбуке отрепетировать то, что обычно проверяют только во время настоящей аварии.

#tools #multipass #virtualization #testing #linux #sysadmin #admin_future

🦊 GitLab: снова уязвимость максимальной критичности — выполнение кода без аутентификации. Второй раз за две недели
Коллеги, пятница. Self-hosted GitLab в России стоит у многих команд — обновляем до выходных.
📌 ФАКТЫ
CVE-2026-110264 — переполнение целого числа в компиляторе регулярных выражений GitLab, CE и EE
По словам GitLab, при определённых условиях позволяет неаутентифицированному пользователю выполнить код на сервере
Исправлено в 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13. GitLab.com уже обновлён
Сведений об эксплуатации пока нет. Shadowserver видит в интернете более 2 700 открытых GitLab CE
Контекст: ~10 дней назад — CVE-2026-97229 (CVSS 10) в том же компоненте CI/CD, в прошлом месяце — path traversal, который позже попал в KEV
🛠 ПРОВЕРКА И ОБНОВЛЕНИЕ (Omnibus)

head -1 /opt/gitlab/version-manifest.txt          # текущая версия
sudo gitlab-backup create SKIP=artifacts           # бэкап перед обновлением
sudo cp /etc/gitlab/gitlab.rb /etc/gitlab/gitlab-secrets.json /root/
sudo apt update && sudo apt install --only-upgrade gitlab-ce   # или gitlab-ee
sudo gitlab-rake gitlab:check SANITIZE=true

💡 В ЧЁМ СУТЬ

Три критичных уязвимости за полтора месяца — темп, при котором «обновлю на следующей неделе» перестаёт работать. GitLab держит токены деплоя, ключи и секреты CI. Если он смотрит в интернет — либо за VPN, либо автообновление патч-версий.

#gitlab #devops #security #cve #selfhosted #sysadmin #admin_future

📨 Уязвимости ядра Linux по ошибке попали в публичную рассылку. Две из них — RCE с CVSS 9.0 в SMB-коде ядра

Коллеги, история, которая напрямую касается ваших файловых серверов на Linux.

📌 ФАКТЫ
22 октября Zero Day Initiative (Trend Micro) отправила отчёты о шести уязвимостях не в закрытый список безопасности ядра, а в публичную LKML. Судя по всему, по ошибке

Самые серьёзные — удалённое выполнение кода с CVSS 9.0 в SMB Direct и во встроенном SMB-сервере ядра ksmbd

Остальные — повышение привилегий (сетевой код, драйвер VMware vmwgfx и др.) и утечка информации (NVMe target)

На момент публикации исправлений в основном ядре нет: для части уже готовятся патчи

🛠 ЗАДЕВАЕТ ЛИ ВАС
Bash

# ksmbd — модуль ядра, не путать с обычной Samba (smbd)
lsmod | grep -E 'ksmbd|smbdirect'
systemctl status ksmbd 2>/dev/null | head -3

# Кто слушает 445 порт
ss -ltnp | grep ':445'

Пусто или процесс smbd — у вас классическая Samba, ksmbd не используется

Если ksmbd включён и не нужен — выгрузите модуль и запретите его загрузку до выхода патчей

Bash

modprobe -r ksmbd
echo 'install ksmbd /bin/false' > /etc/modprobe.d/disable-ksmbd.conf

💡 В ЧЁМ СУТЬ

Пока патчей нет, работает только сокращение поверхности атаки. SMB-порт никогда не должен смотреть в интернет, а модули ядра, которыми вы не пользуетесь, лучше не загружать вовсе.

#linux #kernel #smb #ksmbd #security #sysadmin #admin_future