Positive Technologies представила сентябрьский дайджест трендовых уязвимостей

Эксперты Positive Technologies отнесли к трендовым еще шесть уязвимостей. Они обнаружены в системе автоматизации разработки JetBrains TeamCity, платформе для видеоконференций TrueConf Server, продуктах Microsoft — SharePoint Server и Windows, а также в почтовом сервере Zimbra Collaboration Suite. Все уязвимости уже эксплуатируются злоумышленниками в реальных атаках. Об этом CNews сообщили представители Positive Technologies.

Трендовыми уязвимостями называются наиболее опасные недостатки безопасности в инфраструктуре компаний, требующие оперативного устранения или принятия компенсирующих мер. Они либо уже активно эксплуатируются злоумышленниками, либо могут быть использованы ими в ближайшее время. Чтобы определить трендовые уязвимости, эксперты Positive Technologies собирают и анализируют информацию из различных источников: баз уязвимостей и эксплойтов, бюллетеней безопасности вендоров, социальных сетей, блогов, телеграм-каналов, публичных репозиториев кода. Выявлять такие недостатки в инфраструктуре компании помогает система управления уязвимостями MaxPatrol VM, в которую информация о трендовых уязвимостях поступает в течение 12 часов с момента их появления.

Уязвимость, приводящая к выполнению произвольных команд на сервере JetBrains TeamCity PT-2026-65062 (CVE-2026-63077, оценка по CVSS — 9,8)

По данным компании JetBrains, более 30 тыс. организаций по всему миру из государственного, технологического, финансового, медицинского и других секторов, включая некоторые компании из списка Fortune 500, используют TeamCity для ускорения процессов разработки. При этом, по данным Censys, вскоре после публичного раскрытия уязвимости в интернете было доступно около 4500 открытых веб‑интерфейсов TeamCity. CVE-2026-63077 затрагивает все развернутые локально серверы TeamCity до версий 2025.11.7 и 2026.1.3.

Недостаток безопасности позволяет неаутентифицированному злоумышленнику удаленно выполнять произвольные команды операционной системы. В результате атакующий может получить доступ к исходному коду проектов, конфигурациям и секретам, нарушить работу сервера или изменить конфигурацию пайплайнов. Это создает риск потенциальной подмены исходного кода, зависимостей или артефактов на этапе сборки, после чего скомпрометированная версия проходит через все последующие стадии пайплайна как легитимная. В результате вредоносный код может попасть не только во внутреннюю инфраструктуру компании, но и в конечный продукт, поставляемый клиентам и партнерам.

JetBrains рекомендует обновить все локальные серверы TeamCity до версий 2025.11.7 или 2026.1.3 либо установить плагин с исправлениями безопасности (для TeamCity 2017.1 и более поздних версий). Пользователям TeamCity версий 2017.1–2018.1 после установки плагина потребуется самостоятельно перезагрузить сервер. Начиная с TeamCity версии 2018.2, исправления безопасности будут применены автоматически. JetBrains также приводит дополнительные рекомендации для пользователей TeamCity. Кроме того, официальная документация рекомендует размещать центральные серверы TeamCity отдельно от агентов сборки, на выделенных хостах.

Уязвимости, приводящие к удаленному выполнению произвольного кода, в не обновленном сервере видеоконференций TrueConf Server PT-2026-70005 (BDU:2026-11246, CVE-2026-72529, оценка по CVSS — 9,8) и PT-2026-70006 (BDU:2026-11247, CVE-2026-72530, оценка по CVSS — 9,0)

По данным компании, TrueConf Server используется организациями по всему миру, в числе которых представители государственного сектора, финансовые, промышленные и энергетические компании, а также медицинские и образовательные учреждения. Потенциально уязвимы все версии TrueConf Server, выпущенные с 2022 г.: 5.3.X (ниже 5.3.9), 5.4.X (ниже 5.4.9), 5.5.X (ниже 5.5.5) и более ранние версии продукта.

Уязвимость CVE-2026-72529 позволяет неаутентифицированному злоумышленнику удаленно выполнить произвольный код на уязвимом сервере TrueConf. При этом код выполняется в изолированной среде (песочнице), которая ограничивает его взаимодействие с основной операционной системой сервера.

Уязвимость CVE-2026-72530 в сочетании с CVE-2026-72529 позволяет злоумышленнику преодолеть ограничения изолированной среды и выполнить произвольный код непосредственно в операционной системе сервера с максимальными привилегиями.

Эксплуатация цепочки из двух недостатков безопасности может привести к полному контролю над сервером TrueConf и доступу к его базам данных. Кроме того, злоумышленник может заменить дистрибутив клиентского ПО на сервере и пытаться распространять его среди пользователей при попытке скачивания клиентского приложения.

Пользователям рекомендуется обновить TrueConf Server до версий 5.3.9, 5.4.9 или 5.5.5, в которых уязвимости были полностью устранены. Если обновить затронутые серверы невозможно, следует ограничить доступ к TrueConf Server по порту 4307 только доверенными сетями.

Уязвимость, связанная с обходом аутентификации, в Microsoft SharePoint Server PT-2026-58045 (CVE-2026-55040, оценка по CVSS — 9,1)

По данным The Shadowserver Foundation, с начала августа в интернете ежедневно доступно около 8500 серверов Microsoft SharePoint. Исследователи Censys ARC зафиксировали около 21 000 локально развернутых экземпляров SharePoint с открытой информацией о версии продукта. CVE-2026-55040 затрагивает локальные версии Microsoft SharePoint Server: SharePoint Server Subscription Edition, SharePoint Server 2019 и SharePoint Enterprise Server 2016. При этом облачные версии SharePoint Online и Microsoft 365 этой уязвимости не подвержены.

Критически опасная уязвимость обнаружена в механизме валидации JWT-токенов Microsoft SharePoint Server. Неаутентифицированный удаленный злоумышленник может подделать действительный токен и выдать себя за любого пользователя SharePoint, включая администратора. В результате атакующий получает полный доступ к уязвимому серверу, который может использовать для кражи конфиденциальных данных и внутренних документов, а также для дальнейшего продвижения по внутренней сети. CVE-2026-55040 также может использоваться в связке с уязвимостью удаленного выполнения кода CVE-2026-63520.

Для того, чтобы защититься, необходимо установить обновления безопасности, которые представлены на официальном сайте Microsoft.

Уязвимость, приводящая к повышению привилегий, в драйвере Windows Ancillary Function Driver PT-2026-70737 (CVE-2026-68820, оценка по CVSS — 7,0)

Поскольку драйвер AFD.sys является базовым компонентом Windows, который нельзя отключить, уязвимость потенциально затрагивает около миллиарда устройств под управлением Windows, включая как клиентские, так и серверные дистрибутивы, на которые не установлены обновления безопасности.

Успешная эксплуатация уязвимости позволяет злоумышленнику повысить привилегии до уровня SYSTEM. Это означает, что он может читать и изменять любые данные, устанавливать драйверы, отключать антивирусы и EDR-агенты, перехватывать учетные данные всех пользователей системы, модифицировать журналы событий для сокрытия следов атаки, а также устанавливать любые программы, включая вредоносное ПО.

Исследователи Check Point обнаружили эксплуатацию CVE-2026-68820 в рамках кампании Operation Dream Job, которую связывают с APT-группировкой Lazarus (APT38). Злоумышленники рассылали сотрудникам компаний фейковые предложения о работе с вредоносными PDF-вложениями. Полученные с помощью уязвимости права SYSTEM использовались для запуска руткита FudModule и бэкдора ForestTiger.

Для того чтобы защититься, необходимо установить обновления безопасности, которые представлены на официальном сайте Microsoft.

Уязвимость, приводящая к удаленному выполнению кода, в почтовом сервере Zimbra Collaboration Suite (ZCS) PT-2026-71676 (CVE-2026-73570, оценка по CVSS — 8,9)

По данным The Shadowserver Foundation, как минимум 274 экземпляра ZCS уже были взломаны злоумышленниками, эксплуатирующими CVE-2026-73570. Также исследователи обнаружили в открытом доступе более 8000 серверов ZCS, которые тоже могут быть подвержены риску эксплуатации этой уязвимости в зависимости от конфигурации SNMP. По состоянию на 31 августа 2026 г. в интернете было доступно более 5000 таких серверов, около 160 из них находились в России.

Уязвимость связана с недостаточной проверкой входных данных и позволяет неаутентифицированному удаленному злоумышленнику выполнять произвольные команды операционной системы от имени пользователя Zimbra. Эксплуатация может привести к полной компрометации системы: атакующий получает возможность устанавливать вредоносное ПО, закрепляться в системе и использовать скомпрометированный сервер для дальнейшего продвижения по внутренней сети. Поскольку Zimbra Collaboration Suite обрабатывает корпоративную переписку, атака также может привести к утечке конфиденциальных данных.

Администраторам затронутых систем рекомендуется обновиться до исправленной версии. Если немедленно устранить уязвимость невозможно, следует применить компенсирующие меры: отключить SNMP-уведомления; остановить службу swatchdog до установки патча; удалить пакет zimbra-snmp из всех систем, для которых мониторинг по SNMP не является обязательным процессом; ограничить входящий SMTP-трафик на периметре сети только доверенными сетями.