Безопасность 13 октября 2026, 10:40 МСК

Jet CSIRT: пять главных событий ИБ недели — от Citrix NetScaler до вредоносных расширений Firefox

В недельный топ Jet CSIRT вошли уязвимости в NetScaler, продуктах Atlassian и LMCache, взлом npm-пакета Tensorlake и 16 вредоносных расширений Firefox.

Citrix выпустила экстренные обновления для CVE-2026-88779 (CVSS 8.7) в NetScaler ADC и Gateway: уязвимость вызывает отказ в обслуживании при настройке как SAML SP или IdP и уже использовалась в целевых атаках. Atlassian исправила CVE-2026-21589 (CVSS 9.3) — чтение файлов без аутентификации в Bitbucket, Confluence, Jira и других продуктах.

JFrog раскрыла CVE-2026-105192 (CVSS 9.8) в кэше LMCache для LLM-серверов: небезопасная десериализация через открытый порт 5555 допускает выполнение кода. Исправления пока не вышли, рекомендуется держать порт в localhost или доверенной сети.

Версия 0.5.144 npm SDK Tensorlake была скомпрометирована в атаке Shai-Hulud: червь крал токены, ключи и конфигурации ИИ-инструментов. Исследователи Socket обнаружили 16 расширений Firefox, маскировавшихся под кошельки Rabby и OKX и крадущих seed-фразы; из магазина их удалили. Тем, кто вводил реальную фразу, нужно считать кошелёк скомпрометированным.

• LMCache: CVSS 9.8, патча пока нет
• Atlassian: CVSS 9.3
• 16 вредоносных расширений Firefox удалены