Безопасность 26 октября 2026, 18:08 МСК

Jet CSIRT: уязвимости в PHP, GitLab, PAN-OS и WordPress и захват Tor-нод — ИБ-итоги недели

Jet CSIRT подвёл итоги недели в информбезопасности: критические RCE-уязвимости в PHP и GitLab, цепочка WP2Shell для WordPress, атаки на PAN-OS и перехват SSH через Tor-ноды.

В PHP найдены две уязвимости, CVE-2026-109618 (CVSS 9.8) и CVE-2026-109619 (CVSS 8.1), позволяющие удалённо без аутентификации выполнить код. Попытки эксплуатации зафиксированы ещё до выхода патчей. Исправления есть в версиях 8.2.35, 8.3.36, 8.4.27 и 8.5.12; логи рекомендуют проверить начиная с 20 октября.

GitLab закрыла CVE-2026-110264: целочисленное переполнение в движке регулярных выражений Onigmo даёт неаутентифицированный RCE и затрагивает версии начиная с 7.0. Признаков эксплуатации не зафиксировано, компания опубликовала две сигнатуры для обнаружения атак.

В начале октября атакующие контролировали более 300 Tor exit-нод и перенаправляли SSH-подключения на 12 серверов перехвата. Под угрозой были только парольные входы со 2 по 5 октября; на пике 4 октября такие ноды составляли 7,46% exit-ёмкости Tor. К 5 октября Tor Project убрал их из консенсуса, а пароли, вводившиеся в этот период, советуют сменить.

Unit 42 сообщила о новой волне атак на PAN-OS GlobalProtect через CVE-2026-0257 (CVSS 9.1): среди атакующих — группировки Qilin, Inc и операторы Settra ransomware. Рекомендация — отдельный сертификат для Authentication Override cookies или отключение этой функции.

Seqrite описала цепочку WP2Shell из CVE-2026-63030 и CVE-2026-60137 в ядре WordPress: через REST API batch и SQL-инъекцию можно создать привилегированную учётную запись без пароля. Исправления выпущены в 6.8.6, 6.9.5 и 7.0.2, включено принудительное автообновление.

• PHP: CVE-2026-109618 (9.8), патчи в 8.2.35–8.5.12
• Захвачено 300+ Tor exit-нод, пик — 7,46% ёмкости
• WordPress исправлен в 6.8.6, 6.9.5 и 7.0.2