R-Vision назвал три уязвимости сентября, которые уже эксплуатируются в реальных атаках

Аналитики R-Vision по итогам сентября признали трендовыми 13 уязвимостей, четыре из которых выделили как наиболее опасные. Они затрагивают Windows Kerberos, механизм ALPC в Windows, почтовый сервер Zimbra Collaboration Suite и платформу GitLab. Об этом SecPost сообщают в компании.

Как отмечают исследователи, три из четырёх уязвимостей уже эксплуатируются в реальных атаках — в ALPC, Zimbra и GitLab. Все они включены в каталог известных эксплуатируемых уязвимостей CISA (KEV). Четвёртая, в Windows Kerberos, пока не эксплуатируется, но затрагивает в том числе контроллеры домена; Microsoft относит её к категории Exploitation More Likely, то есть считает эксплуатацию более вероятной.

CVE-2026-69676: уязвимость удалённого выполнения кода в Windows Kerberos

Уровень критичности — 8.8, вектор атаки — сетевой. Уязвимость связана с обходом аутентификации в Windows Kerberos с помощью перехвата и повторного воспроизведения данных: сервер принимает повторно отправленные аутентификационные данные как легитимные. Согласно описанию Microsoft, атакующему с минимальными правами достаточно отправить на сервер специально сформированный запрос, чтобы выполнить на нём произвольный код. Затронуты Windows 10, Windows 11 и Windows Server от 2012 до 2025, в том числе контроллеры домена Active Directory.

По данным компании, атак в реальных условиях пока не зафиксировано, но Microsoft относит уязвимость к категории Exploitation More Likely. Исправление вошло в сентябрьские накопительные обновления безопасности Windows.

CVE-2026-85880: уязвимость повышения привилегий в механизме ALPC в Windows

Уровень критичности — 7.8, вектор атаки — локальный. Уязвимость связана с переполнением буфера в динамической памяти в Windows ALPC. Для атаки нужна локальная учётная запись с низкими привилегиями: атакующий, уже выполняющий код в низкопривилегированном AppContainer, может выйти из песочницы и повысить привилегии до SYSTEM. Затронуты Windows 10 и Windows Server 2012, 2012 R2, 2016, 2019 и 2022; Windows 11 и Windows Server 2025 вне угрозы.

Как сообщается, уязвимость эксплуатировалась до выхода исправления, Microsoft присвоила статус Exploitation Detected. 8 сентября 2026 года CISA добавила её в каталог KEV со сроком устранения до 22 сентября. По данным Proofpoint, она используется в наборе эксплойтов BlueMoon как последнее звено цепочки: сначала эксплуатируются две уязвимости Chrome (CVE-2026-85046 и CVE-2026-87491), а CVE-2026-85880 позволяет выйти из процесса-рендерера и получить права SYSTEM. Впервые набор применила группировка TA412 28 августа 2026 года, затем его стали использовать другие киберпреступные группировки. Компиляция DLL с эксплойтом для Windows датируется 2025 годом; по оценке Proofpoint, автор набора переупаковал существовавший инструмент.

CVE-2026-73570 | BDU:2026-12669: уязвимость удалённого выполнения произвольного кода в Zimbra Collaboration Suite

Уровень критичности — 8.9, вектор атаки — сетевой. Уязвимость в компоненте мониторинга zimbra-snmp почтового сервера Zimbra Collaboration Suite (ZCS) позволяет неаутентифицированному злоумышленнику удалённо выполнять произвольный код с правами пользователя zimbra. Для атаки на сервере должны быть активны пакет zimbra-snmp и отправка SNMP-уведомлений. Эксплуатация происходит путём отправки специально сформированной SMTP-команды RCPT TO: вредоносная shell-команда внедряется вместо имени службы в адрес получателя, имитирующий сообщение о смене статуса сервиса. Почтовый сервер записывает этот адрес в журнал /var/log/zimbra.log, служба swatchdog непрерывно мониторит этот лог и, обнаружив строку статуса, передаёт поле с именем службы в shell-скрипт без предварительной валидации и фильтрации, что приводит к выполнению внедрённых команд Linux. Уязвимость затрагивает все версии Zimbra Collaboration Suite до 10.1.20.

Как сообщили в середине августа 2026 года в CERT Polska, уязвимость активно эксплуатируется в реальных атаках. CISA внесло её в каталог KEV, публичные PoC доступны в открытых источниках. По данным PT ESC IR, уязвимость используют ransomware-группировки; на скомпрометированных серверах разворачивается шифровальщик TargetZimbra.

CVE-2026-85706 | BDU:2026-14538: уязвимость чтения произвольных файлов в API GitLab CE/EE

Уровень критичности — 10.0, вектор атаки — сетевой. Критическая уязвимость в Repository Commits API GitLab CE/EE вызвана отсутствием проверки аутентификации и некорректным ограничением путей к файлам, что позволяет неаутентифицированному злоумышленнику читать произвольные файлы на сервере. Проблема вызвана разницей в обработке URL-кодирования между прокси Workhorse и Rails-приложением: Workhorse не распознаёт закодированный сегмент %63ommits как /commits и пропускает POST-запрос, не очищая вредоносный параметр file.path; внутреннее Rails-приложение декодирует этот путь и передаёт запрос обработчику, который читает целевой файл ещё до проверки авторизации. В результате содержимое секретного файла попадает в текст ошибки разбора параметров и возвращается пользователю в ответе 400 Bad Request. Уязвимость затрагивает GitLab CE/EE версий с 18.7 по 18.11.11, с 19.0 по 19.0.8, с 19.1 по 19.1.7, с 19.2 по 19.2.5, а также 19.3.0 и 19.3.1.

Как зафиксировали исследователи watchTowr Intel, через глобальную сеть ловушек наблюдаются активные попытки эксплуатации уязвимости. CISA внесло CVE-2026-85706 в каталог KEV.

В компании отмечают, что в приоритете — своевременное выявление и обновление уязвимых систем; вендоры уже выпустили обновления безопасности, и их применение остаётся первоочередной мерой защиты. В условиях многосистемной корпоративной ИТ-инфраструктуры и десятков и тысяч устройств оперативное выявление и устранение уязвимостей требует автоматизации, и, по результатам одного из исследований компании, всё больше организаций стремятся использовать решения класса Vulnerability Management.