Несколько на днях выявленных опасных уязвимостей, позволяющих получить root-доступ в системе или добиться удалённого выполнения кода.

• 7 уязвимостей в системах управления контейнерами LXD и 11 уязвимостей в форке Incus. Несколько уязвимостей, помеченные как критические, позволяют локальным непривилегированным пользователям изменить любые файлы в системе или выполнить свой код с правами root. Уязвимости устранены в выпусках LXD 6.9, 5.21.8, 5.0.10 и 4.0.14, а также в Incus 7.5.1. Проблемы вызваны некорректной обработкой файловых путей, проблемами при работе с символическими ссылками и отсутствием проверки входных данных в коде для миграции и резервного копирования изолированных окружений, а также загрузки системных образов:
  • CVE-2026-85526 - перезапись произвольных файлов в системе при обработке резервной копии, содержащей в subvolumes[].path путь к точке монтирования вида "../../../../etc/cron.d".
  • CVE-2026-85185 - запись и удаление произвольных файлов через указание в именах подразделов btrfs путей с "../".
  • CVE-2026-87799 - запись в произвольный файл в системе через подстановку символических ссылок при миграции виртуальных машин.
  • CVE-2026-87798 - выход за пределы базового каталога виртуальной машины при рекурсивной передаче файлов.
  • CVE-2026-86334 - выход за пределы базового каталога при экспортировании образа с внешнего сервера.
  • CVE-2026-86335 - доступ к приватным образам виртуальных машин других пользователей.
  • CVE-2026-97335 - обход ограничений доступа к проектам.
• Две критические уязвимости в платформе для организации совместной разработки GitLab, позволяющие удалённому аутентифицированному пользователю выполнить свой код на сервере через подстановку специально оформленного регулярного выражения в настройки CI/CD. Уязвимости присутствуют в парсере регулярных выражений и вызваны двойным освобождением памяти (CVE-2026-89078) и целочисленным переполнением (CVE-2026-93577). Проблемы устранены в выпусках 19.4.1, 19.3.3, 19.2.7.
• Две критические уязвимости в сетевом протоколе, применяемом на узлах децентрализованной платформы совместной разработки Radicle. Первая уязвимость позволяет просматривать данные, которыми обмениваются узлы через мониторинг трафика. Вторая уязвимость даёт возможность подделать идентификатор узла и получить доступ к приватным репозиториям. В комбинации уязвимости позволяют извлекать содержимое любых репозиториев с узлов Radicle.
• Уязвимость в ядре Linux, вызванная обращением к уже освобождённой памяти (use-after-free) из-за состояния гонки в модуле espintcp, применяемом для инкапсуляции протокола ESP (Encapsulating Security Payload) в TCP (ESP-in-TCP, RFC 8229). Проблема устранена в ядре в феврале перед релизом 7.0. Несколько дней назад для уязвимости был создан рабочий эксплиот, позволяющий выполнить код с правами root в системе. Работа эксплоита продемонстрирована в CentOS Stream 9 и Ubuntu 26.04 LTS.
• Критическая уязвимость (CVE-2026-87902) в системе управления контентом WordPress, позволяющая неутентифицированному посетителю сайта выполнить PHP-код на сервере, через манипуляцию с шаблонами страниц, при наличии на сервере файла pearcmd.php (доступен в официальном docker-образе и в конфигурации cPanel по умолчанию). Проблема также проявляется в форке ClassicPress. Уязвимость активно эксплуатируется злоумышленниками для захвата контроля над сайтами. Исправление выпущено для 25 веток WordPress, начиная с 7.1.2 и заканчивая 4.7.37.
• 7 уязвимостей в OpenVPN, среди которых проблемы, вызванные двойным освобождением памяти (CVE-2026-84471), неверным экранированием спецсимволов при запуске командного интерпретатора (CVE-2026-84256) и однобайтовым переполнением буфера при разборе опций DHCP (CVE-2026-81738). Проблемы устранены в выпуске OpenVPN 2.6.23.
• Уязвимости в системе самодостаточных пакетов Flatpak. Проблемы устранены в выпуске Flatpak 1.18.1. Среди наиболее опасных уязвимостей:
  • использование символических ссылок для обхода sandbox-изоляции и получения полного доступа к файловой системе хоста (CVE-2026-90616);
  • повышение привилегий до пользователя root через подстановку символической ссылки (CVE не назначен);
  • запись файлов с правами root через манипуляции с файловыми путями (CVE-2026-9627);
  • запись файлов с правами root через манипуляции с символическими ссылками (CVE-2026-96275);
  • запись файлов с правами root через подстановку "../" в файловые пути при выполнении команды "flatpak build-init" (CVE-2026-96276);
  • чтение произвольных файлов в основной системе через выставление жёсткой ссылки при извлечении архива OCI (CVE-2026-96279).
  • доступ к файлам вне базового каталога через подстановку "../" в параметры DeployAppstream (CVE-2026-92162).
  • переполнение буфера в обработчике дельта-обновлений OCI на 32-разрядных системах (CVE-2026-96280).
• 8 уязвимостей в пакете NTFS-3G, потенциально позволяющие добиться выполнения кода с правами root при обработке специально оформленных разделов или дисковых образов с ФС NTFS. Все уязвимости вызваны переполнением буфера. Проблемы устранены в версии NTFS-3G 2026.9.18.
• Уязвимость во FreeRDP, позволяющая установить RDP-соединение с сервером без аутентификации. Проблема устранена в выпуске FreeRDP 3.31.0.
• Уязвимость (CVE-2026-87766) в инструментарии для организации работы изолированных окружений Bubblewrap, позволяющая записать файлы за пределы sandbox-окружения во время настройки контейнера через манипуляции с символическими ссылками.
• Опубликован эксплоит к уязвимости в сервере печати CUPS, позволяющий локальному пользователю получить права root в системе через перезапись файла /etc/cups/cups-files.conf (через указание этого файла в качестве URI принтера) и замену вызова cups-exec. Обновление CUPS пока не выпущено.
• Обращение к уже освобождённой памяти (CVE-2026-42007) в IMAP-сервере Dovecot, позволяющее аутентифицированному пользователю добиться выполнения своего кода на сервере через использование специально оформленного Sieve-скрипта. Уязвимость устранена в выпуске Dovecot 2.4.5.