Cisco устранила критическую уязвимость CVE-2026-20045 (CVSS: 8.2), используемую в атаках 0-day. Уязвимость обусловлена некорректной проверкой входных данных, предоставляемых пользователем в HTTP-запросах, и позволяет злоумышленнику удаленно выполнять команды на уровне ОС и повышать привилегии до root. Уязвимость затронула Cisco Unified CM, CM SME, CM IM&P, Unity Connection и Webex Calling и была исправлена в патчах для версий 12,5, 14 и 15. Поскольку обойти эту уязвимость без установки обновлений невозможно, рекомендуется как можно скорее обновить ПО до последней версии.
В конструкторе парсеров binary-parser, который позволяет разработчикам анализировать двоичные данные, была обнаружена уязвимость в системе безопасности CVE-2026-1245 (CVSS: 6.5). Из-за отсутствия очистки пользовательских значений при динамической генерации кода успешная эксплуатация уязвимости может привести к выполнению произвольного кода на JavaScript. Риск возникает только при использовании ненадёжных входных данных для создания определений парсера, что может привести к выполнению кода с привилегиями Node.js. Уязвимость затрагивает все версии модуля до 2.3.0. Рекомендуется обновиться до версии 2.3.0 и избегать передачи пользовательских значений в имена полей парсера или параметры кодирования.
GitLab выпустил исправления для нескольких серьезных уязвимостей. Уязвимость CVE-2026-0723 (CVSS: 7.4) позволяет обойти двухфакторную аутентификацию, отправляя жертве поддельные ответы устройства. С помощью двух других — CVE-2025-13927 (CVSS: 7.5) и CVE-2025-13928 (CVSS: 7.5) — неавторизованные пользователи могут вызывать отказ в обслуживании, используя специально сформированные запросы с некорректными данными аутентификации и ошибки проверки авторизации в конечных точках API. Также устранены уязвимости средней критичности — CVE-2025-13335 (CVSS: 6.5) и CVE-2026-1102 (CVSS: 5.3), которые могут привести к отказу в обслуживании через некорректно сформированные Wiki-документы и запросы на аутентификацию SSH. Администраторам рекомендуется обновиться до последней версии.
Специалисты Dr.Web обнаружили новое семейство Android-троянов, которое использует TensorFlow.js для автоматического обнаружения рекламы и кликов по ней с помощью машинного обучения. Вредоносное ПО распространяется через официальный магазин приложений, сторонние сайты, а также Telegram-каналы и Discord-серверы, маскируясь под популярные игры и модифицированные приложения. Поскольку активность вредоносных компонентов происходит в скрытом режиме и остаётся незаметной для пользователей, она может нанести существенный вред: превратить смартфон в бота для DDoS-атак, использовать его для мошенничества или рассылки спама, а также красть персональные данные и информацию об устройстве. Рекомендуется быть осторожнее с загрузками приложений со сторонних сайтов, а также использовать антивирусное ПО для своевременного обнаружения и блокировки угроз.
В утилите Linux telnet GNU InetUtils (telnetd) обнаружена критическая уязвимость CVE-2026-24061 (CVSS: 9.8), которая существует с мая 2015 года и затрагивает все версии с 1.9.3 по 2.7. Уязвимость предоставляет злоумышленнику root-доступ. Это достигается путем обхода удаленной аутентификации с использованием параметра «-f root» для переменной среды USER при подключении через «telnet -a», так как система интерпретирует это как системный флаг. Для защиты рекомендуется установить последние обновления, ограничить доступ к порту telnet или отключить сервер telnetd.
