- CVE-2026-86218: очередная уязвимость RCE без необходимости аутентификации в N-able N-central, которая активно эксплуатируется
- Жизнь на грани: новые риски для устройств сетевого периметра
- Три уязвимости в Citrix NetScaler ADC и Gateway активно эксплуатируются
- Две новые уязвимости SonicWall SMA1000 добавлены в каталог CISA KEV
- CVE-2025-25249: активная эксплуатация Fortinet FortiOS
- CVE-2026-94127: уязвимость OAuth в F5 BIG-IP APM, которая активно эксплуатируется, позволяет RCE без аутентификации
- Критические уязвимости в продуктах безопасности Check Point включают две, которые активно эксплуатируются
- Adobe Commerce / Magento: две активно эксплуатируемые уязвимости CVE позволяют удаленное выполнение кода PHP и захват учетных записей клиентов
- CVE-2026-28326: жестко закодированный ключ в SolarWinds Access Rights Manager позволяет удаленное выполнение кода (RCE) без аутентификации
- Ivanti исправляет шесть критических уязвимостей в Neurons ITSM
- Вывод
Широко распространенное и бесконтрольное накопление долга по безопасности в корпоративных IT происходит ускоренными темпами. Хотя показатели впечатляют, необходимо учитывать, что регулярное сканирование, упорядоченная приоритизация и своевременная установка исправлений остаются базовым способом предотвращения эксплуатации программных недостатков злоумышленниками. При условии применения хорошо скоординированных программ по безопасности управление уязвимостями представляет собой устойчивый процесс. С другой стороны, в отдельных случаях возникает необходимость повысить уровень зрелости процессов управления уязвимостями, чтобы неустраненные угрозы не привели к катастрофическим последствиям.
Ниже приведены проблемы с высоким уровнем риска для корпоративных IT, возникшие в сентябре 2026 года.
CVE-2026-86218: очередная уязвимость RCE без необходимости аутентификации в N-able N-central, которая активно эксплуатируется
- CVSS: 9.8 (Критическая)
- EPSS: 12.9% (96-й)
- Статус: активно эксплуатируется
- CISA KEV: внесена в каталог
- PoC: доступен публичный эксплойт (Proof of Concept)
CVE-2026-86218 (CVSS 9.8, EPSS ≥ 96th pctl) – это критическая уязвимость удаленного выполнения кода (RCE) без необходимости аутентификации в N-able N-central до версии 2026.3.1.14. Первопричиной является ненадлежащая нейтрализация директив в статически сохраненном коде [CWE-96]. Уязвимость CVE-2026-86218 добавлена в каталог CISA KEV. Наличие детального технического анализа, модуля Metasploit и как минимум еще одного публичного эксплойта (PoC) дополнительно повышает риск текущих атак.
В прошлом месяце уязвимости N-central также дважды попадали в каталог CISA KEV, а в 2025 году о них дважды предупреждали в блоге Greenbone[1][2]. Риск является высоким, поскольку N-central – это платформа удаленного администрирования, используемая внутренними IT-отделами и поставщиками управляемых услуг (MSP). Компрометация сервера N-central создает угрозу для всех управляемых клиентских сред.
Поставщик выпустил исправление для CVE-2026-86218 в версии 2026.3 HF4 (сборка 2026.3.1.14). Рекомендуется проверить уровень установленных обновлений, поскольку 2026.3 HF3 была выпущена всего за несколько дней до этого для устранения CVE-2026-86206 и CVE-2026-86207. Считается, что CVE-2026-86206 эксплуатируется в реальных условиях. Previdian сообщает об эксплуатации CVE-2026-86207 против своих сенсоров; также доступен подробный технический анализ. OPENVAS ENTERPRISE FEED содержит удаленную проверку по баннеру службы для CVE-2026-86218, а также отдельную удаленную проверку баннера и активную проверку, охватывающие CVE-2026-86206 и CVE-2026-86207.
Жизнь на грани: новые риски для устройств сетевого периметра
Согласно последнему отчету Verizon DBIR 2026, эксплуатация публично доступных программных уязвимостей сейчас является наиболее распространенным вектором начального доступа в мире. Решение OPENVAS SCAN версии Enterprise от Greenbone демонстрирует высокую эффективность в обнаружении уязвимостей периметра с помощью как сетевого сканирования, так и аутентифицированного сканирования на уровне хоста. В сочетании с OPENVAS ENTERPRISE FEED возможности обнаружения от Greenbone соответствуют самым высоким стандартам отрасли. Ниже приведены некоторые из наиболее критических угроз для устройств периметра, возникшие в сентябре 2026 года.
Три уязвимости в Citrix NetScaler ADC и Gateway активно эксплуатируются
В сентябре в каталог CISA KEV были добавлены три CVE, влияющие на Citrix NetScaler ADC и NetScaler Gateway. Информация о CVE-2026-88771 (CVSS 9.8) и CVE-2026-88772 (CVSS 8.1) была опубликована в конце сентября; CVE-2026-19490 (CVSS 9.8) – в октябре 2026 года. В открытом доступе есть несколько подробных технических описаний, касающихся одной или нескольких из этих уязвимостей, а также общедоступные эксплойты PoC.
CVE-2026-88771
- CVSS: 9.8 (Критическая)
- EPSS: 1.1% (63-й)
Уязвимость ненадлежащей проверки входных данных [CWE-20] делает возможным произвольное удаленное выполнение кода (RCE) без аутентификации. Все развертывания NetScaler ADC и NetScaler Gateway уязвимы в стандартной конфигурации.
CVE-2026-19490
- CVSS: 9.8 (Критическая)
- EPSS: 8.0% (95-й)
Обход аутентификации с использованием альтернативного пути [CWE-288] позволяет удаленному неаутентифицированному злоумышленнику оказывать воздействие на устройства.
Для возможности эксплуатации необходимо, чтобы устройство было настроено как шлюз или виртуальный сервер AAA, а для некоторых более поздних затронутых сборок также должно быть настроено действие SAML. Практическое влияние зависит от конфигурации: злоумышленник может вызвать условия DoS или, на уязвимом шлюзе, потенциально получить анонимную аутентифицированную VPN-сессию с доступом ко внутренней сети организации.
CVE-2026-88772
- CVSS: 8.1 (Высокая)
- EPSS: 1.3% (69-й)
Уязвимость переполнения памяти [CWE-119], позволяющая удаленное выполнение кода (RCE) или создание условий отказа в обслуживании (DoS). Возможность эксплуатации зависит от активации DTLS, что включено по умолчанию в развертываниях VPN vServer.
Уязвимые версии приведены ниже:
| CVE | Уязвимые версии | Исправленные версии |
| CVE-2026-88771 | – NetScaler ADC и Gateway 14.1 до 14.1-73.37 – NetScaler ADC и Gateway 13.1 до 13.1-64.23 – NetScaler ADC FIPS до 14.1-73.37 – NetScaler ADC FIPS и NDcPP до 13.1-37.279 | – NetScaler ADC и Gateway 14.1-73.37 и новее – NetScaler ADC и Gateway 13.1-64.23 и новее – NetScaler ADC 14.1-FIPS 14.1-73.37 FIPS и новее – NetScaler ADC 13.1-FIPS и 13.1-NDcPP 13.1.37.279 и новее |
| CVE-2026-19490 | – NetScaler ADC и Gateway 14.1 до 14.1-73.32 – NetScaler ADC и Gateway 13.1 до 13.1-63.21 – NetScaler ADC FIPS до 14.1-73.32 – NetScaler ADC FIPS и NDcPP до 13.1-37.277 | – NetScaler ADC и Gateway 14.1-73.32 и новее – NetScaler ADC и Gateway 13.1-63.21 и новее – NetScaler ADC 14.1-FIPS 14.1-73.32 FIPS и новее – NetScaler ADC 13.1-FIPS и 13.1-NDcPP 13.1-37.277 и новее |
| CVE-2026-88772 | – NetScaler ADC и Gateway 14.1 до 14.1-73.37 – NetScaler ADC и Gateway 13.1 до 13.1-64.23 – NetScaler ADC FIPS до 14.1-73.37 – NetScaler ADC FIPS и NDcPP до 13.1-37.279 | – NetScaler ADC и Gateway 14.1-73.37 и новее – NetScaler ADC и Gateway 13.1-64.23 и новее – NetScaler ADC 14.1-FIPS 14.1-73.37 FIPS и новее – NetScaler ADC 13.1-FIPS и 13.1-NDcPP 13.1.37.279 и новее |
Поставщик не предоставил никаких обходных решений. Пользователям уязвимых систем рекомендуется выполнить обновление до соответствующей исправленной сборки, как описано выше. Сразу после раскрытия информации об уязвимостях в OPENVAS ENTERPRISE FEED была добавлена удаленная проверка версии баннера для CVE-2026-88771 и CVE-2026-88772, а также отдельная удаленная проверка баннера и активная проверка для CVE-2026-19490.
Две новые уязвимости SonicWall SMA1000 добавлены в каталог CISA KEV
Компания SonicWall подтвердила, что две новые уязвимости SMA1000, описанные ниже, активно эксплуатируются в реальных условиях.
CVE-2026-83548
- CVSS: 10 (Критическая)
- EPSS: 8.8% (95-й)
Уязвимость SSRF до прохождения аутентификации [CWE-918] в интерфейсе Appliance Work Place, вызванная наличием непреднамеренного альтернативного пути доступа. Удаленный неаутентифицированный злоумышленник может получить несанкционированный доступ к критическому функционалу и выполнять несанкционированные операции.
CVE-2026-83549
- CVSS: 7.8 (Высокая)
- EPSS: 10.8% (96-й)
Уязвимость инъекции команд ОС [CWE-78] в консоли Appliance Management Console (AMC) позволяет удаленному аутентифицированному злоумышленнику с учетными данными администратора выполнять произвольные команды ОС на уязвимом устройстве.
Эксплуатацию этих двух уязвимостей можно объединить в цепочку для достижения RCE без необходимости аутентификации на уязвимых устройствах. Доступен модуль Metasploit, охватывающий эту цепочку эксплуатации. Компания SonicWall выпустила комбинированное обновление безопасности в SNWLID-2026-0016. В течение нескольких часов после обнародования информации в OPENVAS ENTERPRISE FEED была добавлена удаленная проверка баннера, охватывающая обе CVE.
| Продукты | Уязвимые версии | Исправленные версии |
| SonicWall SMA1000 (6210, 7210, 8200v) | – 12.4.3-03453 и предыдущие – 12.5.0-02835 и предыдущие | – 12.4.3-03526 – 12.5.0-02952 |
CVE-2025-25249: активная эксплуатация Fortinet FortiOS
- CVSS: 9.8 (Критическая)
- EPSS: 3.9% (90-й)
- Статус: активно эксплуатируется
- CISA KEV: внесена в каталог
CVE-2025-25249 (CVSS 9.8, EPSS ≥ 90th pctl), опубликованная в январе 2026 года, является уязвимостью переполнения буфера в куче [CWE-122] в демоне cw_acd от Fortinet. cw_acd – это демон контроллера доступа CAPWAP (Control and Provisioning of Wireless Access Points) от Fortinet. Уязвимый путь доступен через сеть, а эксплуатация позволяет произвольное удаленное выполнение кода (RCE) без аутентификации на уязвимых устройствах FortiOS, FortiSwitchManager и FortiSASE. В FortiOS настройка интерфейса set allowaccess fabric активирует сервис Security Fabric Connection, который содержит FortiTelemetry и конечную точку CAPWAP.
CVE-2025-25249 эксплуатируется в реальных условиях с июля 2026 года, а в сентябре CISA добавила эту уязвимость в свой каталог KEV. Этот недостаток использовался для развертывания PivotC2 – нового штамма вредоносного программного обеспечения на базе Node.js – против как минимум 178 подтвержденных целей.
| Продукт | Уязвимые версии | Исправленные версии |
| FortiOS | – от 7.6.0 до 7.6.3 включительно – от 7.4.0 до 7.4.8 включительно – от 7.2.0 до 7.2.11 включительно – от 7.0.0 до 7.0.17 включительно – 6.4 (все версии) | – 7.6.4 – 7.4.9 – 7.2.12 – 7.0.18 |
| FortiSwitchManager | – от 7.2.0 до 7.2.6 включительно – от 7.0.0 до 7.0.5 включительно | – 7.2.7 – 7.0.6 |
| FortiSASE | – 25.2.b – 25.1.a.2 | – 25.2.c – 25.1.b |
Fortinet отмечает, что влияние проблемы можно смягчить путем отмены доступа к fabric для каждого интерфейса или запрета доступа к демону CAPWAP. Рекомендуется проверить уровень открытости систем к этой угрозе и применить обходное решение или обновить уязвимые устройства до новейших исправленных версий. Для устройств, на которых используется FortiOS версии 6.4, необходимо осуществить переход на ветку релизов с исправлениями. Сразу после раскрытия информации в OPENVAS ENTERPRISE FEED от Greenbone было добавлено обнаружение на уровне пакетов для CVE-2025-25249 в FortiOS. ENTERPRISE FEED также содержит регулярные проверки для обнаружения новых уязвимостей, влияющих на продукты Fortinet.
CVE-2026-94127: уязвимость OAuth в F5 BIG-IP APM, которая активно эксплуатируется, позволяет RCE без аутентификации
- CVSS: 9.8 (Критическая)
- EPSS: 2.2% (82-й)
- Статус: активно эксплуатируется
- CISA KEV: внесена в каталог
CVE-2026-94127 (CVSS 9.8, EPSS ≥ 82nd pctl) является критическим переполнением буфера в куче [CWE-122], влияющим на F5 BIG-IP APM. Этот недостаток позволяет произвольное RCE без аутентификации и полную компрометацию системы на затронутых устройствах. Возможность эксплуатации зависит от настройки политики доступа APM и профиля OAuth на одном и том же виртуальном сервере. Развертывания, использующие APM только в качестве клиента OAuth или сервера ресурсов, не подвержены влиянию.
Цепочка атаки предполагает отправку чрезмерно большого заголовка Authorization: Bearer к конечной точке OAuth, такой как /f5-oauth2/v1/userinfo. Компания F5 подтвердила активную эксплуатацию в реальных условиях, а сама уязвимость была добавлена в каталог CISA KEV. Кроме того, watchTowr Labs опубликовала техническое описание с деталями эксплуатации.
Для клиентов с договором о поддержке F5 предоставляет официальное обходное решение на базе iRule. Другие средства временного смягчения проблемы включают ограничение доступа к конечным точкам OAuth с помощью белых списков IP-адресов или правил межсетевого экрана веб-приложений (WAF), а также отключение сервера авторизации OAuth, если он не используется. OPENVAS ENTERPRISE FEED содержит обнаружение на уровне пакетов для CVE-2026-94127 в F5 BIG-IP APM, а также регулярное обнаружение уязвимостей, влияющих на продукты F5. Уязвимые версии и соответствующие хотфиксы (hotfix) приведены ниже:
| Уязвимые версии | Хотфиксы |
| 17.1.0 до Hotfix-BIGIP-17.1.3.5.0.41.14-ENG | 17.1.0 Hotfix-BIGIP-17.1.3.5.0.41.14-ENG |
| 17.5.0 до Hotfix-BIGIP-17.5.1.9.0.160.12-ENG | 17.5.0 Hotfix-BIGIP-17.5.1.9.0.160.12-ENG |
| 21.1.0 до Hotfix-BIGIP-21.1.0.2.0.30.22-ENG | 21.1.0 Hotfix-BIGIP-21.1.0.2.0.30.22-ENG |
Критические уязвимости в продуктах безопасности Check Point включают две, которые активно эксплуатируются
Компания Check Point сообщила об активной эксплуатации двух критических недостатков: CVE-2026-85102 (CVSS 9.8, EPSS ≥ 94th pctl), который влияет на обработку сертификатов VPN в Check Point Quantum Security Gateway и Spark Firewall, и CVE-2026-93616 (CVSS 9.8, EPSS ≥ 97th pctl) в веб-сервисе управления Check Point. Обе проблемы были добавлены в каталог CISA KEV. В сентябре были раскрыты еще две критические уязвимости: CVE-2026-85103 (CVSS 9.8, EPSS ≥ 89th pctl) и CVE-2026-91843 (CVSS 9.8, EPSS ≥ 42nd pctl), влияющие на компоненты VPN и плоскости управления.
Атаки на клиентов Spark с анонимизированных IP-адресов фиксировались по всему миру. По данным Check Point, активность после эксплуатации включала сканирование внутренних портов и сервисов. Хотя Security Management and Log Server не является непосредственно сетевым сервисом периметра, система Censys обнаружила 3836 общедоступных экземпляров в глобальном масштабе.
CVE-2026-85102
- CVSS: 9.8 (Критическая)
- EPSS: 7.5% (94-й)
Ненадлежащее доверие к сертификату [CWE-295] во время согласования соединения VPN в Check Point Quantum Security Gateway позволяет удаленному неаутентифицированному злоумышленнику выполнять произвольный код на шлюзе.
CVE-2026-93616
- CVSS: 9.8 (Критическая)
- EPSS: 19.7% (97-й)
Уязвимость обхода каталога [CWE-22] позволяет неаутентифицированному злоумышленнику загружать и выполнять произвольные скрипты на сервере Check Point Management Server.
CVE-2026-85103
- CVSS: 9.8 (Критическая)
- EPSS: 3.7% (89-й)
Уязвимость переполнения буфера в куче [CWE-122] при декодировании ASN.1 сертификата VPN позволяет удаленному неаутентифицированному злоумышленнику выполнять произвольный код в системах Check Point Quantum Security Management и Quantum Security Gateway.
CVE-2026-91843
- CVSS: 9.8 (Критическая)
- EPSS: 0.5% (42-й)
Уязвимость переполнения стека [CWE-121] во время процесса входа позволяет удаленному неаутентифицированному злоумышленнику выполнять произвольный код с правами root.
OPENVAS ENTERPRISE FEED содержит удаленную проверку баннера, охватывающую CVE-2026-85102 и CVE-2026-85103, а также отдельные удаленные проверки баннера для CVE-2026-93616 и CVE-2026-91843. Организациям, использующим уязвимые продукты Check Point, рекомендуется предоставить приоритет исправлению доступных из интернета систем VPN и управления, сосредоточив максимальное внимание на двух уязвимостях, подвергающихся активной эксплуатации.
Adobe Commerce / Magento: две активно эксплуатируемые уязвимости CVE позволяют удаленное выполнение кода PHP и захват учетных записей клиентов
Компания Adobe раскрыла информацию о двух проблемах критического уровня серьезности в Adobe Commerce и Magento Open Source. Уязвимость CVE-2026-75650 (CVSS 10, EPSS ≥ 90-й pctl), получившая название «StyleSmuggler», является недостатком движка шаблонов [CWE-1336], который делает возможным произвольное RCE без аутентификации. Второй критический недостаток, CVE-2026-71362 (CVSS 9.1, EPSS = 100-й pctl), представляет собой проблему некорректной авторизации [CWE-863], позволяющую повышение привилегий. По сообщению Adobe, CVE-2026-75650 эксплуатируется в реальных условиях. Обе CVE были добавлены в каталог CISA KEV и отмечены для проведения первичной криминалистической сортировки.
Компания Sansec сообщила, что эксплуатация StyleSmuggler начинается с неаутентифицированного запроса к конечной точке GraphQL платформы Magento. Используя специально сформированный HTTP-запрос, злоумышленник может незаметно передать вредоносный PHP-код через заголовки и параметры HTTP в цепочку обработки шаблонов. Этот вредоносный PHP-код впоследствии выполняется во время автоматического рендеринга электронных писем. Также в Sansec отметили, что уязвимость CVE-2026-71362 позволяет злоумышленникам переключать сессию клиента на учетную запись другого пользователя, что предоставляет им доступ к конфиденциальным данным клиентов.
В OPENVAS ENTERPRISE FEED добавлены отдельные удаленные проверки баннера для обнаружения CVE-2026-75650 и CVE-2026-71362 в системах Adobe Commerce и Magento Open Source. Уязвимость CVE-2026-71362 разработчики устранили с помощью обновления безопасности APSB26-138. Впоследствии для недостатка CVE-2026-75650 (StyleSmuggler) специалисты Adobe выпустили срочное исправление VULN-39341. Оба обновления нужно применять с учетом уязвимой ветки релизов. Кроме того, компания рекомендует выполнить ротацию раскрытых ключей шифрования, секретов OAuth, токенов для сторонних расширений, платежных реквизитов и других привилегированных учетных данных.
CVE-2026-28326: жестко закодированный ключ в SolarWinds Access Rights Manager позволяет удаленное выполнение кода (RCE) без аутентификации
- CVSS: 8.8 (Высокая)
- EPSS: 0.7% (51-й)
Уязвимость CVE-2026-28326 (CVSS 8.8) позволяет удаленное выполнение кода (RCE) без аутентификации в SolarWinds Access Rights Manager версий до 2026.2.1. Первопричиной проблемы является жестко заданный статический ключ [CWE-321], а успешная эксплуатация приводит к полной компрометации устройства. В открытом доступе уже появились определенные технические детали, которые могут способствовать разработке эксплойтов. Сервис gRPC продукта ARM, работающий на порту TCP 55555, некорректно обрабатывает отсутствие клиентского сертификата во время TLS-аутентификации – вместо отказа он перенаправляет запрос на резервный механизм. Этот обходной путь принимает токен HMAC, сгенерированный с помощью жестко закодированного секрета, благодаря чему злоумышленник может пройти аутентификацию вообще без сертификата.
Решение Access Rights Manager (ARM) применяют для предоставления, отзыва, аудита и управления правами доступа пользователей к системам, файлам и данным в корпоративных сетях (в том числе в Microsoft Active Directory, Exchange и SharePoint). Поскольку продукт играет ключевую роль в администрировании доступа, установка исправления для CVE-2026-28326 имеет критическое значение – особенно если ARM доступен с ненадежных IP-адресов.
OPENVAS ENTERPRISE FEED содержит удаленную проверку баннера на наличие CVE-2026-28326 в SolarWinds ARM. Недостаток касается Access Rights Manager 2026.2 и всех предыдущих релизов. Если систему невозможно обновить немедленно, SolarWinds настоятельно рекомендует закрыть публичный доступ к ARM из интернета и ограничить подключение только доверенными IP-адресами. Для полноценного устранения угрозы пользователям следует как можно скорее перейти на исправленную версию 2026.2.1.
Ivanti исправляет шесть критических уязвимостей в Neurons ITSM
Компания Ivanti раскрыла информацию о восьми новых уязвимостях CVE в Neurons for ITSM (версии до 2026.2); все они допускают удаленное выполнение кода (RCE) на сервере. Шесть из них имеют критический уровень серьезности. Две проблемы можно эксплуатировать без предварительной аутентификации, тогда как остальные требуют аутентифицированного доступа. В число этих CVE вошли недостатки некорректной десериализации [CWE-502] и отсутствия авторизации [CWE-862]. Хотя на данный момент нет свидетельств эксплуатации в реальных условиях, продукты Ivanti остаются популярной целью для кибератак, в частности с применением программ-вымогателей.
Администраторы и IT-персонал используют Ivanti Neurons for ITSM для управления сервисными запросами, инцидентами, проблемами и изменениями. Успешная эксплуатация предоставляет злоумышленникам возможность манипулировать данными service-desk, учетными данными и интеграциями, а также потенциально продвигаться дальше в IT-сеть организации.
Список уязвимых версий и соответствующих исправлений приведен ниже:
| Тип развертывания | Уязвимые версии | Статус исправления |
| Ivanti ITSM On-premises | 2025.2, 2025.3, 2025.4, 2026.1 | Примените обновление безопасности за сентябрь 2026 года для соответствующей ветки релизов |
| Ivanti ITSM On-premises (выпуск от 21 сентября 2026 г.) | 2026.2 | Не уязвима |
В рекомендациях по безопасности от поставщика отмечается, что клиенты облачной версии уже защищены, однако администраторам локальных систем необходимо применить соответствующий патч для устранения угрозы. Сразу после раскрытия информации в OPENVAS ENTERPRISE FEED добавили удаленную проверку баннера, которая охватывает все упомянутые выше CVE в среде Ivanti Neurons for ITSM.
Вывод
В сентябре критические недостатки в корпоративных IT-продуктах росли очень быстро. Выявленные критические недостатки в решениях N-able N-central, Citrix NetScaler, SonicWall, Fortinet, F5, Check Point, Adobe Commerce и Ivanti Neurons ITSM демонстрируют стабильно высокий уровень угроз для систем, открытых в интернет. Хотя эти цифры впечатляют, специалистам по кибербезопасности необходимо сохранять бдительность. Регулярное сканирование, упорядоченная приоритизация и своевременная установка исправлений остаются наиболее действенным методом противодействия злоумышленникам, пытающимся эксплуатировать программные недостатки.
