BULETIN ZILNIC
Node2Shell RCE, consultanță PHP fără patch-uri și defecțiune Python Pillow
Briefing-ul de astăzi acoperă riscurile legate de execuția de cod la distanță în Node.js și Python Pillow, un aviz de configurare PHP neactualizat și un backdoor de tip rețea mesh utilizat în Ucraina.
5 știri3 min de citit
Timpii de execuție a aplicațiilor web și dependențele populare ocupă un loc central astăzi, cu vectori de execuție a codului noi demonstrați în Node.js, PHP și biblioteca de imagini Pillow din Python. Organizațiile care întrețin platforme web trebuie să auditeze aceste componente principale ale serverului și să aplice prompt actualizările.
În același timp, operațiunile cibernetice direcționate arată progrese în ceea ce privește tacticile de persistență. Actorii amenințători Sandworm și UAC-0099 au utilizat o nouă rețea de tip mesh backdoor alături de ștergătoare de date, subliniind necesitatea monitorizării canalelor de comandă și control netradiționale din cadrul infrastructurii critice.
O eroare critică în biblioteca populară de imagini Pillow din Python permite executarea de cod prin intermediul unei imagini create special
O vulnerabilitate critică în biblioteca Pillow din Python (CVE-2026-112900) permite executarea de cod la distanță la procesarea imaginilor EPS. Pillow transmite numele fișierelor către Ghostscript fără validare, permițând injectarea comenzilor prin intermediul unor nume de fișiere create special. Defectul a fost remediat în versiunea 13.0.0 de Pillow.
- De ce contează
- Pillow este utilizat pe scară largă în aplicații web, fluxuri de lucru de procesare a imaginilor și conducte de învățare automată, expunând sistemele care procesează imagini nesigure executării comenzilor.
Hackeri cu legături rusești au folosit o nouă rețea de tip backdoor într-un atac distructiv în Ucraina
Grupul de amenințări Sandworm, sponsorizat de statul rus, a colaborat cu UAC-0099 într-un atac distructiv împotriva unei firme de logistică din Ucraina. UAC-0099 a implementat backdoor-ul MATCHWOK și un nou backdoor de rețea mesh, MythicRatatoskr, comunicând prin Yggdrasil înainte de a ceda accesul către Sandworm pentru a executa o ștergere de date.
- De ce contează
- Atacatorii utilizează o infrastructură C2 inovatoare prin rețele mesh precum Yggdrasil pentru a evita detectarea înainte de a lansa ștergătoare de date distructive.
Cercetătorii demonstrează exploatarea RCE Node2Shell pe o versiune Node.js folosind date Brotli create special
Cercetătorii au demonstrat o vulnerabilitate funcțională de execuție de cod la distanță Node2Shell împotriva versiunilor oficiale Node.js 24.22.0 Linux arm64. Exploatarea vizează o eroare a decodorului Brotli (CVE-2026-111497) prin transmiterea de date comprimate malițioase pentru a rula cod arbitrar. Versiunile corectate, inclusiv Node.js 24.22.1, resping sarcina utilă.
- De ce contează
- Aplicațiile care decodează date comprimate Brotli nesigure folosind versiuni Node.js vulnerabile sunt susceptibile la execuția de cod la distanță.
PHP avertizează asupra unui alt RCE nepachetat la două zile după patch-urile de urgență PHP2Shell
PHP a avertizat despre CVE-2026-115560, o vulnerabilitate RCE nepachetată care afectează setările cu session.serialize_handler setat la php_binary sau php_serialize. Aceasta vine după patch-urile de urgență pentru CVE-2026-109618 și CVE-2026-109619. PHP nu emite un patch de urgență și recomandă dezactivarea progresului încărcării sesiunii.
- De ce contează
- Aplicațiile web cu opțiuni specifice de configurare a sesiunii PHP rămân vulnerabile la execuția de cod la distanță până la următoarea actualizare de rutină.
HPE aplică corecții pentru opt defecte RCE de severitate maximă și autentificare care ocolesc defectele AOS
Pagina de verificare a BleepingComputer a generat o provocare de securitate Cloudflare, împiedicând recuperarea detaliilor articolului privind lansarea patch-ului HPE pentru defectele AOS.
Concluzii cheie
- Actualizați Node.js la versiunea 24.22.1 pentru a preveni executarea de cod la distanță prin intermediul defecțiunii decodorului Brotli CVE-2026-111497.
- Actori cu legături cu Rusia au folosit backdoor-ul MythicRatatoskr pentru a comunica prin rețeaua mesh Yggdrasil înainte de un atac de ștergere a datelor.