ЕЖЕДНЕВНАЯ СВОДКА
Node2Shell RCE, неустраненное предупреждение PHP и уязвимость Python Pillow
Сегодняшний брифинг посвящен рискам удаленного выполнения кода в Node.js и Python Pillow, неустраненной ошибке в конфигурации PHP и бэкдору в ячеистой сети, используемому в Украине.
5 новостей2 мин на чтение
Сегодня в центре внимания оказываются среды выполнения веб-приложений и популярные зависимости, при этом в Node.js, PHP и библиотеке изображений Pillow на Python появляются новые векторы выполнения кода. Организации, поддерживающие веб-платформы, должны проводить аудит этих основных серверных компонентов и оперативно применять обновления.
В то же время, целенаправленные кибер-операции демонстрируют развитие тактики обеспечения устойчивости. Злоумышленники, использующие Sandworm и UAC-0099, применяли новый бэкдор в ячеистых сетях наряду с программами для удаления данных, что подчеркивает необходимость мониторинга нетрадиционных каналов управления и контроля в критической инфраструктуре.
Критическая ошибка в популярной библиотеке изображений Pillow для Python позволяет выполнять код с помощью специально созданного изображения.
Критическая уязвимость в библиотеке Pillow для Python (CVE-2026-112900) позволяет удаленно выполнять код при обработке изображений EPS. Pillow передает имена файлов в Ghostscript без проверки, что позволяет внедрять команды с помощью специально созданных имен файлов. Уязвимость была исправлена в версии Pillow 13.0.0.
- Почему это важно
- Pillow широко используется в веб-приложениях, процессах обработки изображений и конвейерах машинного обучения, предоставляя системам, обрабатывающим ненадежные изображения, возможность выполнения команд.
Хакеры, связанные с Россией, использовали новый бэкдор в ячеистой сети для разрушительной атаки на Украину.
Российская государственная хакерская группировка Sandworm в сотрудничестве с UAC-0099 совершила разрушительную атаку на украинскую логистическую компанию. UAC-0099 развернула бэкдор MATCHWOK и новый бэкдор для ячеистой сети MythicRatatoskr, взаимодействующие через Yggdrasil, после чего передала доступ Sandworm для выполнения операции по удалению данных.
- Почему это важно
- Злоумышленники используют новые инфраструктуры управления и контроля (C2) в сетях типа Yggdrasil, чтобы избежать обнаружения перед запуском разрушительных программ для уничтожения данных.
Исследователи продемонстрировали уязвимость удаленного выполнения Node2Shell на сборке Node.js с использованием специально созданных данных Brotli.
Исследователи продемонстрировали работающий эксплойт для удаленного выполнения кода в Node2Shell на официальных сборках Node.js 24.22.0 для Linux arm64. Эксплойт нацелен на уязвимость декодера Brotli (CVE-2026-111497), передавая вредоносные сжатые данные для выполнения произвольного кода. Исправленные версии, включая Node.js 24.22.1, отклоняют полезную нагрузку.
- Почему это важно
- Приложения, декодирующие ненадежные сжатые данные Brotli с использованием уязвимых сборок Node.js, подвержены удаленному выполнению кода.
PHP предупреждает об очередной уязвимости удаленного выполнения кода (RCE) спустя два дня после экстренного обновления PHP2Shell.
PHP предупредил об уязвимости CVE-2026-115560, неустраненной уязвимости удаленного выполнения (RCE), затрагивающей установки с параметром session.serialize_handler, установленным в значение php_binary или php_serialize. Это произошло после экстренных исправлений для CVE-2026-109618 и CVE-2026-109619. PHP не выпускает экстренное исправление и рекомендует отключить отслеживание прогресса загрузки сессий.
- Почему это важно
- Веб-приложения со специфическими параметрами конфигурации сессий PHP остаются уязвимыми для удаленного выполнения кода до следующего планового обновления.
HPE исправила восемь уязвимостей AOS, имеющих максимальную степень серьезности и позволяющих обходить аутентификацию.
На странице проверки BleepingComputer была обнаружена уязвимость безопасности Cloudflare, что помешало получить подробную информацию о выпуске патча HPE для устранения уязвимостей в AOS.
Основные выводы
- Обновите Node.js до версии 24.22.1, чтобы предотвратить удаленное выполнение кода через уязвимость декодера Brotli (CVE-2026-111497).
- Связанные с Россией злоумышленники использовали бэкдор MythicRatatoskr, взаимодействующий через разветвленную сеть Yggdrasil, перед атакой, в результате которой были стерты все данные.