ЩОДЕННИЙ ОГЛЯД
Node2Shell RCE, непатчений PHP-консультант та недолік Python Pillow
Сьогоднішній брифінг охоплює ризики віддаленого виконання коду в Node.js та Python Pillow, рекомендації щодо конфігурації PHP без патчів та бекдор mesh-мережі, що використовується в Україні.
5 новин2 хв читання
Середовища виконання веб-застосунків та популярні залежності сьогодні виходять на перший план, з новими продемонстрованими векторами виконання коду, що з'являються в бібліотеці зображень Node.js, PHP та Pillow для Python. Організації, що підтримують веб-платформи, повинні проводити аудит цих основних серверних компонентів та оперативно впроваджувати оновлення.
Водночас, цілеспрямовані кібероперації демонструють просунуті тактики стійкості. Зловмисники Sandworm та UAC-0099 використовували новий бекдор mesh-мережі разом із засобами для видалення даних, що підкреслює необхідність моніторингу нетрадиційних каналів командування та управління в критично важливих об'єктах інфраструктури.
Критичний недолік у популярній бібліотеці зображень Pillow у Python дозволяє виконання коду через спеціально створене зображення
Критична вразливість у бібліотеці Pillow у Python (CVE-2026-112900) дозволяє віддалене виконання коду під час обробки зображень EPS. Pillow передає імена файлів до Ghostscript без перевірки, що дозволяє впроваджувати команди через спеціально створені імена файлів. Цю вразливість було виправлено у версії Pillow 13.0.0.
- Чому це важливо
- Pillow широко використовується у веб-застосунках, робочих процесах обробки зображень та конвеєрах машинного навчання, надаючи системам, що обробляють ненадійні зображення, можливість виконання команд.
Хакери, пов'язані з Росією, використали новий бекдор мережі Mesh для руйнівної атаки на Україну.
Російська державна група зловмисників Sandworm співпрацювала з UAC-0099 у руйнівній атаці на українську логістичну фірму. UAC-0099 розгорнула бекдор MATCHWOK та новий бекдор mesh-мережі MythicRatatoskr, які взаємодіяли через Yggdrasil, а потім надавали доступ Sandworm для виконання стирання даних.
- Чому це важливо
- Зловмисники використовують нову інфраструктуру C2 через mesh-мережі, такі як Yggdrasil, щоб уникнути виявлення перед запуском руйнівних стирачів даних.
Дослідники демонструють експлойт Node2Shell RCE на збірці Node.js з використанням спеціально створених даних Brotli.
Дослідники продемонстрували робочий експлойт віддаленого виконання коду Node2Shell проти офіційних збірок Node.js 24.22.0 Linux arm64. Експлойт спрямований на недолік декодера Brotli (CVE-2026-111497), передаючи шкідливі стиснуті дані для запуску довільного коду. Виправлені версії, включаючи Node.js 24.22.1, відхиляють корисне навантаження.
- Чому це важливо
- Програми, що декодують ненадійні стиснуті дані Brotli за допомогою вразливих збірок Node.js, вразливі до віддаленого виконання коду.
PHP попереджає про ще один непатчений RCE через два дні після екстрених патчів PHP2Shell
PHP попереджав про CVE-2026-115560, невиправлену вразливість RCE, яка впливає на налаштування з параметром session.serialize_handler, встановленим на php_binary або php_serialize. Це сталося після екстрених патчів для CVE-2026-109618 та CVE-2026-109619. PHP не випускає екстрений патч і рекомендує вимкнути перебіг завантаження сеансу.
- Чому це важливо
- Веб-застосунки з певними параметрами конфігурації сеансу PHP залишаються вразливими до віддаленого виконання коду до наступного планового оновлення.
HPE виправляє вісім вад RCE максимальної серйозності та обходу автентифікації AOS.
Сторінка підтвердження BleepingComputer доставила виклик безпеці Cloudflare, перешкоджаючи отриманню деталей історії щодо випуску патчу HPE для усунення недоліків AOS.
Основні висновки
- Оновіть Node.js до версії 24.22.1, щоб запобігти віддаленому виконанню коду через недолік декодера Brotli CVE-2026-111497.
- Пов'язані з Росією актори використовували бекдор MythicRatatoskr для зв'язку через мережу Yggdrasil перед атакою з метою видалення даних.