7 августа 2026 года Cisco представила выпуск свободного антивирусного инструментария ClamAV 1.5.4 и ClamAV 1.4.6 (ветка ClamAV 1.4 является проектом с долгосрочной поддержкой — LTS). Стабильная версия проекта ClamAV 1.5.0 вышла в октябре 2025 года.
Решение ClamAV перешло в управление Cisco в 2013 году после покупки компании Sourcefire, развивающей решения ClamAV и Snort.
Сборки ClamAV доступны для ПК на Windows, Linux и macOS
Код проекта ClamAV написан на C, C++ и Rust и распространяется на GitHub под лицензией GPLv2. Версия решения 1.5.0 отнесена к категории обычных (не LTS), обновления к которым публикуются как минимум в течение четырёх месяцев после выхода первого релиза следующей ветки. Возможность загрузки базы сигнатур для не-LTS веток также обеспечивается как минимум ещё четыре месяца после выпуска следующей ветки.
Основные изменения и дополнения в ClamAV 1.5.4:
исправлены ранее обнаруженные ошибки и баги, включая:
CVE-2026-20337: исправлена ошибка отслеживания ёмкости каталога ZIP, которая могла приводить к записи за пределы выделенной в куче области при индексировании заголовков локальных файлов;
CVE-2026-20345: исправлена ошибка индексирования при преобразовании имён разделов GPT, которая могла приводить к чтению или записи за пределы выделенной в стеке записи раздела;
CVE-2026-20339: исправлено переполнение целочисленного типа в распаковщике PESpin, которое могло привести к выделению буфера недостаточного размера и последующей записи за его пределы при перестроении PE-файла;
CVE-2026-20338: исправлена обработка прав собственности при слиянии записей каталога ZIP, которая могла привести к недопустимому освобождению памяти при сканировании некорректно сформированного архива;
CVE-2026-20346: исправлено переполнение целочисленного типа в парсере PDF, которое могло привести к сбою при чтении некорректной шестнадцатеричной строки;
CVE-2026-20347: исправлено неопределённое поведение и переполнение целочисленного типа в парсере Mach-O, которые могли привести к сбою при сканировании некорректного файла Mach-O;
CVE-2026-20348: исправлена обработка размера парсера XAR, которая могла запрашивать чрезмерное выделение памяти или превышать лимиты сканирования при декомпрессии некорректного оглавления;
CVE-2025-8088: в библиотеку UnRAR, входящую в состав ClamAV, включено исправление из проекта UnRAR. Исправление отклоняет разделители путей в альтернативных именах потоков данных NTFS, чтобы предотвратить извлечение за пределы временного каталога сканирования ClamAV в Windows.
исправлены проблемы потокобезопасности в команде clamd STATS, которые могли раскрыть память процесса или привести к сбою демона при одновременном выполнении сканирования и запросов STATS. Также исправлена частичная обработка записи в сокет, используемая для больших ответов STATS;
FreeBSD: Восстановлена поддержка безопасных действий перемещения и удаления из карантина с сохранением защиты от состояний гонки при замене пути к исходному коду;
исправлена утечка контекста библиотеки OpenSSL в устаревших вспомогательных функциях хеширования, когда запрошенный дайджест сообщения не может быть получен, например, когда поставщик по умолчанию недоступен в среде с поддержкой FIPS;
обновлена зависимость Rust crossbeam-epoch для решения проблемы, указанной в уведомлении RUSTSEC-2026-0204.
