Уязвимости появляются постоянно. Только за сентябрь было опубликовано около 15 тыс. новых CVE. Но далеко не каждая из них доходит до реальной эксплуатации. Выбрали восемь наиболее показательных случаев за последние пару месяцев.

Все указанные в дайджесте уязвимости выявлены в стороннем программном обеспечении: почтовых шлюзах, VPN-решениях, веб-порталах, серверах сборки, системах управления парком устройств, а также в драйверах Windows. Даже при условии высокого качества собственного программного кода инфраструктура организации остается подверженной рискам, обусловленным уязвимостями в используемом стороннем ПО. В этой связи ключевое значение приобретает регулярный учет установленного программного обеспечения и своевременное применение обновлений безопасности.

FortiMail — CVE-2026-104286

CVSS: 9.8 Critical

PoC: опубликован

В FortiMail проблема оказалась в обработке путей к файлам. Через специально сформированный HTTP/HTTPS-запрос неаутентифицированный пользователь может выйти за пределы разрешенного каталога и записать произвольный файл в файловую систему устройства, что в большинстве случаев приравнивается к RCE.

А дальше всё зависит от того, куда удастся записать файл и что сможет сделать система с этим содержимым. Однако для сетевого устройства на внешнем контуре даже такой примитив уже становится серьезной точкой входа.

Zimbra Collaboration Suite — CVE-2026-73570

CVSS: 8.9 High

PoC: опубликован

Цепочкой атаки стал необязательный компонент почтового сервера zimbra-snmp. Злоумышленнику достаточно было отправить специальное письмо на почтовый сервер. Из-за некорректной проверки недоверенных входных данных во время обработки SNMP-уведомлений, не выполняя авторизацию, атакующий получал возможность отправлять специально сформированные SMTP-запросы, которые, в свою очередь, давали ОС произвольные команды от имени пользователя Zimbra. Дальше — уже обычная постэксплуатация.

Citrix NetScaler ADC/Gateway — CVE-2026-88771 и CVE-2026-88772

CVE-2026-88771: CVSS 9.5 Critical

CVE-2026-88772: CVSS 9.5 Critical

PoC: опубликованы (https://github.com/EXEcution-py/CVE-2026-88771-POC, https://github.com/FollowerSeize/CVE-2026-88772-POC)

В NetScaler обнаружили сразу две уязвимости. Каждая позволяет удаленно выполнять код, отличие между ними только в условиях эксплуатации.

CVE-2026-88771 связана с некорректной обработкой входных данных и работает в конфигурации NetScaler по умолчанию. CVE-2026-88772 связана с переполнением памяти и требует включенного DTLS. Получается интересная пара: два разных класса ошибок в одном продукте, но оба могут превратить внешний сетевой интерфейс в точку удаленного выполнения команд.

Microsoft SharePoint Server — CVE-2026-55040

CVSS: 9.1 Critical

PoC: опубликован

Тут атакующему не нужно подбирать пароль или красть чужую сессию. Благодаря CVE-2026-55040 он филигранно, удаленно и без аутентификации может обойти проверку JWT и выдать себя за любого пользователя SharePoint. В основе атаки — несколько ошибок в обработке и проверке токенов.

В результате сервер уже сам считает запрос легитимным. Атакующий может работать от имени выбранного пользователя, в том числе админа, и обращаться к функциям, закрытым для неавторизованных пользователей.

JetBrains TeamCity — CVE-2026-63077

CVSS: 9.8 Critical

PoC: опубликован

TeamCity сам позвал атакующего туда, где тот легко мог выполнять команды. Виной всему уязвимость, связанная с протоколом опроса агентов, через который TeamCity общается с build agents. Неаутентифицированный атакующий отправляет специальный HTTP- или HTTPS-запрос, обходит проверку авторизации и получает возможность выполнять команды с правами процесса TeamCity.

Права у этого процесса могут быть вполне интересные. TeamCity собирает и доставляет ПО, работает с артефактами и хранит настройки и секреты, которые нужны сборкам. Если сервер скомпрометирован, вопрос уже не только в нем самом: можно вмешаться в то, что он собирает и куда потом отправляет.

N-able N-central — CVE-2026-86218

CVSS: 10.0 Critical

PoC: не опубликован

Только N-able выпустила хотфикс для N-central, как на следующий день пришлось выпускать еще один. CVE-2026-86218 нашли уже после предыдущего обновления, причем новую уязвимость успели использовать в атаках еще до ее публичного раскрытия. Для нее выпустили N-central 2026.3 HF4.

Уязвимость была обнаружена в обработке директив, которые сервер сохраняет в статические файлы. Специально сформированный HTTP/HTTPS-запрос позволяет добавить туда произвольные директивы. В итоге, когда N-central обращается к такому файлу, код выполняется на сервере.

К слову, N-central — это система удаленного мониторинга и управления инфраструктурой. То есть скомпрометированный сервер — уже не конечная точка сама по себе: через него можно управлять подключенными к нему системами.

Windows Ancillary Function Driver for WinSock — CVE-2026-68820

CVSS: 7.0 High

PoC: опубликован

Уязвимость выявлена в afd.sys — это системный драйвер Windows, участвующий в работе сетевого стека Winsock. Ошибка типа use-after-free позволяет локальному пользователю повысить привилегии.

То есть это уже следующий шаг после первоначального проникновения: получить доступ к машине недостаточно, нужно превратить обычную учетную запись в более привилегированную и продолжить развитие атаки. Поэтому такую уязвимость полезно держать в одной подборке с удаленными RCE: в реальной атаке они вполне могут оказаться звеньями одной цепочки.

Послесловие

Все CVE из подборки лишний раз демонстрируют одну ставшую уже прописной истину: уязвимость редко существует в инфраструктуре сама по себе.

Почтовый сервер может стать точкой первоначального доступа. VPN-шлюз или коммуникационный сервер — позволить удаленно выполнить вредоносный код, а система удаленного администрирования — открыть дорогу к другим компонентам инфраструктуры. 

Отметим, что для внешних HTTP-сервисов в этом случае есть еще один слой защиты — WAF. Конечно, это не означает, что уязвимости не нужно патчить, но наличие такого продукта в компании может выступать как дополнительный барьер. Решение анализирует HTTP-запросы и в некоторых случаях блокирует известный путь эксплуатации еще до того, как запрос попадет в уязвимое приложение. Такой подход в OWASP называют virtual patching. 

Но в конечном счете принцип остается простым: если уязвимый сервис доступен извне и для него уже появился рабочий способ эксплуатации, рассчитывать только на то, что атакующий его пока не заметил, — плохая ИБ-стратегия.