Сегодня в ТОП-5 — две уязвимости Barracuda позволяют получить root-доступ к устройствам, атака на цепочку поставок обновлений cPGuard, уязвимость в APT позволяет выполнять код с правами root, через уязвимости Xen можно выйти из гостевой ВМ и получить контроль над хостом, в OpenSSH обнаружен беспарольный вход в систему.

Две уязвимости Barracuda позволяют получить root-доступ к устройствам

Специалисты Barracuda раскрыли две уязвимости: обход авторизации CVE-2026-116606 (CVSS: 9.3) и внедрение команд CVE-2026-111560 (CVSS: 8.6), совместное использование которых позволяет обойти контроль авторизации и получить root-доступ к устройству. Обход авторизации затрагивает только Email Security Gateway, а внедрение команд — также Application Delivery Controller, Message Archiver, WAF Control Center, Web Application Firewall и Web Security Gateway. Для эксплуатации обеих уязвимостей злоумышленнику необходим сетевой доступ к административному интерфейсу (Admin UI), при этом для обхода авторизации на ESG вводить учётные данные не требуется. Barracuda выпустила патчи для всех затронутых продуктов и рекомендует установить последние прошивки и обновления безопасности.

Атака на цепочку поставок обновлений cPGuard

Компания OPSSHIELD сообщила о компрометации своей инфраструктуры обновлений, которая произошла 2 ноября 2026 года. Неизвестный злоумышленник использовал скомпрометированные учётные данные для доступа к CDN OPSSHIELD и внедрил вредоносный скрипт в канал обновлений cPGuard 5.88.12 – 5.88.19. Скрипт собирал хеши системных паролей, файлы конфигурации базы данных MariaDB/MySQL, историю команд root и SSH-ключи. Атака была обнаружена в течение 12 часов, а исправление с удалением бэкдора включено в cPGuard 5.88.25 и новее. По предварительным данным расследования, злоумышленник успел перехватить информацию как минимум с 32 серверов клиентов. Администраторам следует обновить серверы до cPGuard 5.88.25+ командой cpgcli update –start, а также свериться с IOC, приведёнными в статье.

Уязвимость в APT позволяет выполнять код с правами root

В менеджере пакетов APT для Debian и Ubuntu обнаружена уязвимость CVE-2026-109518, которая позволяет злоумышленнику подменять проверенный пакет собственным вредоносным кодом, выполняемым впоследствии с правами root. Для атаки необходимо, чтобы APT повторял неудачные загрузки, что по умолчанию происходит в современных дистрибутивах Debian и Ubuntu. Атака возможна со стороны любого, кто может изменить HTTP-трафик между APT и сервером пакетов, и использует HTTP-перенаправления и временные ошибки сервера, чтобы заставить APT повторить загрузку и подменить пакет после проверки. Разработчики Debian, Ubuntu и APT выпустили исправления, включая обновления для Ubuntu Pro. Хотя старые версии (Debian 11 и Ubuntu 20.04) уязвимы не по умолчанию, в пользовательских скриптах мог быть включён параметр Acquire::Retries, а все восемь отслеживаемых версий Ubuntu от 14.04 LTS до 26.10 на момент публикации исправлений всё ещё помечались как уязвимые.

Через уязвимости Xen можно выйти из гостевой ВМ и получить контроль над хостом

Специалисты выявили две уязвимости в гипервизоре Xen: CVE-2026-102703 и CVE-2026-102704 (XSA-523). Из-за ошибок кэширования проверок прав при копировании данных между страницами памяти вредоносная гостевая ВМ может читать и записывать память других ВМ на том же хосте, включая dom0. Разработчики XCP-ng и Qubes OS предупреждают, что один скомпрометированный гостевой компьютер может выйти из изоляции и захватить контроль над всем хостом, затронув все поддерживаемые версии и конфигурации. Уязвимости были обнаружены компанией Anthropic с помощью модели Claude. Также о проблеме независимо сообщила команда CodeAnt AI Security Research Team. Все версии Xen, начиная с 4.6, уязвимы, патчи выпущены для исходного кода Xen, XCP-ng 8.3 и Qubes OS 4.3, однако известных способов смягчения последствий нет. В Debian пакет xen уязвим в bookworm, trixie и forky, но исправлен в sid.

В OpenSSH обнаружен беспарольный вход в систему

Alpine Linux сообщили об уязвимости в OpenSSH на базе библиотеки musl libc, которая позволяет обойти аутентификацию. Злоумышленники, получившие сетевой доступ к порту SSH, могут войти без знания пароля в защищённые только SSH-ключом аккаунты на серверах Alpine Linux со стандартным openssh-server. Атака работает, когда sshd проверяет пароли без PAM, включена авторизация по паролю и хотя бы у одной локальной учётной записи задан пароль в виде хеша семейства $5$ или $6$. Из-за особенности musl функция crypt() возвращает «*» для паролей длиной от 257 до 1024 байт, что совпадает с полем аккаунтов без пароля. Уязвимы только серверы OpenSSH на дистрибутивах с musl (Alpine, OpenWrt, Buildroot, Yocto), системы на glibc и с PAM не затронуты. Разработчики OpenSSH исправили ошибку в новой версии 10.6p2, а команда Alpine Linux выпустила исправления с бэкпортированными патчами для всех своих релизов, начиная с версии 3.16.