Уязвимости появляются постоянно. Только за сентябрь было опубликовано приблизительно 15 тыс. новых CVE. Но далеко не каждая из них доходит до реальной эксплуатации. Выбрали восемь наиболее показательных случаев за последние пару месяцев.

Все указанные в дайджесте уязвимости выявлены в стороннем программном обеспечении: почтовых шлюзах, VPN-решениях, веб-порталах, серверах сборки, системах управления парком устройств, а также в драйверах Windows. Даже при условии высокого качества собственного программного кода инфраструктура организации остается подверженной рискам, обусловленным уязвимостями в используемом стороннем ПО. В этой связи ключевое значение приобретает регулярный учет установленного программного обеспечения и своевременное применение обновлений безопасности.

FortiMail — CVE-2026-104286

CVSS: 9.8 Critical

PoC: опубликован

В FortiMail задача оказалась в обработке путей к файлам. Через специально сформированный HTTP/HTTPS-запрос неаутентифицированный потребитель может выйти за пределы разрешенного каталога и записать произвольный файл в файловую систему устройства, что в большинстве случаев приравнивается к RCE.

А дальше всё зависит от того, куда удастся записать файл и что сможет сделать платформа с этим содержимым. Тем не менее для сетевого устройства на внешнем контуре даже такой примитив уже становится серьезной точкой входа.

Zimbra Collaboration Suite — CVE-2026-73570

CVSS: 8.9 High

PoC: опубликован

Цепочкой атаки стал необязательный модуль почтового сервера zimbra-snmp. Злоумышленнику достаточно было отправить специальное письмо на почтовый сервер. В связи с некорректной проверки недоверенных входных данных во время обработки SNMP-уведомлений, не выполняя авторизацию, атакующий получал возможность отправлять специально сформированные SMTP-запросы, которые, в свою очередь, давали ОС произвольные команды от имени пользователя Zimbra. Дальше — уже обычная постэксплуатация.

Citrix NetScaler ADC/Gateway — CVE-2026-88771 и CVE-2026-88772

CVE-2026-88771: CVSS 9.5 Critical

CVE-2026-88772: CVSS 9.5 Critical

PoC: опубликованы (https://github.com/EXEcution-py/CVE-2026-88771-POC, https://github.com/FollowerSeize/CVE-2026-88772-POC)

В NetScaler обнаружили сразу две уязвимости. Каждая позволяет удаленно выполнять код, отличие между ними только в условиях эксплуатации.

CVE-2026-88771 связана с некорректной обработкой входных данных и работает в конфигурации NetScaler по умолчанию. CVE-2026-88772 связана с переполнением памяти и требует включенного DTLS. Получается интересная пара: два разных класса ошибок в одном продукте, но оба могут превратить внешний веб интерфейс в точку удаленного выполнения команд.

Microsoft SharePoint Server — CVE-2026-55040

CVSS: 9.1 Critical

PoC: опубликован

Тут атакующему не нужно подбирать пароль или красть чужую сессию. Благодаря CVE-2026-55040 он филигранно, удаленно и без аутентификации может обойти проверку JWT и выдать себя за любого пользователя SharePoint. В основе атаки — некоторое количество ошибок в обработке и проверке токенов.

В результате хост уже сам полагает запрос легитимным. Атакующий может функционировать от имени выбранного пользователя, в том числе админа, и обращаться к функциям, закрытым для неавторизованных пользователей.

JetBrains TeamCity — CVE-2026-63077

CVSS: 9.8 Critical

PoC: опубликован

TeamCity сам позвал атакующего туда, где тот легко мог выполнять команды. Виной всему уязвимость, связанная с протоколом опроса агентов, через который TeamCity общается с build agents. Неаутентифицированный атакующий отправляет особый HTTP- или HTTPS-запрос, обходит проверку авторизации и получает функция выполнять команды с правами процесса TeamCity.

Права у этого процесса могут быть вполне интересные. TeamCity собирает и доставляет ПО, работает с артефактами и хранит настройки и секреты, которые нужны сборкам. Если сервер скомпрометирован, вопрос уже не только в нем самом: можно вмешаться в то, что он собирает и куда потом отправляет.

N-able N-central — CVE-2026-86218

CVSS: 10.0 Critical

PoC: не обнародован

Только N-able выпустила хотфикс для N-central, как на следующий день пришлось выпускать еще один. CVE-2026-86218 нашли уже после предыдущего обновления, причем новую уязвимость успели использовать в атаках еще до ее публичного раскрытия. Для нее выпустили N-central 2026.3 HF4.

Уязвимость была обнаружена в обработке директив, которые сервер сохраняет в статические файлы. Специально сформированный HTTP/HTTPS-запрос позволяет добавить туда произвольные директивы. В результате, когда N-central обращается к такому файлу, исходник выполняется на сервере.

К слову, N-central — это платформа удаленного мониторинга и управления инфраструктурой. То есть скомпрометированный хост — уже не конечная точка сама по себе: через него можно управлять подключенными к нему системами.

Windows Ancillary Function Driver for WinSock — CVE-2026-68820

CVSS: 7.0 High

PoC: обнародован

Уязвимость выявлена в afd.sys — это системный драйвер Windows, участвующий в работе сетевого стека Winsock. Ошибка типа use-after-free даёт возможность локальному пользователю повысить привилегии.

То есть это уже второй шаг после первоначального проникновения: получить доступ к машине нев достаточной степени, нужно превратить обычную учетную запись в более привилегированную и продолжить развитие атаки. Поэтому такую уязвимость полезно держать в одной подборке с удаленными RCE: в реальной атаке они довольно могут оказаться звеньями одной цепочки.

Послесловие

Все CVE из подборки лишний раз демонстрируют одну ставшую уже прописной истину: уязвимость редко существует в инфраструктуре сама по себе.

Почтовый сервер может стать точкой первоначального доступа. VPN-шлюз или коммуникационный хост — позволить удаленно выполнить вредоносный исходник, а система удаленного администрирования — открыть дорогу к другим компонентам инфраструктуры. 

Отметим, что для внешних HTTP-сервисов в этом случае есть еще один слой защиты — WAF. Конечно, это не означает, что уязвимости не нужно патчить, но наличие такого продукта в компании может выступать как вспомогательный барьер. Решение анализирует HTTP-запросы и в некоторых случаях блокирует известный путь эксплуатации еще до того, как запрос попадет в уязвимое программа. Такой подход в OWASP называют virtual patching. 

Но в конечном счете принцип остается простым: если уязвимый сервис доступен извне и для него уже появился рабочий метод эксплуатации, рассчитывать только на то, что атакующий его пока не заметил, — плохая ИБ-стратегия.