Когда уязвимости присваивают рейтинг выше 9 баллов по шкале CVSS, это уже не дежурное напоминание о цифровой гигиене, а пожарная тревога для системных администраторов. На прошедшей неделе индустрия пережила двойной удар: срочные патчи выпустили Atlassian и Citrix. Под прицелом оказались сетевые шлюзы NetScaler и серверы Jira, Confluence и Bamboo. Обе бреши позволяют атаковать корпоративный периметр без авторизации и уже зафиксированы экспертами в реальных атаках.
Пробитие Data Center через двоеточия: анатомия CVE-2026-21589
Уязвимость в стеке Atlassian (CVE-2026-21589 с оценкой CVSS 9.3) затронула локальные версии Data Center и Server: трекер Jira, базу знаний Confluence, серверы сборки Bamboo, репозитории Bitbucket и каталог Crowd.
Корень проблемы кроется в парсинге путей веб-ресурсов сервлетов. Если запрос содержал последовательность ::, внутренний роутер воспринимал ее как разделитель каталогов (Path Traversal). Это позволяло удаленному неаутентифицированному пользователю читать произвольные файлы с сервера приложения.
Главный вектор угрозы — чтение конфигурационного файла WEB-INF/classes/crowd.properties. Он хранит открытые пароли интеграции с сервером каталогов Crowd, управляющим учетными записями организации. Получив эти секреты, атакующий захватывает права администратора домена, доступ к коду и пайплайнам сборки. VulnCheck уже включил уязвимость в каталог активно эксплуатируемых угроз KEV.
Переполнение буфера в SAML-шлюзах NetScaler: угроза удаленного RCE
Ситуация с сетевыми контроллерами Citrix NetScaler еще острее: уязвимость CVE-2026-107406 получила оценку CVSS 9.5. Для вендора это уже второй экстренный патч за десять дней.
Брешь представляет собой переполнение буфера памяти (CWE-119) в обработчике протокола SAML. Если шлюз настроен как поставщик идентификации (SAML IdP) или шлюз SSO с директивами samlAction или samlIdPProfile, специально сформированный запрос повреждает память демона. Неавторизованный атакующий может вызвать отказ в обслуживании или удаленно выполнить произвольный код (RCE) на сетевом шлюзе.
Временных программных обходных путей нет: закрыть дыру без обновления прошивки нельзя. Безопасными объявлены только свежие сборки 14.1-73.46 и 13.1-64.29.
Постквантовая броня OpenSSH 10.6: упреждающий ответ будущим угрозам
На фоне закрытия брешей важным стратегическим релизом отметилась команда OpenSSH. Версия OpenSSH 10.6 активировала по умолчанию гибридный алгоритм цифровой подписи ssh-mldsa44-ed25519.
Он объединяет эллиптическую криптографию Ed25519 с постквантовым алгоритмом ML-DSA (NIST). Это превентивный ответ на сценарий «Harvest Now, Decrypt Later», когда злоумышленники сохраняют перехваченный зашифрованный трафик в ожидании квантовых мощностей. Кроме того, опция WarnWeakCrypto теперь включена по умолчанию, а алгоритм сжатия LZ77 отключен из-за риска утечек по побочным каналам.
Оперативный регламент: что сделать дежурным инженерам прямо сейчас
Если в инфраструктуре используются уязвимые сервисы, действовать нужно немедленно:
- Изоляция и WAF для Atlassian: закройте доступ к Jira, Confluence и Bamboo извне, убрав их за VPN. На Web Application Firewall настройте блокировку запросов с
::и обращений кcrowd.properties. - Аудит логов и смена паролей: проверьте логи на предмет обращений к сервлетам ресурсов и в обязательном порядке ротируйте мастер-пароли в Crowd.
- Обновление кластеров NetScaler: установите сборки 14.1-73.46 или 13.1-64.29 с поочередным переключением нод высокой доступности (HA failover).