Несколько недавно выявленных опасных уязвимостей, позволяющих получить root-доступ в системе или добиться удалённого выполнения кода.

• 7 уязвимостей в системе управления контейнерами LXD и 11 уязвимостей в форке Incus. Несколько уязвимостей, помеченные как критические, позволяют локальным непривилегированным пользователям изменить любые файлы в системе или выполнить свой код с правами root. Уязвимости устранены в выпусках LXD 6.9, 5.21.8, 5.0.10 и 4.0.14, а также в Incus 7.5.1. Проблемы вызваны некорректной обработкой файловых путей, проблемами при работе с символическими ссылками и отсутствием проверки входных данных в коде для миграции и резервного копирования изолированных окружений или загрузки системных образов:
  • CVE-2026-85526 - перезапись произвольных файлов в системе при обработке резервной копии, содержащей в subvolumes[].path путь к точке монтирования вида "../../../../etc/cron.d".
  • CVE-2026-85185 - запись и удаление произвольных файлов через указание в именах подразделов btrfs путей с "../".
  • CVE-2026-87799 - запись в произвольный файл в системе через подстановку символических ссылок при миграции виртуальных машин.
  • CVE-2026-87798 - выход за пределы базового каталога виртуальной машины при рекурсивной передаче файлов.
  • CVE-2026-86334 - выход за пределы базового каталога при экспортировании образа с внешнего сервера.
  • CVE-2026-86335 - доступ к приватным образам виртуальных машин других пользователей.
  • CVE-2026-97335 - обход ограничений доступа к проектам.
• Уязвимости в системе самодостаточных пакетов Flatpak. Проблемы устранены в выпуске Flatpak 1.18.1. Среди наиболее опасных уязвимостей:
  • CVE-2026-90616 - использование символических ссылок для обхода sandbox-изоляции и получения полного доступа к файловой системе хоста;
  • Повышение привилегий до пользователя root через подстановку символической ссылки (CVE не назначен);
  • CVE-2026-9627 - запись файлов с правами root через манипуляции с файловыми путями;
  • CVE-2026-96275 - запись файлов с правами root через манипуляции с символическими ссылками;
  • CVE-2026-96276 - запись файлов с правами root через подстановку "../" в файловые пути при выполнении команды "flatpak build-init";
  • CVE-2026-96279 - чтение произвольных файлов в основной системе через выставление жёсткой ссылки при извлечении архива OCI.
  • CVE-2026-92162 - доступ к файлам вне базового каталога через подстановку "../" в параметры DeployAppstream.
  • CVE-2026-96280 - переполнение буфера в обработчике дельта-обновлений OCI на 32-разрядных системах.
• Две критические уязвимости в платформе для организации совместной разработки GitLab, позволяющие удалённому аутентифицированному пользователю выполнить свой код на сервере через подстановку специально оформленного регулярного выражения в настройки CI/CD. Уязвимости присутствуют в парсере регулярных выражений и вызваны двойным освобождением памяти (CVE-2026-89078) и целочисленным переполнением (CVE-2026-93577). Проблемы устранены в выпусках GitLab 19.4.1, 19.3.3, 19.2.7.
• Две критические уязвимости в сетевом протоколе, применяемом на узлах децентрализованной платформы совместной разработки Radicle. Первая уязвимость позволяет просматривать данные, которыми обмениваются узлы через мониторинг трафика. Вторая уязвимость даёт возможность подделать идентификатор узла и получить доступ к приватным репозиториям. В комбинации уязвимости позволяют извлекать содержимое любых репозиториев с узлов Radicle.
• Уязвимость в ядре Linux, вызванная обращением к уже освобождённой памяти (use-after-free) из-за состояния гонки в модуле espintcp, применяемом для инкапсуляции протокола ESP (Encapsulating Security Payload) в TCP (ESP-in-TCP, RFC 8229). Проблема устранена в ядре в феврале перед релизом 7.0. Несколько дней назад для уязвимости был создан рабочий эксплиот, позволяющий выполнить код с правами root в системе. Работа эксплоита продемонстрирована в CentOS Stream 9 и Ubuntu 26.04 LTS.
• Критическая уязвимость (CVE-2026-87902) в системе управления контентом WordPress, позволяющая неаутентифицированному посетителю сайта выполнить PHP-код на сервере, через манипуляцию с шаблонами страниц, при наличии на сервере файла pearcmd.php (доступен в официальном docker-образе и в конфигурации cPanel по умолчанию). Проблема также проявляется в форке ClassicPress. Уязвимость активно эксплуатируется злоумышленниками для захвата контроля над сайтами. Исправление выпущено для 25 веток WordPress, начиная с 7.1.2 и заканчивая 4.7.37.
• 7 уязвимостей в OpenVPN, среди которых проблемы, вызванные двойным освобождением памяти (CVE-2026-84471), неверным экранированием спецсимволов при запуске командного интерпретатора (CVE-2026-84256) и однобайтовым переполнением буфера при разборе опций DHCP (CVE-2026-81738). Проблемы устранены в выпуске OpenVPN 2.6.23.
• 8 уязвимостей в пакете NTFS-3G, потенциально позволяющие добиться выполнения кода с правами root при обработке специально оформленных разделов или дисковых образов с ФС NTFS. Все уязвимости вызваны переполнением буфера. Проблемы устранены в версии NTFS-3G 2026.9.18.
• Уязвимость во FreeRDP, позволяющая установить RDP-соединение с сервером без аутентификации. Проблема устранена в выпуске FreeRDP 3.31.0.
• Уязвимость (CVE-2026-87766) в инструментарии для организации работы изолированных окружений Bubblewrap, позволяющая записать файлы за пределы sandbox-окружения во время настройки контейнера через манипуляции с символическими ссылками.
• Опубликован эксплоит к уязвимости в сервере печати CUPS, позволяющий локальному пользователю получить права root в системе через перезапись файла /etc/cups/cups-files.conf (указав этот файл в качестве URI принтера) и замену вызова cups-exec. Обновление CUPS с исправлением пока не выпущено.
• Обращение к уже освобождённой памяти (CVE-2026-42007) в IMAP-сервере Dovecot, позволяющее аутентифицированному пользователю добиться выполнения своего кода на сервере через использование специально оформленного Sieve-скрипта. Уязвимость устранена в выпуске Dovecot 2.4.5.