Уязвимость в Apache Struts позволяет получить полный контроль над веб-сервером

Уязвимость в Apache Struts позволяет получить контроль над веб-сервером

Компания Digital Security, объявила об обнаружении опасной уязвимости в Apache Struts, Java-фреймворке с открытым исходным кодом. Уязвимость была найдена некоторое время назад Такеши Терада(Takeshi Terada) из Mitsui Bussan Secure Directions, а теперь активно эксплуатируется китайскими хакерами.

Как рассказали CNews в компании, фреймворк Apache Struts сегодня очень распространен. Он не только используется для построения крупных веб-сайтов, но и является частью приложений корпоративного уровня. Кроме того, Apache Struts применяется во многих платежных веб-приложениях, включая банк-клиенты. В частности, его используют Qiwi, «Альфа-Банк».

«16 июля было опубликовано описание очень серьезной уязвимости в Struts 2, приводящей к удаленному выполнению произвольного кода на сервере. Уже в последующие дни был создан эксплойт под данную уязвимость, и началась массовая волна атак, в основном из Китая, на различные компании, — сообщили в Digital Security. — По имеющейся информации, нападениям подверглись, например, компании Apple, Nokia и Samsung с отмеченными случаями успешного проникновения. Российские подразделения этих корпораций, а также различные финансовые организации тоже были атакованы».

По словам специалистов Digital Security, основная опасность новой уязвимости Apache Struts в том, что она, во-первых, очень просто эксплуатируется, во-вторых, не требует аутентификации в системе и, главное, ей подвержены все продукты второй ветки Struts, для которых не установлено последнее обновление. Таким образом, если злоумышленник подключится к веб-серверу со Struts 2 без соответствующего патча, он может захватить полный контроль над веб-сервером. «Самое неприятное в том, что процесс поиска и эксплуатации уязвимости уже автоматизирован», — подчеркнули в компании, пишет safe.cnews.ru.

«У многих Java-разработчиков создается ложное представление о безопасности продуктов, написанных на Java. Конечно, в Java внедрены различные механизмы защиты, и уязвимости типа “переполнение буфера” им не опасны. Но многие разработчики даже не представляют, что имеется возможность для эксплуатации уязвимостей в веб-приложении, которые могли бы привести к таким последствиям, как удаленное выполнение произвольного кода на сервере», — указал Алексей Тюрин, директор департамента аудита Digital Security.

Между тем, это далеко не первая такая опасная уязвимость. Например, Медер Кыдыралиев (Meder Kydyraliev) из Google в 2011 г. также нашел несколько уязвимостей в Struts 2, которые приводили к удаленному выполнению кода, отметили в Digital Security. По причине того, что многие компании не осведомлены о возможных проблемах и о том, что существует возможность атаки через уязвимости в фреймворке, злоумышленники могут плавно проникать в системы и закрепляться там.

«Сейчас эксплуатация уязвимостей в Struts не представляет большого труда для продвинутых хакеров. Поэтому необходимо в самом оперативном режиме установить обновления на ваши Struts 2. Перед установкой нужно убедиться, что в вашу систему не было совершено проникновение», — порекомендовал Алексей Тюрин. 

97% компаний в России внедряют ИИ, но 54% не видят его ценности

UserGate изучила, как российские компании внедряют инструменты на базе ИИ и что мешает делать это быстрее. Опрос прошёл в январе 2026 года, в нём участвовали 335 топ-менеджеров компаний с выручкой от 100 млн рублей в год. Картина получилась довольно показательная: 97% компаний уже используют ИИ, тестируют его в пилотах или собираются внедрять в ближайшее время.

То есть искусственный интеллект из разряда «модного тренда» окончательно перешёл в категорию рабочих инструментов.

Чаще всего ИИ применяют для вполне прикладных задач. На первом месте — генерация отчётов и аналитики (42%). Далее идут оптимизация сетевой инфраструктуры (38%), анализ больших массивов логов (37%), ускорение расследований инцидентов (35%) и повышение эффективности Help Desk (32%).

Иными словами, бизнес в первую очередь использует ИИ там, где он помогает сэкономить время и ресурсы или усилить функции безопасности.

Интересно, что приоритеты зависят от масштаба компании. В корпоративном сегменте более 60% респондентов указали анализ больших логов как ключевое направление — что логично при объёмах данных в крупных ИТ-ландшафтах. В среднем бизнесе на первый план выходит оптимизация сетевой инфраструктуры (45%).

При этом 7% компаний пока вообще не рассматривают внедрение ИИ. Главные причины — неясная ценность технологии (54%) и неопределённость рисков (38%). Также среди барьеров называют отсутствие чёткого распределения ответственности (29%), ограниченные бюджеты (29%) и нехватку экспертизы (17%). По сути, речь идёт не столько о скепсисе, сколько о нехватке понимания, как именно внедрять ИИ и как управлять связанными с ним рисками.

Отдельно респондентов спросили, какие технологии окажут наибольшее влияние на кибербезопасность в ближайшие 12 месяцев. Лидером стали ИИ и машинное обучение — их назвали около половины представителей коммерческого и государственного сегментов. Даже те компании, которые пока осторожничают с практическим внедрением, всё равно рассматривают машинное обучение как ключевой фактор трансформации ИБ в среднесрочной перспективе.

Как отмечает руководитель отдела стратегической аналитики UserGate Юлия Косова, бизнес уже активно использует ИИ в операционных и защитных сценариях, но ожидания рынка зачастую опережают текущую практику. Дальнейший эффект, по её словам, будет зависеть от зрелости процессов, качества данных и способности управлять рисками.

RSS: Новости на портале Anti-Malware.ru