Один из патчей, выпущенный Microsoft в рамках обновлений безопасности за июнь 2017 года, является третьей попыткой компании устранить старую уязвимость, которая использовалась еще червем Stuxnet в 2010 году.
Изначально уязвимость имела идентификатор CVE-2010-2568, она позволяет удаленному злоумышленнику выполнять произвольный код в системе, используя специально созданные файлы ярлыков с расширением LNK или PIF.
CVE-2010-2568 была одной из четырех брешей, используемых в атаках Stuxnet, нацеленных на ядерную программу Ирана. Несмотря на то, что Microsoft исправила ее в августе 2010 года, она остается одной из наиболее используемых уязвимостей.
В 2015 году исследователи обнаружили, что первоначальное решение Microsoft по устранению этой бреши можно обойти, технический гигант следом выпустил еще один патч. Эта проблема уже отслеживалась как CVE-2015-0096 и представляла для Microsoft совершенно новую уязвимость.
Согласно сообщению, опубликованному в четверг Координационным центром CERT, некто обнаружил другой способ обхода патчей Microsoft для этой бреши. Информация о том, кто именно обнаружил новую уязвимость, не предоставляется.
«Исправления для уязвимости CVE-2010-2568 и последующего патча для CVE-2015-0096 оказалось недостаточно, LNK-файлы все еще используют атрибуты SpecialFolderDataBlock и KnownFolderDataBlock для того, чтобы указать местоположение директории. Такие файлы могут обойти белый список, впервые реализованный в патче для CVE-2010-2568» - говорит в CERT.
«Убедив пользователя отобразить специально созданный файл ярлыка, злоумышленник может выполнить произвольный код с привилегиями пользователя. В зависимости от конфигурации операционной системы и конфигурации AutoRun/AutoPlay это может произойти автоматически, при подключении USB-устройства» - также поясняется в сообщении.
CERT также отметил, что с июньскими обновлениями Microsoft исправила новую уязвимость, отслеживаемую как CVE-2017-8464. На данный момент существуют эксплойты, например, Metasploit, для этой бреши и она была использована в реальных атаках.
Помимо патчей от Micosoft, пользователи могут сами принять меры для предотвращения таких атак. Для этого стоит заблокировать исходящие соединения на TCP и UDP-портах 139 и 445.
История PHP2Shell дошла до официальных указаний для российской критической инфраструктуры. Национальный координационный центр по компьютерным инцидентам, действующий при ФСБ России, предписал устранить уязвимости PHP.
Если быстро установить исправления не получается — рассмотреть ограничение внешнего доступа вплоть до отключения серверов.
О письме НКЦКИ от 22 октября сообщил РБК, получивший копию документа. Его подлинность редакции подтвердили три организации-получателя. Указания разосланы через ГосСОПКА.
Обращение касается владельцев объектов критической информационной инфраструктуры (в том числе госорганов, финансовых, энергетических, транспортных, медицинских организаций и операторов связи).
Одной установки патча недостаточно: получателям предписано проверить серверы антивирусом, изучить журналы на предмет следов взлома и сообщать о подозрительных инцидентах в дежурный центр ГосСОПКА.
Повод — CVE-2026-109618 и CVE-2026-109619. Разработчики закрыли их 21 октября в PHP 8.2.35, 8.3.36, 8.4.27 и 8.5.12. Проблема находится в интерпретаторе: обновление одной только CMS её не устраняет.
Свидетельство о регистрации СМИ ЭЛ № ФС 77 - 68398, выдано федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) 27.01.2017 Разрешается частичное использование материалов на других сайтах при наличии ссылки на источник. Использование материалов сайта с полной копией оригинала допускается только с письменного разрешения администрации.
