Лавина опасных уязвимостей накрыла Apache, FreeBSD, ядро Linux и десятки ключевых проектов

Сразу несколько волн обновлений безопасности накрыли ключевые проекты с открытым исходным кодом. В веб-сервере Apache httpd закрыли 20 уязвимостей, и одна из самых тревожных — переполнение буфера в модуле mod_vhost_alias. Атакующий может добиться удалённого выполнения кода, просто отправив HTTP-запрос с непомерно длинным заголовком Host.

Для срабатывания этой атаки на сервере должны быть особым образом настроены директивы VirtualDocumentRoot и увеличен лимит LimitRequestFieldSize. Проблема получила идентификатор CVE-2026-63292. Среди прочих дыр в Apache — обращение к уже освобождённой памяти в mod_rewrite при использовании конструкции %{LA-U:HTTP:...} и в mod_http2, переполнения буфера в mod_charset_lite и при разборе файловых путей на Windows, а также целочисленное переполнение в mod_dav_fs.

Все эти бреши устранены в версии 2.4.69. Операционная система FreeBSD получила патчи для девяти уязвимостей. Одна из них позволяет выполнить код на уровне ядра через манипуляции с системным вызовом semop, а другая — повысить привилегии из-за ошибки в kqueue.

Обнаружены и три способа вырваться за пределы изолированного jail-окружения, а также возможность обрушить ядро, отправив особым образом сформированный сетевой пакет при включённом KTLS. Исправления вошли в обновления для веток FreeBSD 15.1, 15.0, 14.5 и 14.4. Офисные пакеты тоже под ударом.

В LibreOffice закрыли шесть уязвимостей, которые срабатывают при открытии вредоносного документа. Одна из них, CVE-2026-63277, уже имеет публичный эксплоит и ведёт к выполнению кода. Другие позволяют записывать данные в произвольные файлы или красть содержимое локальных документов.

Проблемы исправлены в версиях 26.2.5 и 26.8.0. Схожая уязвимость найдена и в Apache OpenOffice — ошибка в интеграции с Java позволяет выполнить код при открытии документа. Исправление ожидается в версии 4.1.17, которая пока находится на стадии кандидата в релизы.

Сервер печати CUPS пока раскрыл информацию о 14 проблемах с умеренным уровнем опасности, но самые серьёзные уязвимости, позволяющие повысить привилегии и удалённо выполнить код с правами пользователя lp при обращении к подконтрольному злоумышленнику IPP-принтеру, пока скрыты эмбарго. Их список опубликуют позже, чтобы дать дистрибутивам время на подготовку патчей. Все известные проблемы устранены в CUPS 2.4.20.

В ядре Linux закрыли уязвимость, позволяющую вырваться из контейнера в хост-систему. Причина — состояние гонки в реализации сокетов AF_UNIX, которое приводит к обращению к памяти после её освобождения и может быть использовано для выполнения кода на уровне ядра. Проблема получила номер CVE-2026-80521 и уже имеет эксплоит.

Для Debian 13 вышло обновление ядра 6.12.111-1, закрывающее в общей сложности 1313 уязвимостей. В мире веб-разработки серьёзная брешь обнаружена в платформе Next.js. Уязвимость в библиотеке Satori, которая превращает HTML и CSS в SVG, позволяет удалённо и без аутентификации выполнить код на сервере.

Атакующему достаточно отправить запрос на генерацию SVG-изображения, если на сервере есть обработчик для предпросмотра Open Graph-карт. Проблема в неверной обработке escape-символов, позволявшей внедрить тег ‹script› в SVG-разметку, который затем исполнялся на сервере. Уязвимость закрыта в обновлениях Satori и Next.js.

Популярная JavaScript-библиотека handlebars.js, которую еженедельно загружают 50 миллионов раз, также оказалась уязвима. Две проблемы позволяют удалённо выполнить код на сервере при использовании с Node.js, если злоумышленник может подсунуть шаблонизатору заранее сформированные AST-объекты вместо обычных строк. Исправления вошли в версию 4.7.10.

Криптографические библиотеки не остались в стороне. В wolfSSL 5.9.4 устранили 11 уязвимостей, самые опасные из которых дают возможность обойти аутентификацию с помощью поддельных сертификатов. В OpenSSL закрыли 14 проблем, среди которых утечка памяти процесса при согласовании DTLS-соединений и восстановление закрытых ключей через анализ времени выполнения операций при генерации подписей SM2 и brainpoolP384r1.

Обновления вышли для всех поддерживаемых веток OpenSSL. Система самодостаточных пакетов Flatpak получила патчи для шести уязвимостей. Некоторые из них позволяют с правами root удалять или записывать файлы в основной системе, а также отправлять сигналы процессам за пределами изолированного окружения.

Проблемы исправлены в версии 1.18.4. Наконец, для СУБД PostgreSQL опубликован эксплоит, который через специально оформленные значения в функциях levenshtein() и levenshtein_less_equal() позволяет выполнить код на сервере. Уязвимость закрыта во всех поддерживаемых версиях.

А в рамках проекта Lightwell компании IBM и Red Hat выявили и исправили более 400 уязвимостей в открытых Java-библиотеках.