R-Vision перечислила опасные уязвимости октября помимо PHP

Уязвимость GitLab CE/EE CVE-2026-110264 связана с целочисленным переполнением в движке регулярных выражений Onigmo, который входит в состав продукта. Ей присвоен CVSS 10. По оценке Censys, возможный путь атаки — отображение файлов Org-mode в публичных проектах. На 27 октября эксплуатацию в реальных атаках не зафиксировали, а публичного эксплойта для выполнения кода нет. Исправления выпущены 21 октября 2026 года; GitLab Dedicated уже защищен.

В Windows Shell уязвимость CVE-2026-96951 позволяет обойти Mark of the Web — метку, по которой SmartScreen и Microsoft Office предупреждают об опасных файлах, включают защищенный просмотр или блокируют запуск. Для атаки нужно, чтобы пользователь открыл файл, присланный по почте или в мессенджере. Microsoft закрыла проблему 13 октября 2026 года; затронуты Windows 10, Windows 11 и Windows Server от 2012 R2 до 2025. Уязвимость использовалась как zero-day, и CISA внесла ее в каталог KEV.

В TrueConf Server ошибка обработки входных данных в API позволяет удаленному злоумышленнику без аутентификации записать вредоносный объект в кэш и добиться выполнения кода. Затронуты версии с 4.5.0.15891 до 5.5.5.10304 включительно. Данных о реальной эксплуатации и публичного PoC нет, однако аналитики указывают на распространенность продукта в российском корпоративном и государственном секторе. Предыдущие критические уязвимости TrueConf — CVE-2026-72529 и CVE-2026-72530 — использовались группировкой Head Mare.

В PHP выявлены две уязвимости удаленного выполнения кода CVE-2026-109618 и CVE-2026-109619 с общей оценкой критичности 9,2. Они затрагивают версии начиная с PHP 5.4 и закрыты в выпусках 8.2.35, 8.3.36, 8.4.27 и 8.5.12. Эксплуатацию зафиксировали до выхода исправлений; 21 октября CISA внесла обе проблемы в KEV и рекомендовала отключить незащищенные системы от сети. R-Vision советует в первую очередь установить обновления безопасности и регулярно проверять инфраструктуру на уязвимости.