В фокусе RVD: наиболее опасные уязвимости августа 2026 года
Команда инженерно-аналитического направления R-Vision изучила уязвимости, опубликованные в августе 2026 года, и выделила из них наиболее значимые для практической защиты инфраструктуры. В подборку вошли проблемы с высоким уровнем риска, подтверждёнными атаками и потенциально широким влиянием на корпоративные системы.
Особое внимание привлекают уязвимости Microsoft SharePoint, WordPress и VipNet Client. В первых двух случаях речь идёт о цепочках, которые позволяют удалённо выполнить произвольный код без предварительной аутентификации.
Microsoft SharePoint: обход аутентификации и удалённое выполнение кода
Связка CVE-2026-55040 и CVE-2026-63520 получила критическую оценку 9,1. Уязвимости затрагивают локальные версии Microsoft SharePoint Server и могут использоваться через сеть без учётной записи пользователя. Облачный SharePoint Online под угрозой не находится.
Первая проблема, CVE-2026-55040, связана с проверкой JWT-токенов. В уязвимых редакциях часть механизмов валидации по умолчанию отключена, из-за чего сервер может принять поддельный токен за корректный. Для атаки достаточно знать SID пользователя либо его идентификатор в формате user@domain. Пароль, активная сессия или участие владельца учётной записи не нужны.
После успешной эксплуатации злоумышленник получает доступ к сайту от имени выбранного пользователя. Если используются привилегированные данные, последствия могут включать захват административных функций SharePoint.
Вторая уязвимость, CVE-2026-63520, обнаружена в Business Connectivity Services - компоненте, предназначенном для интеграции SharePoint с внешними источниками данных. Описание подключения хранится в BDC-модели в формате XML. В проблемных версиях сервер создаёт .NET-объекты на основании имён классов из загруженной модели, не ограничивая выбор перечнем разрешённых типов.
Злоумышленник может загрузить специально подготовленную модель и добиться выполнения произвольного кода с правами служебной учётной записи SharePoint. В сочетании с первой уязвимостью это формирует полноценную цепочку от обхода аутентификации до компрометации сервера.
Обе проблемы обнаружил Стивен Фьюэр из Rapid7 Labs. Риск распространяется на SharePoint Server Subscription Edition, SharePoint Server 2019 и SharePoint Enterprise Server 2016. Microsoft отдельно уточнила, что Project Server и Office Web Apps Server не подвержены CVE-2026-63520, хотя ранее их включали в перечень затронутых продуктов.
Подтверждённая эксплуатация SharePoint
CVE-2026-55040 была исправлена 14 июля в рамках июльского Patch Tuesday. Исправление CVE-2026-63520 выпустили 11 августа, а августовский накопительный пакет также содержит исправление первой уязвимости.
После публикации технического разбора Rapid7 появились попытки эксплуатации CVE-2026-55040 на ловушках Defused. 18 августа CISA внесла уязвимость в каталог KEV и установила срок устранения для организаций. К началу сентября специалисты Ivanti сообщили, что обе проблемы используются совместно. Microsoft при этом не подтверждала эксплуатацию CVE-2026-63520 на момент выпуска исправления, но классифицировала её как уязвимость, эксплуатация которой наиболее вероятна.
Потенциальные последствия включают:
- получение доступа к документам, спискам и настройкам сайта;
- выполнение кода с правами сервисной учётной записи;
- кражу ключей и секретов;
- закрепление в инфраструктуре;
- использование SharePoint для дальнейшего продвижения по корпоративной сети;
- компрометацию подключённых внешних источников данных.
Что необходимо сделать администраторам
В первую очередь следует установить актуальный августовский накопительный пакет SharePoint для всех локальных экземпляров. После обновления необходимо проверить состояние фермы, убедиться в корректности перезапуска служб и проконтролировать, что исправления применены ко всем серверам.
Дополнительно рекомендуется изучить журналы IIS, SharePoint и BCS, проверить необычные обращения к REST-интерфейсам, загрузку новых BDC-моделей и появление нетипичных административных действий. Если сервер публикуется в интернет, стоит временно ограничить доступ к нему через VPN или корпоративный шлюз до завершения обновления.
WordPress: цепочка wp2shell с критическим риском 9,8
Уязвимости CVE-2026-63030 и CVE-2026-60137, зарегистрированные также под номерами BDU-2026-10241 и BDU-2026-10242, объединены в цепочку wp2shell. Она позволяет неаутентифицированному атакующему выполнить произвольный код на сайте.
Главная особенность атаки заключается в том, что злоумышленнику не нужны учётные данные администратора, сторонние расширения или нестандартная тема. Достаточно стандартной установки WordPress с настройками по умолчанию.
CVE-2026-63030 относится к обработчику пакетных REST-запросов `/wp-json/batch/v1`. Этот интерфейс позволяет отправлять сразу несколько операций с данными. В уязвимой реализации отсутствует корректное ограничение числа вложенных запросов и глубины их обработки. В результате атакующий может создать чрезмерно сложную структуру операций и спровоцировать ошибку при разборе данных.
Вторая проблема, CVE-2026-60137, связана с обработкой ошибок в механизме сериализации и десериализации объектов. Специально сформированный запрос позволяет изменить структуру данных, которые WordPress передаёт во внутренние функции. В определённых условиях это приводит к записи контролируемого значения в память процесса.
Сама по себе такая запись не гарантирует выполнение кода, однако в сочетании с CVE-2026-63030 она позволяет изменить адрес указателя и передать управление на участок памяти, содержащий подготовленную полезную нагрузку.
Возможные последствия атаки на WordPress
При успешной эксплуатации злоумышленник получает возможность:
- выполнить команды на сервере;
- внедрить веб-шелл;
- изменить содержимое страниц;
- создать скрытую административную учётную запись;
- украсть конфигурационные файлы и ключи;
- получить доступ к базе данных;
- использовать сайт для рассылки вредоносного содержимого;
- атаковать другие системы, доступные с сервера.
Особенно опасна ситуация, когда WordPress работает на том же сервере, что и другие приложения, имеет доступ к внутренним сервисам или использует права системного пользователя без ограничений.
Практические меры защиты WordPress
Необходимо обновить ядро WordPress до версии с исправлениями и убедиться, что обновление действительно применилось, а не только было загружено. После этого желательно проверить список пользователей, активные плагины, темы, задания cron и содержимое каталогов загрузки.
Если REST API не нужен внешним пользователям, его следует ограничить на уровне веб-сервера, WAF или механизмов аутентификации. При этом важно не отключать интерфейс без анализа: некоторые плагины и интеграции используют его для штатной работы.
Рекомендуется также запретить выполнение PHP-файлов в каталогах загрузки, включить многофакторную аутентификацию для администраторов, ограничить права файловой системы и настроить резервное копирование с хранением копий отдельно от основного сервера.
VipNet Client 4: локальная уязвимость повышения привилегий
В дайджест также вошла уязвимость BDU-2026-09885 в VipNet Client 4. В отличие от проблем SharePoint и WordPress, она требует локального доступа к системе, однако на рабочих станциях с несколькими пользователями или при уже скомпрометированной учётной записи может привести к повышению привилегий.
Основной риск связан с недостаточной проверкой прав при выполнении отдельных операций клиентского приложения. Пользователь с ограниченными полномочиями может воздействовать на служебный компонент и заставить его выполнить действие с более высокими правами.
Практические последствия зависят от конфигурации: от получения локальных административных полномочий до отключения защитных механизмов и дальнейшего развёртывания вредоносного программного обеспечения.
Администраторам следует установить исправленную версию VipNet Client 4, проверить права на каталоги и службы продукта, а также убедиться, что обычные пользователи не имеют доступа к изменению конфигурационных файлов и исполняемых компонентов. Дополнительно полезно контролировать создание новых служб, запуск процессов от имени SYSTEM и изменение параметров автозагрузки.
Как расставить приоритеты при устранении
В первую очередь необходимо закрыть уязвимости, которые эксплуатируются удалённо и не требуют аутентификации. Поэтому серверы SharePoint, доступные из внешних сетей, и публичные сайты WordPress должны быть проверены в приоритетном порядке.
Следующий шаг - анализ признаков компрометации. Одной установки обновлений недостаточно, если злоумышленник мог получить доступ до устранения проблемы. Следует искать неизвестные учётные записи, подозрительные файлы, необычные процессы, новые задания планировщика и нетипичные сетевые соединения.
После обновления важно провести инвентаризацию аналогичных систем. Уязвимый SharePoint или WordPress нередко оказывается лишь одним элементом крупной инфраструктуры, где существуют тестовые копии, забытые серверы и экземпляры, не включённые в централизованное управление.
Итоги
Августовские уязвимости демонстрируют, насколько опасными могут быть цепочки из нескольких ошибок. Обход аутентификации в SharePoint становится критическим при сочетании с небезопасной обработкой BDC-моделей, а дефект WordPress REST API усиливает последствия ошибки управления памятью.
Для снижения риска организациям необходимо не откладывать установку накопительных обновлений, ограничивать внешний доступ к административным интерфейсам, контролировать журналы и регулярно проверять инфраструктуру на наличие неучтённых экземпляров программ. Особое внимание следует уделить системам, которые работают с повышенными привилегиями и имеют сетевой доступ к внутренним ресурсам.