Apache OFBiz исправила 46 уязвимостей, включая RCE без авторизации
Разработчики Apache OFBiz выпустили версию 24.09.08, устраняющую 46 уязвимостей. В их числе CVE-2026-68524, которая может привести к удалённому выполнению кода до аутентификации, и CVE-2026-109928, связанная с полным захватом учётной записи из-за некорректной реализации алгоритма аутентификации.
Исправления важны для организаций, использующих OFBiz в интернет-доступных бизнес-системах. Комбинация возможности выполнить код без предварительного входа и ошибки аутентификации создаёт высокий риск компрометации прикладного сервера и административных учётных записей.
Патчи выходят быстрее, чем их устанавливают
Проблема обновлений остаётся заметной и за пределами OFBiz. Microsoft проанализировала около 383 тыс. CVE, раскрытых с 1999 года по сентябрь 2026 года, и указала, что медианный срок установки исправления на сетевых устройствах превышает один год.
Для рабочих станций под Windows этот показатель составляет около двух недель, для Windows Server — более месяца. На Linux-серверах и в приложениях на macOS он превышает 10 недель. Microsoft отмечает, что именно эта задержка формирует окно возможностей для атакующих, причём наиболее долго открытыми остаются критичные системы.
Компания также указывает, что злоумышленники непропорционально часто выбирают уязвимости с максимальным эффектом: удалённое выполнение кода, повышение привилегий и обход аутентификации. Национальный центр кибербезопасности Великобритании отдельно предупредил, что доступность ИИ-инструментов почти наверняка ускорила поиск уязвимостей нулевого дня.
Инциденты у поставщиков затрагивают учётные данные
DreamHost сообщил о несанкционированном доступе к серверу веб-интерфейса File Manager на files.dreamhost.com. Атака продолжалась с августа до 23 октября 2026 года: третья сторона использовала уязвимость в программном обеспечении сервиса.
По заявлению DreamHost, атакующий мог получить имена пользователей и пароли FTP/SFTP тех, кто входил в File Manager в этот период. Также он мог получить доступ к отдельным веб-почтовым системам, что потенциально раскрывало сессионные данные ограниченного числа пользователей, содержимое писем и файлы на FTP/SFTP-сервере.
Компания заявила, что признаков доступа к данным входа в контрольную панель и платёжным данным клиентов нет. При этом пользователям затронутых сервисов следует исходить из необходимости сменить соответствующие пароли и проверить сессии.
Что проверить организациям
Командам ИБ и эксплуатации стоит без промедления сверить установленную версию Apache OFBiz с 24.09.08, оценить доступность системы из интернета и проверить журналы на признаки необычной активности. Не менее важно проверить, не используются ли одни и те же учётные данные для файловых сервисов, почты и других систем.
Практический вывод для бизнеса состоит в том, что обновление критичных приложений нельзя отделять от контроля внешних поставщиков: срочный патч закрывает известный вектор, а ротация скомпрометированных секретов и ревизия активных сессий снижают последствия уже произошедшего доступа.