GitLab предупреждает о критической уязвимости; PHP2Shell начали эксплуатировать за четыре дня до патчей; Четыре уязвимости Plex объединяют в цепочку для захвата серверов; Вредоносный релиз LiteLLM.

#431, 24.10.2026

GitLab предупреждает о критической уязвимости
DrSoong // 23.10.26 11:10
В GitLab выпустили исправления для критической уязвимости CVE-2026-110264, позволяющей выполнять произвольный код на сервере без аутентификации. Проблема затрагивает GitLab Community Edition и Enterprise Edition, включая версии, выпущенные ещё в 2014 году. Причина связана с переполнением целого числа при компиляции специально подготовленного регулярного выражения.

Особую опасность уязвимость представляет для самостоятельно развёрнутых экземпляров GitLab, которые могут хранить исходный код, конфигурации CI/CD, токены доступа, секреты развёртывания и сведения о производственной инфраструктуре.

Исправления выпущены для веток 19.5, 19.4, 19.3 и ряда более старых поддерживаемых версий. Облачная версия GitLab.com уже исправлена.

Источник: Bleeping Computer

PHP2Shell начали эксплуатировать за четыре дня до патчей
DrSoong // 22.10.26 17:19
В Amazon заметили попытку эксплуатации уязвимостей в PHP еще 17 октября, за четыре дня до выхода исправлений. Cloudflare фиксирует резкий скачок атак, Hadrian пишет о «крупномасштабной» эксплуатации. Amazon советует копать глубже обычного и проверять журналы минимум с 17 октября, а не считать системы чистыми до публичного раскрытия.

Тем временем вокруг релиза разгорелся скандал. Chainguard опубликовал образы с исправлением за шесть с лишним часов до согласованного срока, и в PHP считают, что это поставило под удар огромную часть веба.

Источник: The Register

Четыре уязвимости Plex объединяют в цепочку для захвата серверов
DrSoong // 22.10.26 14:16
Агентство по кибербезопасности и защите инфраструктуры США (CISA) предупредило об активной эксплуатации четырёх уязвимостей Plex Media Server. Цепочка получила название Plex2Shell. При успешной атаке злоумышленник может получить административный токен владельца сервера и добиться выполнения кода с повышенными привилегиями.

Уязвимости затрагивают различные компоненты сервера, включая обработку запросов к внутренним API, поиск и работу транскодера. В совокупности они позволяют обойти отдельные ограничения и довести атаку до выполнения кода. Технические подробности были опубликованы 16 октября, а уже 17 октября стали поступать сообщения об использовании цепочки против тестовых систем, в том числе для установки криптомайнера. Уязвимы версии Plex Media Server ниже 1.43.3.10861, выпущенной ещё 4 августа.

Источник: Bleeping Computer

Вредоносный релиз LiteLLM
DrSoong // 22.10.26 13:26
Неизвестные скомпрометировали процесс выпуска LiteLLM и разослали вредоносную версию 1.107.0. Пакет попал и в PyPI, и в Docker-реестры. Внутри лежал сборщик ключей к облачным и ИИ-сервисам плюс троян удалённого доступа (RAT), способный выполнять произвольный код на заражённой машине.

Вредоносная нагрузка собирает учётные данные браузеров, облачные ключи AWS, Google Cloud и Azure, переменные окружения, токены доступа к AI-сервисам, SSH- и GPG-ключи, а также историю командной оболочки. Дополнительный компонент запускается при старте интерпретатора Python и связывается с инфраструктурой злоумышленников, откуда может получать команды. Это делает инцидент особенно опасным для CI/CD-конвейеров, облачных сред и команд, использующих AI API с привилегированными ключами.

Источником вредоносного кода оказались коммиты в репозитории github.com/Berri-AI/litellm (организация-двойник с дефисом, очень похожая на настоящую BerriAI). Последняя безопасная версия — 1.106.2, а тем, кто успел поставить 1.107.0, разработчики советуют прекратить развёртывание, проверить возможную утечку ключей и заменить затронутые учётные данные.

Популярный пакет LiteLLM, обеспечивающий единообразное подключение к множеству LLM-сервисов, скачивают примерно 23 миллиона раз в неделю. Предыдущий подобный инцидент случился с ним весной этого года.

Источник: The Register