CISA KEV за октябрь 2026: что проверить на Linux-серверах

Что CISA добавила в октябре 2026 на данный момент

Источник каждой цифры здесь: официальный JSON-файл каталога CISA KEV, скачанный 21 октября 2026 года (UTC). В файле указано catalogVersion 2026.10.21 и 1 754 записи всего, а самое свежее значение dateAdded равно 2026-10-20. Записей, у которых dateAdded начинается с 2026-10, ровно 24: они добавлены в девять разных дней и относятся к 18 производителям. Октябрь ещё не закончился, поэтому месяц неполный и число будет расти.

Для сравнения: в том же файле 43 записи с dateAdded в сентябре 2026. Это самый большой месяц 2026 года на сегодня; самый маленький, январь, дал 17. Сентябрьская цифра взята из сегодняшнего файла, то есть охватывает весь месяц, поэтому она больше семи записей начала сентября из нашей сентябрьской статьи про KEV. Там же объяснено, что такое каталог и почему он важен небольшим хостам. Здесь мы это не повторяем.

Для чтения любых цифр KEV важно одно определение: в каталог попадают только уязвимости, для которых у CISA есть надёжные свидетельства активной эксплуатации в реальных атаках. Сканирование, исследования и публичный код proof-of-concept сами по себе не считаются. Так что 24 это число подтверждённых эксплуатаций, а не всех серьёзных ошибок, раскрытых за период.

Как 24 записи делятся по тому, кто, скорее всего, запускает это ПО (группировка наша, в файле её нет):

• 15 относятся к ПО, которое обычно ставят на Linux-серверы: Plex Media Server (4), Zammad (2), AhsayCBS (2), Atlassian Data Center и связанные продукты (1), SiteGuard Server Edition (1), по одной записи у BIND, ProFTPD, Apache Struts, ONLYOFFICE Docs и Strapi.
• 7 относятся к сетевым и защитным устройствам: FortiMail, FortiOS и родственные продукты Fortinet, Citrix NetScaler, Ivanti Connect Secure, Palo Alto Networks PAN-OS, Cisco Secure Email Gateway и BeyondTrust Remote Support.
• 2 специфичны для Windows: Microsoft Windows Shell (CVE-2026-96951) и Siemens Software Center (CVE-2026-110936). Дальше мы их не разбираем.

Чего в октябрьском списке пока нет: поиск по добавленным записям на ядро Linux, sudo, OpenSSH, OpenSSL, nginx, Docker, runc, Kubernetes, PostgreSQL, MySQL, Redis, GitLab, Jenkins, WordPress, Roundcube, Zimbra, Exim, Postfix и Samba ничего не находит. Единственное совпадение по имени это Apache Struts, а это Java-фреймворк, а не веб-сервер Apache HTTP Server. Для контраста: в сентябре в том же файле три записи Linux Kernel (CVE-2025-39964, CVE-2026-53266 и CVE-2025-39682). Пустой октябрь по ядру не повод пропускать обновления ядра; если вы используете живые патчи ядра или Livepatch, не отключайте его.

Наконец, поле каталога knownRansomwareCampaignUse равно "Unknown" у всех 24 октябрьских записей и у всех 43 сентябрьских. По всему каталогу "Known" у 361 записи из 1 754. "Unknown" означает, что использование вымогателями не зафиксировано, а не гарантию безопасности.

Сроки в октябре и поправка про директиву

У каждой записи есть dueDate. В этом файле у 21 из 24 октябрьских записей срок равен трём календарным дням после dateAdded, у трёх срок 14 дней: Siemens Software Center и две из четырёх записей Plex (CVE-2026-96652 и CVE-2026-96655). На момент загрузки 18 из 24 сроков уже прошли. Для небольшого хоста это полезный ориентир: на федеральных системах счёт идёт на дни, а не на квартал обслуживания.

Директива, на которой держатся эти сроки, изменилась. В тексте requiredAction каждой октябрьской записи указан документ CISA BOD 26-04 "Prioritizing Security Updates Based on Risk". Согласно странице CISA про BOD 26-04, он издан 10 июня 2026 года и отменяет и заменяет BOD 22-01, директиву 2021 года, которая изначально задала сроки KEV. В этом файле последняя запись со ссылкой на BOD 22-01 добавлена 2026-06-09, а первая со ссылкой на BOD 26-04 добавлена 2026-06-11. Обязательной она остаётся для федеральных гражданских исполнительных ведомств США (FCEB), а сроки BOD 26-04 зависят от актива, в том числе от того, доступен ли он из интернета.

Для всех остальных страница KEV на сайте CISA сообщает: органы власти штатов, местные и племенные власти, территории и частные компании не обязаны выполнять BOD 26-04, но CISA настоятельно рекомендует им приоритизировать уязвимости из KEV и считать запись поводом для немедленной реакции в своих планах управления уязвимостями. Значит, срок это не ваш юридический дедлайн, а темп, который CISA считает уместным для подтверждённо эксплуатируемой дыры. В нашем руководстве по управлению обновлениями сервера показано, как построить такую быструю полосу рядом с обычными обновлениями, а термин объяснён в глоссарии: KEV.

ПО, которое вы можете держать на Linux-сервере

Эти 15 записей относятся к ПО, которое часто запускают на Linux-серверах, VPS и в контейнерах. Описания пересказаны по формулировкам самого каталога и ничего к ним не добавляют. Затронуты ли вы, зависит от продукта, редакции и версии, поэтому сверяйте свою установку с уведомлением производителя. Все даты это dateAdded и dueDate из файла.

Добавлены с CVE 2026 года (10 записей)

• CVE-2026-96652, Plex Media Server: подделка запросов на стороне сервера (SSRF), при которой запрос с любым значением X-Plex-Token может заставить сервер отправить POST по адресу, выбранному отправителем. Добавлена 2026-10-20, срок 2026-11-03.
• CVE-2026-96654, Plex Media Server: неверная обработка закодированных схем URI на веб-странице, из-за чего можно вызывать функции других плагинов со своими параметрами. Добавлена 2026-10-20, срок 2026-10-22.
• CVE-2026-96655, Plex Media Server: SSRF для аутентифицированного пользователя через параметр пути /video/:/transcode/universal, с доступом к внутренним и внешним адресам. Добавлена 2026-10-20, срок 2026-11-03.
• CVE-2026-96656, Plex Media Server: внешнее управление именем файла или путём, позволяющее администратору записывать произвольные файлы, которые могут выполниться при загрузке. Добавлена 2026-10-20, срок 2026-10-22. Каталог сообщает, что все четыре записи Plex можно объединять в цепочку.
• CVE-2026-102489, Zammad: фиксация сессии, которая может привести к удалённому выполнению кода от имени пользователя zammad. Добавлена 2026-10-02, срок 2026-10-05.
• CVE-2026-102490, Zammad: неверное управление привилегиями, позволяющее локальному пользователю zammad повысить права до root. Добавлена 2026-10-02, срок 2026-10-05. Каталог сообщает, что две записи Zammad можно объединять в цепочку.
• CVE-2026-21589, Atlassian Bitbucket, Confluence, Jira Service Management, Jira Software, Bamboo и Crowd (Data Center) плюс Crucible и Fisheye: файлы или каталоги, доступные внешним лицам, что позволяет неаутентифицированному атакующему получить доступ к определённым файлам в корне веб-приложения в затронутых версиях. Добавлена 2026-10-15, срок 2026-10-18.
• CVE-2026-105133, Ahsay AhsayCBS: обход аутентификации через манипуляцию параметром в функции checkSysPwd компонента API. Добавлена 2026-10-14, срок 2026-10-17.
• CVE-2026-105134, Ahsay AhsayCBS: внедрение команд операционной системы через параметр конечной точки Replication Receiver /rps/api/json/UpdateReceivers.do. Добавлена 2026-10-14, срок 2026-10-17. Каталог сообщает, что её можно объединять с CVE-2026-105133.
• CVE-2026-106931, EG Secure Solutions SiteGuard Server Edition: внедрение команд ОС, которое может позволить выполнять произвольные команды с правами root или SYSTEM в системе, где работает продукт. Добавлена 2026-10-20, срок 2026-10-22.

Старые CVE, добавленные 8 октября, срок у всех 2026-10-11 (5 записей)

• CVE-2015-5477, ISC BIND: ошибка обработки данных, позволяющая удалённым атакующим вызвать отказ в обслуживании через запросы TKEY.
• CVE-2015-3306, ProFTPD: неверный контроль доступа, позволяющий удалённым атакующим читать и писать произвольные файлы командами site cpfr и site cpto.
• CVE-2016-3081, Apache Struts: внедрение команд, которое может привести к удалённому выполнению кода через method:prefix, если включён Dynamic Method Invocation.
• CVE-2021-3199, ONLYOFFICE Docs: обход пути при использовании JWT через последовательность /.. в параметре загрузки изображения, что может привести к удалённому выполнению кода.
• CVE-2023-22894, Strapi: хранение чувствительных данных в открытом виде, из-за чего тот, у кого есть доступ к панели администратора, может узнать сведения о пользователях через фильтр запроса. Каталог сообщает, что продукт может быть снят с поддержки, советует перейти на поддерживаемую версию и указывает, что запись можно объединить с CVE-2023-22621 для удалённого выполнения кода.

Пять старых записей имеют номера CVE с 2015 по 2023 год. Это записи типа n-day: уязвимость была публична задолго до включения в каталог. Почему их добавили именно сейчас, каталог не объясняет, кроме наличия свидетельств эксплуатации. Практический вопрос такой: остался ли у вас хоть один хост с версией до исправления или с продуктом, который производитель больше не поддерживает.

Уведомления производителей, которые мы прочитали по новым записям, в пересказе: в уведомлении Plex сказано обновиться до Plex Media Server 1.43.3.10861 или новее; бюллетень Atlassian перечисляет исправленный выпуск для каждого продукта и даёт обходные меры на случай, если обновиться сразу нельзя; сообщение сообщества Zammad говорит, что версии 6.5 и старше больше не получают исправлений безопасности, и называет текущей стабильной 7.2.0, а также отмечает, что масштаб CVE-2026-102490 пока не подтверждён; в объявлении Ahsay сказано, что хотфиксы выдаются через партнёрский портал и что прежние выпуски патчей не полностью закрыли две CVE. Прежде чем действовать, прочитайте уведомление для вашей точной версии.

Периметровые устройства и что ещё в списке

Эти семь записей относятся к устройствам и шлюзам. Большинство владельцев VPS их не используют, но они важны, если ваши серверы стоят за одним из них, если вы администрируете такое устройство для работодателя или клиента или если вы заходите на серверы через VPN-шлюз. Формулировки пересказаны по каталогу.

• CVE-2026-104286, Fortinet FortiMail: обход пути и ошибка обработки NULL-байта, которые могут позволить неаутентифицированному атакующему записывать произвольные файлы через специально созданные HTTP- или HTTPS-запросы. Добавлена 2026-10-01, срок 2026-10-04.
• CVE-2026-88779, Citrix NetScaler ADC и Gateway: ошибка границ буфера памяти, которая может привести к отказу в обслуживании. Добавлена 2026-10-04, срок 2026-10-07.
• CVE-2026-104935, Ivanti Connect Secure: обход аутентификации подменой, позволяющий удалённому неаутентифицированному атакующему выполнять произвольные команды. Добавлена 2026-10-13, срок 2026-10-16.
• CVE-2026-0322, Palo Alto Networks PAN-OS: внедрение кода, которое может позволить аутентифицированному атакующему с сетевым доступом выполнить код с правами root на межсетевом экране. Добавлена 2026-10-14, срок 2026-10-17.
• CVE-2026-76519, Cisco Secure Email Gateway: относительный обход пути, который может позволить неаутентифицированному удалённому атакующему записывать произвольные файлы в базовой операционной системе. Добавлена 2026-10-14, срок 2026-10-17.
• CVE-2025-61624, Fortinet FortiOS, FortiPAM, FortiProxy и FortiSwitchManager: обход пути, который может позволить аутентифицированному атакующему с профилем администратора и правами чтения и записи записывать или удалять произвольные файлы через определённые команды CLI. Добавлена 2026-10-16, срок 2026-10-19.
• CVE-2026-102764, BeyondTrust Remote Support: обход аутентификации подменой, который может позволить удалённому атакующему выполнять файловые операции на устройстве. Добавлена 2026-10-16, срок 2026-10-19.

Если вы используете что-то из этого, ссылки на уведомления производителей лежат в поле notes каждой записи, а requiredAction у каждой требует применить меры производителя или прекратить использование продукта, если мер нет. Подробностей эксплуатации сверх текста каталога мы не добавляем.

Как проверить свой сервер командами только для чтения

Ни одна из этих команд ничего не меняет. Начните с доступности: какие службы слушают сеть и какая программа держит каждую.

sudo ss -tlnp
docker ps --format 'table {{.Names}}\t{{.Image}}'

Затем посмотрите установленные версии. На Debian или Ubuntu:

dpkg -l | grep -Ei 'plexmediaserver|zammad|proftpd|bind9|onlyoffice'
dpkg-query -W -f='${Package} ${Version}\n' proftpd-basic
apt-cache policy bind9
apt list --upgradable

В семействе RHEL (Rocky, Alma, Fedora):

rpm -q bind proftpd
dnf check-update --security

Проверка версий самих программ для привычных подозреваемых:

uname -r
sudo --version | head -n 1
nginx -v
named -v
proftpd -v
docker version --format '{{.Server.Version}}'

Две оговорки. Во-первых, дистрибутивы переносят исправления в старые версии (backport), поэтому номер версии апстрима может выглядеть старым, а исправление уже внутри. Спросите сам пакет: apt changelog bind9 | grep CVE-2015-5477 на Debian или Ubuntu либо rpm -q --changelog bind | grep CVE-2015-5477 в семействе RHEL. Совпадение полезно как свидетельство; пустой результат не доказывает ничего ни в ту, ни в другую сторону, поэтому уточните в трекере безопасности вашего дистрибутива. Во-вторых, ПО, поставленное из архива, из забытого репозитория производителя или из образа контейнера, в списке пакетов хоста не появится. Plex, Zammad и ONLYOFFICE часто живут в контейнерах или пакетах производителя, поэтому проверьте номер версии в самом приложении и тег образа и сравните с уведомлением производителя из предыдущих разделов.

Та же привычка относится к sudo и любому другому привилегированному инструменту на машине. Для более широкой проверки хоста в нашем чек-листе безопасности VPS разобраны остальные основы.

Как воспроизвести цифры и отфильтровать файл через jq

Каждую цифру в этой статье можно получить заново из файла с помощью curl и jq. Скачайте файл один раз и запускайте запросы по локальной копии:

curl -sSfL -o kev.json https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json
jq '.catalogVersion, .count' kev.json
jq '[.vulnerabilities[] | select(.dateAdded | startswith("2026-10"))] | length' kev.json
jq -r '.vulnerabilities | group_by(.dateAdded[0:7])[] | "\(.[0].dateAdded[0:7]) \(length)"' kev.json | tail -n 3

Выведите всё добавленное с 1 октября вместе с датами или сузьте выборку до производителей, которых вы используете (условие по dateAdded не пускает в результат старые записи тех же производителей):

jq -r '.vulnerabilities[] | select(.dateAdded >= "2026-10-01") | [.cveID, .vendorProject, .product, .dateAdded, .dueDate] | @tsv' kev.json
jq -r --arg re 'plex|zammad|atlassian|ahsay' '.vulnerabilities[] | select(.dateAdded >= "2026-10-01" and ((.vendorProject + " " + .product) | test($re; "i"))) | [.cveID, .dateAdded, .dueDate] | @tsv' kev.json

Ещё два поля стоит запросить. Первый запрос выводит записи с известным использованием вымогателями (для октября в нашем файле пусто); второй считает записи с пометкой о криминалистическом разборе, а их 17 из 24:

jq -r '.vulnerabilities[] | select(.dateAdded >= "2026-10-01" and .knownRansomwareCampaignUse == "Known") | .cveID' kev.json
jq -r '.vulnerabilities[] | select(.dateAdded >= "2026-10-01" and .forensicTriage == "Yes") | .cveID' kev.json | wc -l

Чтобы получать ежедневный список "что нового" и не читать весь каталог, храните отсортированный список идентификаторов и сравнивайте его со списком следующего дня:

jq -r '.vulnerabilities[].cveID' kev.json | sort > kev-today.txt
comm -13 kev-yesterday.txt kev-today.txt

Результаты меняются по мере того, как CISA добавляет записи, поэтому более поздняя загрузка покажет за октябрь больше 24. Стандартные поля файла: cveID, vendorProject, product, vulnerabilityName, dateAdded, shortDescription, requiredAction, dueDate, knownRansomwareCampaignUse, notes, cwes и forensicTriage. Оценки серьёзности среди них нет, поэтому мы её не приводим; если она нужна для приоритизации, возьмите оценку CVSS из бюллетеня производителя или из NVD.

Если вы используете что-то из списка: порядок действий

1. Выясните, доступна ли служба. Она открыта в интернет или только из частной сети или через VPN? Интерфейс администратора, смотрящий в интернет, меняет порядок работ. Ответ даст sudo ss -tlnp и правила вашего межсетевого экрана.
2. Обновитесь до исправленного выпуска производителя или примените его меры. Именно это и сказано в requiredAction каталога. Если ни то ни другое невозможно, уберите службу из интернета или поставьте её за VPN или список разрешённых адресов; текст каталога требует прекратить использование продукта, если мер нет.
3. Проверьте признаки взлома, если запись об этом говорит. Поле forensicTriage равно "Yes" у 17 из 24 октябрьских записей, включая обе записи Zammad, запись Atlassian, SiteGuard, внедрение команд в AhsayCBS, Plex CVE-2026-96656, ONLYOFFICE, ProFTPD, Struts и Strapi. В этих случаях обновление закрывает дверь, но не говорит, не вошёл ли кто-то уже. Если вы видите необъяснимые процессы, новые учётные записи, незнакомые файлы или странные исходящие соединения, следуйте нашему руководству по реагированию на взлом сервера и предпочитайте пересборку из чистого образа очистке работающей системы.
4. Сократите последствия попадания. Записи Zammad, например, касаются выхода локального служебного пользователя на root. Запускайте службы под отдельными непривилегированными учётными записями и держите права sudo узкими, как описано в статье sudo с минимальными привилегиями на VPS. Если продукт работает в контейнере, проверьте опубликованные порты, сокет Docker и привилегии контейнера по материалу безопасность Docker-хоста на VPS.
5. Закройте другую частую дверь. Пока вы разбираете доступность, убедитесь, что SSH не стал лёгким входом: см. защиту SSH от перебора паролей.

Каталог не говорит, эксплуатировалась ли запись впервые до появления исправления (zero-day) или после, поэтому не предполагайте ни того ни другого. Он подтверждает другое: эксплуатация идёт сейчас. Добавления в KEV для ПО, которое вы действительно используете, отправляйте в быструю полосу вашего процесса управления обновлениями, остальное обрабатывайте в обычном порядке. Данные и счёт в этой статье взяты из файла CISA, ссылка на который дана выше, скачанного 21 октября 2026 года (UTC); мы не будем править их незаметно, а повторный запуск команд jq на более поздней загрузке покажет и более поздние добавления.