Выбранные события и границы исправлений
Ретроспектива охватывает период с 2026-02-01 по 2026-02-28. Источники проверены 6 ноября 2026 года. В таблице указаны исторические границы исправлений соответствующих веток. Для установки выбирайте версию, поддерживаемую на момент обновления, или пакет дистрибутива с подтверждённым backport; старый номер исправления не означает рекомендацию поставить устаревшую ветку.
Для выбранных случаев обзор подтверждает раскрытие или выпуск безопасности и указанные в источнике условия. Активная эксплуатация и исторические статусы CISA KEV или EPSS здесь не заявлены. Отсутствие сведений об эксплуатации оставлено неизвестным.
| Дата события | Продукт и уведомление | Исправления по соответствующим веткам |
|---|---|---|
| 2026-02-04 | NGINX | CVE-2026-1642 | 1.29.5 / 1.28.2 |
| 2026-02-10 | WPvivid Backup | CVE-2026-1357 | 0.9.124 |
| 2026-02-25 | n8n | CVE-2026-27577 | 1.123.22 / 2.9.3 / 2.10.1 |
NGINX: ответы от TLS-бэкенда (CVE-2026-1642)
Атакующий между NGINX и TLS-бэкендом при дополнительных условиях может внедрить открытый текст в ответ upstream. Проверять нужно соединения обратного прокси с HTTPS-бэкендами. Это отдельный участок связи, который нельзя приравнивать ко всем входящим HTTPS-соединениям сайта.
Попросите хостинг перечислить HTTPS upstream и поставить подходящий пакет OSS или Plus. После изменения проверьте политику сертификата бэкенда и реальный ответ приложения через прокси.
WPvivid: приём резервной копии и загрузка файлов (CVE-2026-1357)
WPvivid Backup до 0.9.123 включительно допускает загрузку файлов без авторизации и выполнение кода, если создан ключ для приёма копий с другого сайта. По умолчанию функция выключена. Wordfence опубликовал отчёт 10 февраля; исправленная версия плагина вышла ещё 28 января.
Проверьте точный slug плагина и был ли активен ключ приёма. Обновите плагин, закройте ненужный приём копий и проведите контролируемую проверку резервирования и восстановления.
n8n: редактор сценария и команды на сервере (CVE-2026-27577)
Пользователь с правом создавать или менять workflow может выйти за пределы обработки выражений и выполнить команды на сервере n8n. Это важно для собственных автоматизаций, связанных с формами сайта или заказами и имеющих доступ к другим системам. Границы исправлений различаются по трём веткам.
Обновите используемую ветку n8n и пересмотрите права редакторов. Проверьте заявку по всему сценарию и запишите, к каким секретам и сетевым адресам он имеет доступ.
Утечки и киберинциденты в сообщениях месяца
Эти случаи освещались в публичных сообщениях за февраль 2026. Если известна дата обнаружения, она указана отдельно. Описания сохраняют ограничения источников: простой сам по себе не доказывает кражу данных, а число записей не равно числу людей.
| Организация | Публичное сообщение | Инцидент |
|---|---|---|
| Odido | 2026-02-12 | Раскрытие информации |
| BridgePay | 2026-02-06 | Шифровальщик и простой |
Odido: контактные данные клиентов при работающих сервисах (2026-02-12)
2026-02-12 Odido подтвердила кибератаку, затронувшую персональные данные в системе работы с клиентскими обращениями. В первом заявлении компания исключила пароли, записи звонков и данные счетов; связь, интернет и телевидение продолжали работать.
Работающий сервис сам по себе не подтверждает сохранность клиентских записей. Проверьте права на выгрузку CRM и необычный доступ сотрудников поддержки. В уведомлениях клиентам точно называйте затронутые категории данных.
BridgePay: шифровальщик нарушил обработку платежей (2026-02-06)
В статусных сообщениях от 2026-02-06 BridgePay связала общий отказ систем с атакой шифровальщика. Первоначальные результаты расследования не указывали на компрометацию данных платёжных карт. Подтверждённый простой и оценка раскрытия данных были отдельными выводами.
Проверьте работу оформления заказа при недоступном платёжном шлюзе. Опишите резервный способ оплаты, сверку транзакций с неопределённым статусом и проверку успешной обработки перед возвращением к обычной работе.
Границы обзора и редакционная запись
Это выборочный обзор для владельцев сайтов и хостинга, а не полный месячный реестр уязвимостей. У каждого раздела есть ссылки на подтверждения. Месяц определяется публичным раскрытием или выпуском безопасности; дата закрытого сообщения, год резервирования CVE и более поздняя правка записи не определяют этот месяц.
Первая редакция подготовлена 6 ноября 2026 года. Действующие уведомления могут содержать поздние уточнения, поэтому статья не воспроизводит точное состояние источников на конец месяца. Исправлений этой редакции пока нет. Содержательное изменение получит датированную запись и обновление метаданных статьи.
