[{"data":1,"prerenderedAt":206},["ShallowReactive",2],{"publication:ru:D202604":3},{"meta":4,"copy":18,"relatedArticles":161,"terms":198,"term":199,"resourceParent":200,"glossaryParent":203},{"id":5,"path":6,"kind":7,"keyword":8,"title":9,"seoTitle":10,"description":11,"incoming":12,"updated":16,"preparedOn":17},"D202604","\u002Fblog\u002Fvulnerability-digest-2026-04","article","Дайджест уязвимостей сайтов за апрель 2026","Дайджест кибербезопасности за апрель 2026","Апрель 2026: уязвимости, взломы и утечки","Кибербезопасность за апрель 2026: уязвимости программ, инциденты с Vercel и Hasbro, источники и практические проверки для бизнеса.",[13,14,15],"\u002Fblog","\u002Fblog\u002Fvulnerability-digest-2026-03","\u002Fblog\u002Fvulnerability-digest-2026-05","2026-05-03","2026-11-06",{"intro":19,"sections":20,"checklistTitle":121,"checklist":122,"faq":125,"sources":135,"links":143,"cta":156},"Апрельская подборка связана с тремя дополнительными возможностями: обработкой delta CRL в OpenSSL, Digest-авторизацией прокси в curl и локальным хранением Gravatar в Breeze Cache. Применимость зависит от настроек. Запишите, была ли включена функция, затем назначьте обновление и проверку. Выпуск также разбирает инциденты с Vercel и Hasbro: заявленные последствия и проверки для бизнеса, использующего похожие сервисы.",[21,45,54,66,79,98,107,116],{"title":22,"paragraphs":23,"table":26},"Выбранные события и границы исправлений",[24,25],"Ретроспектива охватывает период с 2026-04-01 по 2026-04-30. Источники проверены 6 ноября 2026 года. В таблице указаны исторические границы исправлений соответствующих веток. Для установки выбирайте версию, поддерживаемую на момент обновления, или пакет дистрибутива с подтверждённым backport; старый номер исправления не означает рекомендацию поставить устаревшую ветку.","Уведомления подтверждают выбранные раскрытия, исправления и условия. Для Breeze Cache раздел также указывает опубликованные позже наблюдения Wordfence за апрельскими попытками. Исторические статусы CISA KEV и EPSS не заявлены. Эксплуатация остальных выбранных случаев в этом обзоре не подтверждена.",{"caption":27,"headers":28,"rows":32},"Выбранные раскрытия и выпуски безопасности за апрель 2026",[29,30,31],"Дата события","Продукт и уведомление","Исправления по соответствующим веткам",[33,37,41],[34,35,36],"2026-04-07","OpenSSL | CVE-2026-28388","3.6.2 \u002F 3.5.6 \u002F 3.4.5 \u002F 3.3.7 \u002F 3.0.20",[38,39,40],"2026-04-29","curl | CVE-2026-7168","8.20.0 \u002F 8.16.1 \u002F 8.14.2",[42,43,44],"2026-04-23","Breeze Cache | CVE-2026-3844","2.4.5",{"title":46,"paragraphs":47,"sources":50},"OpenSSL: некорректный delta CRL (CVE-2026-28388)",[48,49],"Некорректный дополнительный список отзыва сертификатов может завершить приложение, если включена обработка delta CRL и выполнены условия сертификата или базового CRL. OpenSSL оценивает случай как Low и ограничивает последствия отказом в обслуживании. Выполнение кода и утечка памяти для него не заявлены.","Уточните у администратора, включена ли проверка delta CRL. Сверьте пакет нужной ветки и после обновления проверьте отзыв сертификатов в тестовой среде.",[51],{"label":52,"url":53},"CVE-2026-28388 | CNA record","https:\u002F\u002Fcveawg.mitre.org\u002Fapi\u002Fcve\u002FCVE-2026-28388",{"title":55,"paragraphs":56,"sources":59},"curl: Digest-авторизация между прокси (CVE-2026-7168)",[57,58],"При повторном использовании handle libcurl и смене HTTP-прокси заголовок Digest-авторизации первого прокси может уйти второму. curl опубликовал уведомление вместе с выпуском 29 апреля. Запись CNA появилась в мае; эта более поздняя дата не переносит сам выпуск из апреля.","Проверьте приложения, меняющие прокси внутри общего пула клиентов. Подтвердите исправленную библиотеку или backport и проверьте разделение учётных данных прокси.",[60,63],{"label":61,"url":62},"curl advisory CVE-2026-7168","https:\u002F\u002Fcurl.se\u002Fdocs\u002FCVE-2026-7168.html",{"label":64,"url":65},"CVE-2026-7168 | CNA record","https:\u002F\u002Fcveawg.mitre.org\u002Fapi\u002Fcve\u002FCVE-2026-7168",{"title":67,"paragraphs":68,"sources":72},"Breeze Cache: локальные Gravatar (CVE-2026-3844)",[69,70,71],"Breeze Cache до 2.4.4 включительно может допустить загрузку произвольных файлов без авторизации и выполнение кода, если включена опция Host Files Locally - Gravatars. По умолчанию она выключена. Запись CNA опубликована 23 апреля.","Проверьте настройку и установленную версию плагина, затем обновите его. Проверьте картинки и кэш; подозрительные загруженные файлы разбирайте отдельно, обновление само по себе их не удаляет.","В отчёте от 5 мая Wordfence сообщает о заблокированных попытках эксплуатации 22 апреля и более крупной волне 24-29 апреля. Это опубликованные позже наблюдения за апрелем, а не сведения, доступные из этого отчёта на конец месяца.",[73,76],{"label":74,"url":75},"CVE-2026-3844 | CNA record","https:\u002F\u002Fcveawg.mitre.org\u002Fapi\u002Fcve\u002FCVE-2026-3844",{"label":77,"url":78},"Wordfence original research: Breeze Cache","https:\u002F\u002Fwww.wordfence.com\u002Fblog\u002F2026\u002F05\u002Fattackers-actively-exploiting-critical-vulnerability-in-breeze-cache-plugin\u002F",{"title":80,"paragraphs":81,"table":83},"Утечки и киберинциденты в сообщениях месяца",[82],"Эти случаи освещались в публичных сообщениях за апрель 2026. Если известна дата обнаружения, она указана отдельно. Описания сохраняют ограничения источников: простой сам по себе не доказывает кражу данных, а число записей не равно числу людей.",{"caption":84,"headers":85,"rows":89},"Сообщения об инцидентах за апрель 2026",[86,87,88],"Организация","Публичное сообщение","Инцидент",[90,94],[91,92,93],"Vercel","2026-04-19","Чужой доступ к аккаунтам",[95,96,97],"Hasbro","2026-04-01","Нарушение работы",{"title":99,"paragraphs":100,"sources":103},"Vercel: поставщик AI-инструмента и переменные окружения (2026-04-19)",[101,102],"В бюллетене от 19 апреля Vercel связала несанкционированный доступ с аккаунтами сотрудника в Context.ai и Google Workspace. Была скомпрометирована часть клиентских переменных окружения без отметки sensitive. Такая классификация описывала настройку хранения, а не безвредность содержимого.","Проверьте OAuth-разрешения для AI-инструментов и других SaaS. Явно классифицируйте секреты развёртывания, установите, какие учётные данные раскрыты, и замените их вместе с зависимыми доступами, которые они открывают.",[104],{"label":105,"url":106},"Vercel: сообщение об инциденте","https:\u002F\u002Fvercel.com\u002Fkb\u002Fbulletin\u002Fvercel-april-2026-security-incident",{"title":108,"paragraphs":109,"sources":112},"Hasbro: апрельское сообщение о мартовском проникновении (2026-04-01)",[110,111],"В отчёте от 2026-04-01 Hasbro сообщила о доступе к сети, обнаруженном 2026-03-28. Часть систем отключили, а заказы и отгрузки обрабатывали по временным процедурам. Полные последствия на тот момент ещё не были установлены.","Опишите, как принимать заказы и отгружать товары во время изоляции систем. Назначьте ответственного за сверку временных записей после восстановления: доступность сайта сама по себе не подтверждает корректность всего процесса продаж.",[113],{"label":114,"url":115},"Hasbro \u002F SEC Form 8-K: сообщение об инциденте","https:\u002F\u002Fwww.sec.gov\u002FArchives\u002Fedgar\u002Fdata\u002F46080\u002F000004608026000013\u002Fhas-20260401.htm",{"title":117,"paragraphs":118},"Границы обзора и редакционная запись",[119,120],"Это выборочный обзор для владельцев сайтов и хостинга, а не полный месячный реестр уязвимостей. У каждого раздела есть ссылки на подтверждения. Месяц определяется публичным раскрытием или выпуском безопасности; дата закрытого сообщения, год резервирования CVE и более поздняя правка записи не определяют этот месяц.","Первая редакция подготовлена 6 ноября 2026 года. Действующие уведомления могут содержать поздние уточнения, поэтому статья не воспроизводит точное состояние источников на конец месяца. Исправлений этой редакции пока нет. Содержательное изменение получит датированную запись и обновление метаданных статьи.","Что поручить специалисту",[49,58,70,123,124],"Запишите установленный пакет или образ, применимое условие и ответственного за изменение.","Согласуйте копию, перезапуск и откат, затем проверьте заявки, вход и затронутые интеграции на контролируемых данных.",[126,129,132],{"question":127,"answer":128},"Нужно ставить старую версию из таблицы?","Номера обозначают историческое исправление каждой ветки. Выбирайте выпуск, поддерживаемый на момент установки, или пакет дистрибутива с подтверждённым исправлением. Запишите фактически установленную ревизию.",{"question":130,"answer":131},"Обновление доказывает, что сайт не был взломан?","Обновление закрывает затронутый программный путь. Подозрительные изменения логов, аккаунтов или файлов нужно расследовать отдельно и проверить восстановление. Успешная установка сама по себе не завершает разбор инцидента.",{"question":133,"answer":134},"Почему дата атаки может отличаться от месяца дайджеста?","В этом разделе сообщения сгруппированы по месяцу публичного раскрытия. Более ранняя дата обнаружения указана отдельно, если её приводит источник. Последующее расследование или повторная публикация старой базы не выдаются за новую атаку.",[136,137,138,139,140,141,142],{"label":52,"url":53},{"label":61,"url":62},{"label":64,"url":65},{"label":74,"url":75},{"label":77,"url":78},{"label":105,"url":106},{"label":114,"url":115},[144,146,148,151,154],{"path":14,"label":145},"Предыдущий выпуск: март 2026",{"path":15,"label":147},"Следующий выпуск: май 2026",{"path":149,"label":150},"\u002Fblog\u002Fvulnerability-prioritization","Как расставить приоритеты уязвимостей",{"path":152,"label":153},"\u002Fservices\u002Fsecurity-audit","Согласовать проверку безопасности сайта",{"path":13,"label":155},"Все статьи",{"title":157,"description":158,"button":159,"type":160},"Проверим, какие обновления нужны вашему сайту","Пришлите адрес сайта и известные сведения о хостинге или приложении. Согласуем применимость, объём обслуживания и проверки после изменения.","Обсудить объём обновлений","check",[162,174,183,191],{"id":163,"path":14,"title":164,"description":165,"category":166,"artwork":167,"order":168,"publishedOn":169,"period":170,"related":171},"D202603","Дайджест кибербезопасности за март 2026","Кибербезопасность за март 2026: уязвимости программ, инциденты с Loblaw и Stryker, источники и практические проверки для бизнеса.","digest","vulnerability-digest",8,"2026-04-03","2026-03",[172,6,149,173],"\u002Fblog\u002Fvulnerability-digest-2026-02","\u002Fblog\u002Fwhy-website-updates-matter",{"id":175,"path":15,"title":176,"description":177,"category":166,"artwork":167,"order":178,"publishedOn":179,"period":180,"related":181},"D202605","Дайджест кибербезопасности за май 2026","Кибербезопасность за май 2026: уязвимости программ, инциденты с Instructure \u002F Canvas и Carnival Corporation, источники и практические проверки для бизнеса.",6,"2026-06-03","2026-05",[6,182,149,173],"\u002Fblog\u002Fvulnerability-digest-2026-06",{"id":184,"path":149,"title":185,"description":186,"category":187,"artwork":188,"order":189,"publishedOn":190},"P083","Приоритизация уязвимостей для малого бизнеса: что исправлять первым","Как связать версию, доступность, CVSS, EPSS, известную эксплуатацию и роль сайта. Реестр решений, ответственные и проверка исправлений.","operations","security",82,"2026-10-22",{"id":192,"path":173,"title":193,"description":194,"category":195,"artwork":195,"order":196,"publishedOn":197},"updates","Как безопасно обновить WordPress","Чтобы обновить WordPress, сначала проверьте совместимость темы, плагинов и PHP, сохраните файлы и базу, затем подготовьте восстановление. После обновления проверьте вход, формы и заказы. Если важное расширение несовместимо или откат не подготовлен, отложите изменение до решения этих вопросов.","websites",107,"2026-04-21",[],null,{"path":201,"label":202},"\u002Fresources","Материалы и шаблоны безопасности сайта",{"path":204,"label":205},"\u002Fglossary","Словарь кибербезопасности для бизнеса",1794138532436]