Выбранные события и границы исправлений
Ретроспектива охватывает период с 2026-05-01 по 2026-05-31. Источники проверены 6 ноября 2026 года. В таблице указаны исторические границы исправлений соответствующих веток. Для установки выбирайте версию, поддерживаемую на момент обновления, или пакет дистрибутива с подтверждённым backport; старый номер исправления не означает рекомендацию поставить устаревшую ветку.
Для выбранных случаев обзор подтверждает раскрытие или выпуск безопасности и указанные в источнике условия. Активная эксплуатация и исторические статусы CISA KEV или EPSS здесь не заявлены. Отсутствие сведений об эксплуатации оставлено неизвестным.
| Дата события | Продукт и уведомление | Исправления по соответствующим веткам |
|---|---|---|
| 2026-05-04 | Apache HTTP Server | CVE-2026-23918 | 2.4.67 |
| 2026-05-13 | NGINX | CVE-2026-42945 / CVE-2026-9256 | 1.31.0 / 1.30.1 / 1.31.1 / 1.30.2 |
| 2026-05-04 | Apache HTTP Server | CVE-2026-33006 | 2.4.67 |
Apache: double free в HTTP/2 версии 2.4.66 (CVE-2026-23918)
Apache описывает ошибку двойного освобождения памяти с возможным выполнением кода в HTTP/2 версии 2.4.66. Исправление вошло в 2.4.67. В уведомлении указана конкретная затронутая версия, поэтому сначала нужно сверить установленный пакет.
Определите пакет httpd и модуль HTTP/2 в каждом окружении. Согласуйте обновление и перезагрузку, затем проверьте виртуальные хосты, сертификаты и трафик приложения.
NGINX: два исправления rewrite за май (CVE-2026-42945 / CVE-2026-9256)
В мае раскрыты два разных переполнения буфера в rewrite. Они зависят от конкретных групп регулярного выражения и сочетаний директив. Возможны падения; выполнение кода требует дополнительных условий, связанных с ASLR. Для уведомления от 22 мая нужны более новые исправления, чем для случая от 13 мая.
Для CVE-2026-42945 границы OSS: 1.31.0 / 1.30.1; для CVE-2026-9256: 1.31.1 / 1.30.2. Проверьте оба уведомления, включая пакеты Plus, и протестируйте перенаправления с владельцем приложения.
Apache: обход Digest-аутентификации (CVE-2026-33006)
Атака по времени на mod_auth_digest может обойти Digest-аутентификацию. Apache указывает версии до 2.4.66 включительно и рекомендует 2.4.67. Проверять нужно разделы под защитой этого модуля Apache; собственная форма входа приложения устроена отдельно.
Найдите каталоги и виртуальные хосты с mod_auth_digest. Установите поддерживаемый исправленный пакет и после перезагрузки проверьте отказ в доступе без авторизации.
Утечки и киберинциденты в сообщениях месяца
Эти случаи освещались в публичных сообщениях за май 2026. Если известна дата обнаружения, она указана отдельно. Описания сохраняют ограничения источников: простой сам по себе не доказывает кражу данных, а число записей не равно числу людей.
| Организация | Публичное сообщение | Инцидент |
|---|---|---|
| Instructure / Canvas | 2026-05-08 | Раскрытие информации |
| Carnival Corporation | 2026-05-27 | Раскрытие информации |
Canvas: раскрытые пользовательские данные и перерыв в работе (2026-05-08)
В заявлении от 2026-05-08 Instructure перечислила затронутые имена пользователей, адреса электронной почты, сведения о курсах и зачислении, а также сообщения. Компания сообщила, что основные учебные данные и учётные данные не скомпрометированы. В хронологии указаны обнаружение 29 апреля и повторная атака 7 мая.
Для критичной SaaS-платформы определите получателя уведомлений об инцидентах и порядок работы при простое. Ведите список интеграций и административных доступов, которые потребуется проверить после сообщения поставщика об утечке.
Carnival: аккаунт сотрудника и персональные данные (2026-05-27)
2026-05-27 Carnival объявила об уведомлении пострадавших после апрельского инцидента. Компания сообщила, что социальная инженерия открыла доступ через аккаунт сотрудника; активность обнаружили 2026-04-14 и установили неправомерный доступ к части персональных данных. Месяцы атаки и публичного уведомления различаются.
Проверьте подтверждение личности при восстановлении доступа сотрудников и обращениях в поддержку. Ограничьте доступ к клиентским записям по рабочей роли и предусмотрите определение пострадавших по журналам, без опоры на неподтверждённое число записей от атакующего.
Границы обзора и редакционная запись
Это выборочный обзор для владельцев сайтов и хостинга, а не полный месячный реестр уязвимостей. У каждого раздела есть ссылки на подтверждения. Месяц определяется публичным раскрытием или выпуском безопасности; дата закрытого сообщения, год резервирования CVE и более поздняя правка записи не определяют этот месяц.
Первая редакция подготовлена 6 ноября 2026 года. Действующие уведомления могут содержать поздние уточнения, поэтому статья не воспроизводит точное состояние источников на конец месяца. Исправлений этой редакции пока нет. Содержательное изменение получит датированную запись и обновление метаданных статьи.
