Выбранные события и границы исправлений
Ретроспектива охватывает период с 2026-06-01 по 2026-06-30. Источники проверены 6 ноября 2026 года. В таблице указаны исторические границы исправлений соответствующих веток. Для установки выбирайте версию, поддерживаемую на момент обновления, или пакет дистрибутива с подтверждённым backport; старый номер исправления не означает рекомендацию поставить устаревшую ветку.
Для выбранных случаев обзор подтверждает раскрытие или выпуск безопасности и указанные в источнике условия. Активная эксплуатация и исторические статусы CISA KEV или EPSS здесь не заявлены. Отсутствие сведений об эксплуатации оставлено неизвестным.
| Дата события | Продукт и уведомление | Исправления по соответствующим веткам |
|---|---|---|
| 2026-06-08 | Apache HTTP Server | CVE-2026-49975 | 2.4.68 |
| 2026-06-18 | Node.js | CVE-2026-48618 | 22.23.0 / 24.17.0 / 26.3.1 |
| 2026-06-09 | OpenSSL | CVE-2026-35188 | 4.0.1 / 3.6.3 |
| 2026-06-24 | curl | CVE-2026-11856 | 8.21.0 / 8.20.1 / 8.16.1 / 8.14.2 |
Apache: исчерпание памяти HTTP/2 (CVE-2026-49975)
Специальные HTTP-запросы могут вызвать чрезмерное выделение памяти и отказ в обслуживании в mod_http2. Apache указывает затронутые версии с 2.4.17 по 2.4.67; исправление вошло в июньскую 2.4.68. Это другой случай HTTP/2, отдельный от майского double free.
Уточните публичные точки входа с mod_http2 и ответственного за обновление. После установки пакета и перезагрузки процессов зафиксируйте проверку памяти и доступности.
Node.js: нормализация имени в TLS (CVE-2026-48618)
Разная обработка Unicode-разделителей имени у DNS-резолвера и проверки сертификата может обойти ограничение глубины wildcard. Июньский Node.js исправляет проблему в ветках 22, 24 и 26. Проверьте исходящие TLS-запросы, где недоверенные данные могут влиять на имя хоста.
Проверьте валидацию URL и runtime сервисов webhook, fetch и интеграций. После обновления проверьте разрешённые адреса и ошибки сертификата на контролируемом тестовом сервисе.
OpenSSL: OCSP stapling у TLS-клиента (CVE-2026-35188)
Злонамеренный TLS-сервер может вызвать двойное освобождение памяти у клиента, проверяющего stapled OCSP. Возможны повреждение памяти и падение; выполнение кода описано как возможное и зависящее от окружения. В затронутом сценарии OCSP stapling по умолчанию не включён.
Проверьте исходящих клиентов на OpenSSL 4.0 или 3.6 с этой настройкой. Поставьте пакет нужной ветки и после перезапуска проверьте принятие и отклонение сертификатов.
curl: Digest-авторизация между хостами (CVE-2026-11856)
После запроса с Digest смена origin при повторном использовании handle libcurl может отправить исходный Authorization другому хосту. Уведомление производителя сопровождало июньский выпуск; запись CNA появилась в июле. Указаны также исправления для отдельных веток сопровождения.
Найдите интеграции, меняющие origin внутри общего handle. После обновления проверьте разделение авторизации; если был запрос с секретом к постороннему адресу, разберите логи.
Утечки и киберинциденты в сообщениях месяца
Эти случаи освещались в публичных сообщениях за июнь 2026. Если известна дата обнаружения, она указана отдельно. Описания сохраняют ограничения источников: простой сам по себе не доказывает кражу данных, а число записей не равно числу людей.
| Организация | Публичное сообщение | Инцидент |
|---|---|---|
| Novo Nordisk | 2026-06-11 | Раскрытие информации |
| LastPass / Klue | 2026-06-22 | Инцидент поставщика |
Novo Nordisk: копирование данных из внутренних систем (2026-06-11)
2026-06-11 Novo Nordisk сообщила о несанкционированном доступе к ограниченному набору внутренних IT-систем и копировании непубличной информации, включая персональные данные, за пределы компании. Часть систем временно отключили. Расследование продолжалось, поэтому сообщение не определяло полное число пострадавших.
Проверяйте возможность выгрузки данных, даже если затронуты лишь несколько систем. Учитывайте чувствительные экспорты и журналы доступа; согласуйте доказательства, необходимые для безопасного подключения изолированных сервисов обратно к сети.
LastPass и Klue: доступ к CRM через токены поставщика (2026-06-22)
В уведомлении от 2026-06-22 LastPass сообщила, что атакующий получил OAuth-токены, хранившиеся у Klue, и использовал их для доступа к клиентским данным CRM в Salesforce. По заявлению LastPass, её продукты, инфраструктура и клиентские хранилища паролей не затронуты. О событии поставщика компания узнала 12 июня.
Учитывайте OAuth-подключения с правами чтения записей CRM. Проверьте область действия токенов и возможность быстро отозвать подключение поставщика: отключение интерактивного входа пользователя может оставить токен интеграции действующим.
Границы обзора и редакционная запись
Это выборочный обзор для владельцев сайтов и хостинга, а не полный месячный реестр уязвимостей. У каждого раздела есть ссылки на подтверждения. Месяц определяется публичным раскрытием или выпуском безопасности; дата закрытого сообщения, год резервирования CVE и более поздняя правка записи не определяют этот месяц.
Первая редакция подготовлена 6 ноября 2026 года. Действующие уведомления могут содержать поздние уточнения, поэтому статья не воспроизводит точное состояние источников на конец месяца. Исправлений этой редакции пока нет. Содержательное изменение получит датированную запись и обновление метаданных статьи.
