[{"data":1,"prerenderedAt":223},["ShallowReactive",2],{"publication:ru:D202606":3},{"meta":4,"copy":18,"relatedArticles":178,"terms":215,"term":216,"resourceParent":217,"glossaryParent":220},{"id":5,"path":6,"kind":7,"keyword":8,"title":9,"seoTitle":10,"description":11,"incoming":12,"updated":16,"preparedOn":17},"D202606","\u002Fblog\u002Fvulnerability-digest-2026-06","article","Дайджест уязвимостей сайтов за июнь 2026","Дайджест кибербезопасности за июнь 2026","Июнь 2026: уязвимости, взломы и утечки","Кибербезопасность за июнь 2026: уязвимости программ, инциденты с Novo Nordisk и LastPass \u002F Klue, источники и практические проверки для бизнеса.",[13,14,15],"\u002Fblog","\u002Fblog\u002Fvulnerability-digest-2026-05","\u002Fblog\u002Fvulnerability-digest-2026-07","2026-07-03","2026-11-06",{"intro":19,"sections":20,"checklistTitle":136,"checklist":137,"faq":140,"sources":150,"links":160,"cta":173},"Июньская подборка охватывает исчерпание памяти Apache, проверку TLS-имени в Node.js, OCSP-клиентов OpenSSL и Digest-авторизацию curl. Одни пути принимают публичные запросы, другие запускаются при обращении сайта к внешнему сервису. Назначая обновления, учитывайте входящие и исходящие соединения. Выпуск также разбирает инциденты с Novo Nordisk и LastPass \u002F Klue: заявленные последствия и проверки для бизнеса, использующего похожие сервисы.",[21,49,61,73,82,94,113,122,131],{"title":22,"paragraphs":23,"table":26},"Выбранные события и границы исправлений",[24,25],"Ретроспектива охватывает период с 2026-06-01 по 2026-06-30. Источники проверены 6 ноября 2026 года. В таблице указаны исторические границы исправлений соответствующих веток. Для установки выбирайте версию, поддерживаемую на момент обновления, или пакет дистрибутива с подтверждённым backport; старый номер исправления не означает рекомендацию поставить устаревшую ветку.","Для выбранных случаев обзор подтверждает раскрытие или выпуск безопасности и указанные в источнике условия. Активная эксплуатация и исторические статусы CISA KEV или EPSS здесь не заявлены. Отсутствие сведений об эксплуатации оставлено неизвестным.",{"caption":27,"headers":28,"rows":32},"Выбранные раскрытия и выпуски безопасности за июнь 2026",[29,30,31],"Дата события","Продукт и уведомление","Исправления по соответствующим веткам",[33,37,41,45],[34,35,36],"2026-06-08","Apache HTTP Server | CVE-2026-49975","2.4.68",[38,39,40],"2026-06-18","Node.js | CVE-2026-48618","22.23.0 \u002F 24.17.0 \u002F 26.3.1",[42,43,44],"2026-06-09","OpenSSL | CVE-2026-35188","4.0.1 \u002F 3.6.3",[46,47,48],"2026-06-24","curl | CVE-2026-11856","8.21.0 \u002F 8.20.1 \u002F 8.16.1 \u002F 8.14.2",{"title":50,"paragraphs":51,"sources":54},"Apache: исчерпание памяти HTTP\u002F2 (CVE-2026-49975)",[52,53],"Специальные HTTP-запросы могут вызвать чрезмерное выделение памяти и отказ в обслуживании в mod_http2. Apache указывает затронутые версии с 2.4.17 по 2.4.67; исправление вошло в июньскую 2.4.68. Это другой случай HTTP\u002F2, отдельный от майского double free.","Уточните публичные точки входа с mod_http2 и ответственного за обновление. После установки пакета и перезагрузки процессов зафиксируйте проверку памяти и доступности.",[55,58],{"label":56,"url":57},"CVE-2026-49975 | CNA record","https:\u002F\u002Fcveawg.mitre.org\u002Fapi\u002Fcve\u002FCVE-2026-49975",{"label":59,"url":60},"Apache HTTP Server security fixes","https:\u002F\u002Fhttpd.apache.org\u002Fsecurity\u002Fvulnerabilities_24.html",{"title":62,"paragraphs":63,"sources":66},"Node.js: нормализация имени в TLS (CVE-2026-48618)",[64,65],"Разная обработка Unicode-разделителей имени у DNS-резолвера и проверки сертификата может обойти ограничение глубины wildcard. Июньский Node.js исправляет проблему в ветках 22, 24 и 26. Проверьте исходящие TLS-запросы, где недоверенные данные могут влиять на имя хоста.","Проверьте валидацию URL и runtime сервисов webhook, fetch и интеграций. После обновления проверьте разрешённые адреса и ошибки сертификата на контролируемом тестовом сервисе.",[67,70],{"label":68,"url":69},"june 2026 security releases","https:\u002F\u002Fnodejs.org\u002Fen\u002Fblog\u002Fvulnerability\u002Fjune-2026-security-releases",{"label":71,"url":72},"CVE-2026-48618 | CNA record","https:\u002F\u002Fcveawg.mitre.org\u002Fapi\u002Fcve\u002FCVE-2026-48618",{"title":74,"paragraphs":75,"sources":78},"OpenSSL: OCSP stapling у TLS-клиента (CVE-2026-35188)",[76,77],"Злонамеренный TLS-сервер может вызвать двойное освобождение памяти у клиента, проверяющего stapled OCSP. Возможны повреждение памяти и падение; выполнение кода описано как возможное и зависящее от окружения. В затронутом сценарии OCSP stapling по умолчанию не включён.","Проверьте исходящих клиентов на OpenSSL 4.0 или 3.6 с этой настройкой. Поставьте пакет нужной ветки и после перезапуска проверьте принятие и отклонение сертификатов.",[79],{"label":80,"url":81},"CVE-2026-35188 | CNA record","https:\u002F\u002Fcveawg.mitre.org\u002Fapi\u002Fcve\u002FCVE-2026-35188",{"title":83,"paragraphs":84,"sources":87},"curl: Digest-авторизация между хостами (CVE-2026-11856)",[85,86],"После запроса с Digest смена origin при повторном использовании handle libcurl может отправить исходный Authorization другому хосту. Уведомление производителя сопровождало июньский выпуск; запись CNA появилась в июле. Указаны также исправления для отдельных веток сопровождения.","Найдите интеграции, меняющие origin внутри общего handle. После обновления проверьте разделение авторизации; если был запрос с секретом к постороннему адресу, разберите логи.",[88,91],{"label":89,"url":90},"curl advisory CVE-2026-11856","https:\u002F\u002Fcurl.se\u002Fdocs\u002FCVE-2026-11856.html",{"label":92,"url":93},"CVE-2026-11856 | CNA record","https:\u002F\u002Fcveawg.mitre.org\u002Fapi\u002Fcve\u002FCVE-2026-11856",{"title":95,"paragraphs":96,"table":98},"Утечки и киберинциденты в сообщениях месяца",[97],"Эти случаи освещались в публичных сообщениях за июнь 2026. Если известна дата обнаружения, она указана отдельно. Описания сохраняют ограничения источников: простой сам по себе не доказывает кражу данных, а число записей не равно числу людей.",{"caption":99,"headers":100,"rows":104},"Сообщения об инцидентах за июнь 2026",[101,102,103],"Организация","Публичное сообщение","Инцидент",[105,109],[106,107,108],"Novo Nordisk","2026-06-11","Раскрытие информации",[110,111,112],"LastPass \u002F Klue","2026-06-22","Инцидент поставщика",{"title":114,"paragraphs":115,"sources":118},"Novo Nordisk: копирование данных из внутренних систем (2026-06-11)",[116,117],"2026-06-11 Novo Nordisk сообщила о несанкционированном доступе к ограниченному набору внутренних IT-систем и копировании непубличной информации, включая персональные данные, за пределы компании. Часть систем временно отключили. Расследование продолжалось, поэтому сообщение не определяло полное число пострадавших.","Проверяйте возможность выгрузки данных, даже если затронуты лишь несколько систем. Учитывайте чувствительные экспорты и журналы доступа; согласуйте доказательства, необходимые для безопасного подключения изолированных сервисов обратно к сети.",[119],{"label":120,"url":121},"Novo Nordisk \u002F GlobeNewswire: сообщение об инциденте","https:\u002F\u002Fwww.globenewswire.com\u002Fnews-release\u002F2026\u002F06\u002F11\u002F3310660\u002F0\u002Fen\u002FNovo-Nordisk-A-S-IT-Security-incident-at-Novo-Nordisk.html",{"title":123,"paragraphs":124,"sources":127},"LastPass и Klue: доступ к CRM через токены поставщика (2026-06-22)",[125,126],"В уведомлении от 2026-06-22 LastPass сообщила, что атакующий получил OAuth-токены, хранившиеся у Klue, и использовал их для доступа к клиентским данным CRM в Salesforce. По заявлению LastPass, её продукты, инфраструктура и клиентские хранилища паролей не затронуты. О событии поставщика компания узнала 12 июня.","Учитывайте OAuth-подключения с правами чтения записей CRM. Проверьте область действия токенов и возможность быстро отозвать подключение поставщика: отключение интерактивного входа пользователя может оставить токен интеграции действующим.",[128],{"label":129,"url":130},"LastPass: сообщение об инциденте","https:\u002F\u002Fblog.lastpass.com\u002Fposts\u002Fklue-supply-chain-incident-and-lastpass-response",{"title":132,"paragraphs":133},"Границы обзора и редакционная запись",[134,135],"Это выборочный обзор для владельцев сайтов и хостинга, а не полный месячный реестр уязвимостей. У каждого раздела есть ссылки на подтверждения. Месяц определяется публичным раскрытием или выпуском безопасности; дата закрытого сообщения, год резервирования CVE и более поздняя правка записи не определяют этот месяц.","Первая редакция подготовлена 6 ноября 2026 года. Действующие уведомления могут содержать поздние уточнения, поэтому статья не воспроизводит точное состояние источников на конец месяца. Исправлений этой редакции пока нет. Содержательное изменение получит датированную запись и обновление метаданных статьи.","Что поручить специалисту",[53,65,77,86,138,139],"Запишите установленный пакет или образ, применимое условие и ответственного за изменение.","Согласуйте копию, перезапуск и откат, затем проверьте заявки, вход и затронутые интеграции на контролируемых данных.",[141,144,147],{"question":142,"answer":143},"Нужно ставить старую версию из таблицы?","Номера обозначают историческое исправление каждой ветки. Выбирайте выпуск, поддерживаемый на момент установки, или пакет дистрибутива с подтверждённым исправлением. Запишите фактически установленную ревизию.",{"question":145,"answer":146},"Обновление доказывает, что сайт не был взломан?","Обновление закрывает затронутый программный путь. Подозрительные изменения логов, аккаунтов или файлов нужно расследовать отдельно и проверить восстановление. Успешная установка сама по себе не завершает разбор инцидента.",{"question":148,"answer":149},"Почему дата атаки может отличаться от месяца дайджеста?","В этом разделе сообщения сгруппированы по месяцу публичного раскрытия. Более ранняя дата обнаружения указана отдельно, если её приводит источник. Последующее расследование или повторная публикация старой базы не выдаются за новую атаку.",[151,152,153,154,155,156,157,158,159],{"label":56,"url":57},{"label":59,"url":60},{"label":68,"url":69},{"label":71,"url":72},{"label":80,"url":81},{"label":89,"url":90},{"label":92,"url":93},{"label":120,"url":121},{"label":129,"url":130},[161,163,165,168,171],{"path":14,"label":162},"Предыдущий выпуск: май 2026",{"path":15,"label":164},"Следующий выпуск: июль 2026",{"path":166,"label":167},"\u002Fblog\u002Fvulnerability-prioritization","Как расставить приоритеты уязвимостей",{"path":169,"label":170},"\u002Fservices\u002Fsecurity-audit","Согласовать проверку безопасности сайта",{"path":13,"label":172},"Все статьи",{"title":174,"description":175,"button":176,"type":177},"Проверим, какие обновления нужны вашему сайту","Пришлите адрес сайта и известные сведения о хостинге или приложении. Согласуем применимость, объём обслуживания и проверки после изменения.","Обсудить объём обновлений","check",[179,191,200,208],{"id":180,"path":14,"title":181,"description":182,"category":183,"artwork":184,"order":185,"publishedOn":186,"period":187,"related":188},"D202605","Дайджест кибербезопасности за май 2026","Кибербезопасность за май 2026: уязвимости программ, инциденты с Instructure \u002F Canvas и Carnival Corporation, источники и практические проверки для бизнеса.","digest","vulnerability-digest",6,"2026-06-03","2026-05",[189,6,166,190],"\u002Fblog\u002Fvulnerability-digest-2026-04","\u002Fblog\u002Fwhy-website-updates-matter",{"id":192,"path":15,"title":193,"description":194,"category":183,"artwork":184,"order":195,"publishedOn":196,"period":197,"related":198},"D202607","Дайджест кибербезопасности за июль 2026","Кибербезопасность за июль 2026: уязвимости программ, инциденты с Coca-Cola \u002F fairlife и Origin Energy, источники и практические проверки для бизнеса.",4,"2026-08-03","2026-07",[6,199,166,190],"\u002Fblog\u002Fvulnerability-digest-2026-08",{"id":201,"path":166,"title":202,"description":203,"category":204,"artwork":205,"order":206,"publishedOn":207},"P083","Приоритизация уязвимостей для малого бизнеса: что исправлять первым","Как связать версию, доступность, CVSS, EPSS, известную эксплуатацию и роль сайта. Реестр решений, ответственные и проверка исправлений.","operations","security",82,"2026-10-22",{"id":209,"path":190,"title":210,"description":211,"category":212,"artwork":212,"order":213,"publishedOn":214},"updates","Как безопасно обновить WordPress","Чтобы обновить WordPress, сначала проверьте совместимость темы, плагинов и PHP, сохраните файлы и базу, затем подготовьте восстановление. После обновления проверьте вход, формы и заказы. Если важное расширение несовместимо или откат не подготовлен, отложите изменение до решения этих вопросов.","websites",107,"2026-04-21",[],null,{"path":218,"label":219},"\u002Fresources","Материалы и шаблоны безопасности сайта",{"path":221,"label":222},"\u002Fglossary","Словарь кибербезопасности для бизнеса",1794139136285]