Выбранные события и границы исправлений
Ретроспектива охватывает период с 2026-09-01 по 2026-09-30. Источники проверены 6 ноября 2026 года. В таблице указаны исторические границы исправлений соответствующих веток. Для установки выбирайте версию, поддерживаемую на момент обновления, или пакет дистрибутива с подтверждённым backport; старый номер исправления не означает рекомендацию поставить устаревшую ветку.
Для выбранных случаев обзор подтверждает раскрытие или выпуск безопасности и указанные в источнике условия. Активная эксплуатация и исторические статусы CISA KEV или EPSS здесь не заявлены. Отсутствие сведений об эксплуатации оставлено неизвестным.
| Дата события | Продукт и уведомление | Исправления по соответствующим веткам |
|---|---|---|
| 2026-09-17 | WordPress | 7.1.1 |
| 2026-09-22 | WordPress | CVE-2026-87902 | 7.1.2 |
| 2026-09-29 | OpenSSL | CVE-2026-84783 | 4.0.3 |
| 2026-09-02 | curl | CVE-2026-19931 | 8.22.0 / 8.20.1 / 8.16.1 / 8.14.2 |
WordPress: выпуск безопасности и сопровождения 7.1.1
WordPress 7.1.1 включает одиннадцать исправлений безопасности. Они затрагивают авторизацию и хранимый XSS, в том числе комментарии и редакторские функции. Часть случаев зависит от роли вошедшего пользователя или одобрения комментария. У группы исправлений разные условия доступа.
Установите поддерживаемый выпуск и подтвердите backport для старой ветки. Проверьте одобрение комментариев, права ролей и редакторские действия с тестовыми аккаунтами.
WordPress: включение локального PHP при условиях (CVE-2026-87902)
Выбор шаблона страницы может подключить читаемый PHP-файл вне каталогов активной темы. Уведомление требует каталог темы с началом page- и подходящий читаемый целевой файл. Выполнение кода дополнительно зависит от сервера; производитель указывает 7.1.2 и backport отдельных веток.
Попросите специалиста проверить родительскую и дочернюю темы и конфигурацию сервера. Обновите ядро, проверьте выбор шаблона и основные посадочные страницы; сохраните точную версию backport.
OpenSSL: параллельное заполнение кэша сертификата (CVE-2026-84783)
OpenSSL 4.0 может освободить кэш расширений X.509, пока другой поток его использует при первых параллельных построениях цепочки к одному доверенному CA. Возможен сбой многопоточного TLS-клиента или сервера с проверкой клиентских сертификатов. OpenSSL 3.x этим случаем не затронут.
Найдите приложения на OpenSSL 4.0 и уточните совместное использование сертификатов потоками. Поставьте исправленный пакет и проверьте параллельные соединения в контролируемой среде.
curl: учётная запись Negotiate в общем соединении (CVE-2026-19931)
При Negotiate и пустых credentials libcurl может отправить запрос одного пользователя по соединению, уже авторизованному другим. Сентябрьское уведомление касается разделения идентичности в общих клиентах. Производитель указывает 8.22.0 и исправления веток сопровождения.
Проверьте общие клиенты с Negotiate-авторизацией операционной системы. После обновления протестируйте два контролируемых аккаунта и разделение их запросов.
Утечки и киберинциденты в сообщениях месяца
Эти случаи освещались в публичных сообщениях за сентябрь 2026. Если известна дата обнаружения, она указана отдельно. Описания сохраняют ограничения источников: простой сам по себе не доказывает кражу данных, а число записей не равно числу людей.
| Организация | Публичное сообщение | Инцидент |
|---|---|---|
| Gyazo / Helpfeel | 2026-09-16 | Раскрытие информации |
| Elekta | 2026-09-01 | Раскрытие информации |
Gyazo: сервер загрузки и метаданные изображений (2026-09-16)
В уведомлении от 2026-09-16 Helpfeel описала эксплуатацию сервера загрузки Gyazo 11 сентября и раскрытие пользовательской информации и метаданных изображений. Часть метаданных могла открыть доступ к изображениям. Компания различала записи базы и людей и сообщала об отсутствии раскрытия данных платёжных карт.
Проверьте, что скриншоты и ссылки на изображения раскрывают о ваших системах. По возможности отзовите затронутые ссылки, исключите секреты из снимков и отдельно проверьте права загрузки и изоляцию сервера от основного сайта.
Elekta: выгрузка деловых контактов (2026-09-01)
2026-09-01 Elekta подтвердила несанкционированный доступ и извлечение информации из части своей IT-среды. Оценка компании прежде всего указывала на деловые контакты клиентов, включая имена и рабочие адреса электронной почты. Сообщение не устанавливало утечку записей о лечении пациентов.
Включайте клиентские контакты в проверку доступов, даже если часть этих сведений доступна в других местах. Определите права на экспорт и способы, которыми раскрытые контакты могут использоваться для подмены поставщика или перенаправления деловой переписки.
Границы обзора и редакционная запись
Это выборочный обзор для владельцев сайтов и хостинга, а не полный месячный реестр уязвимостей. У каждого раздела есть ссылки на подтверждения. Месяц определяется публичным раскрытием или выпуском безопасности; дата закрытого сообщения, год резервирования CVE и более поздняя правка записи не определяют этот месяц.
Первая редакция подготовлена 6 ноября 2026 года. Действующие уведомления могут содержать поздние уточнения, поэтому статья не воспроизводит точное состояние источников на конец месяца. Исправлений этой редакции пока нет. Содержательное изменение получит датированную запись и обновление метаданных статьи.
