Уязвимости в ArcGIS Server затрагивают ветки 12.1 и более ранние на Windows и Linux, и вендор уже выпустил исправления. Механику каждой проблемы Esri не раскрывает: в уведомлении есть только класс, оценка и перечень затронутых версий. Отдельный патч получила ArcGIS Velocity для ArcGIS Enterprise версии 12.1, для этого продукта он первый, а идентификаторы проблем пока не присвоены. Сведений об эксплуатации в реальных атаках вендор не приводит.
Оценки CVSS, классы CWE и состав исправлений
Наибольшая оценка у проблем ArcGIS Server - 9.8 из 10 по шкале CVSS, общей системы оценки серьёзности уязвимостей. Вендор относит проблемы к критической, высокой и умеренной степени, а их классы обозначает номерами CWE - общего каталога типов слабостей программного обеспечения. Механику и результат эксплуатации Esri не описывает, поэтому из уведомления видно только класс, оценку и список версий. Условия атаки тоже не приведены: нужна ли аутентификация, требуется ли участие пользователя и идёт ли атака по сети, в тексте не сказано; детали стоит искать в примечаниях к патчу.
Кроме базовой оценки, вендор приводит временную - 9.4 из 10. Она пересчитывается при изменении условий эксплуатации: появление готового эксплойта или выпуск исправления сдвигают её со временем. Пока в уведомлении отмечено только то, что исправление доступно, а данных об атаках нет.
Патч ArcGIS Server Security 2026 Update 3 вышел 13 октября 2026 года и закрывает уязвимости в версиях 12.1, 12.0, 11.5, 11.3 и 11.1 на Windows и Linux. Обновление накопительное: предыдущие патчи безопасности перед ним ставить не нужно, зависимостей от других обновлений также нет. Отдельного номера версии продукта после установки вендор не называет, поэтому ориентироваться нужно на название патча. Для контроля установки Esri предлагает служебную утилиту Patch Notification Utility, она помогает отследить применение обновления на узлах.
Формулировки в материалах расходятся. Сводка по продукту относит к затронутым версии до 12.1, а примечания к патчу включают в список и 12.1; до следующего обновления уведомления этот пункт стоит уточнять. Для ArcGIS Velocity исправление вышло 20 октября 2026 года, хотя само уведомление датировано 21 октября. Это первый патч продукта, он включает все текущие исправления безопасности.
Описание степени опасности в уведомлении по Velocity расходится: в одном фрагменте проблемы названы критическими и высокими, в другом - критической и умеренными. Идентификаторы для них вендор обещает опубликовать позже, вместо номеров в уведомлении указано, что они появятся. Пока номеров нет, сверять исправления можно по названию патча и по оценкам.
Полностью уязвимости снимает установка патча: вендор пишет, что все проблемы устраняются сразу после обновления. Дополнительно Esri называет межсетевой экран уровня веб-приложений (WAF, фильтр запросов к веб-приложению) - он помогает блокировать вредоносные шаблоны. Базовый профиль из руководства ArcGIS Hardening уменьшает поверхность атаки, то есть набор точек входа, доступных злоумышленнику. Других обходных мер вендор не приводит, поэтому отказ от установки патча оставляет узлы без защиты.
Об эксплуатации этих уязвимостей в реальных атаках сведений нет. Публикация уведомления означает раскрытие технических деталей, а не использование проблем на практике. Обновление стоит поставить на все серверы ArcGIS Server и узлы ArcGIS Velocity, доступные из сети, после чего проверить по названию патча, что оно применилось. Патчи адресованы заказчикам ArcGIS Enterprise, и вендор просит устанавливать их как можно быстрее. При следующих обновлениях уведомления статус проверки и списки версий придётся перечитывать заново: часть данных вендор ещё не опубликовал.
Ссылки
