CISA добавляет в KEV-каталог шесть уязвимостей с подтверждённой эксплуатацией

CISA включила шесть уязвимостей в каталог Known Exploited Vulnerabilities (KEV). Этот перечень собирает проблемы, которые злоумышленники уже применяют в реальных атаках. Поэтому попадание в него означает подтверждённую эксплуатацию, а не теоретический риск. Четыре записи касаются Plex Media Server. Ещё две относятся к SiteGuard Server Edition от EG Secure Solutions и к Siemens Software Center. Сильнее всего последствия у Plex: администратор может записать произвольные файлы, которые сервер исполняет при загрузке. В SiteGuard внедрение команд даёт выполнение произвольных команд операционной системы с правами root или SYSTEM.

Четыре уязвимости Plex, внедрение команд и подмена библиотек

Все четыре проблемы Plex касаются версий ниже 1.43.3.10861, записи появились 23 сентября 2026 года. SiteGuard Server Edition уязвим в сборках с Ver2.20 до Ver8.00 Update 5, для FreeBSD - до Ver7.00 Update 6. Запись JPCERT/CC появилась 14 октября. Siemens Software Center затронут во всех версиях ниже V4.0.9.8, бюллетень датирован 15 октября. Каталог KEV помогает расставить приоритеты при управлении исправлениями. Для федеральных агентств США включение в перечень означает обязанность устранить проблему в установленный срок. Подтверждённая эксплуатация повышает срочность установки обновлений.

Две SSRF и подстановка URL в Plex

Три из четырёх проблем Plex связаны с подстановкой адресов. Две относятся к классу SSRF, то есть подделке запросов на стороне сервера: сервер выполняет обращение по адресу, который задал злоумышленник. Первая не требует действующего токена доступа. Подходит любое значение, и сервер отправляет запрос на выбранный адрес. Вторая доступна аутентифицированному пользователю: при перекодировании видео он запрашивает произвольные внутренние и внешние адреса. Обе получили 4.3 по CVSS 3.1 и 5.3 по CVSS 4.0. Третья проблема - подстановка URL в поисковом запросе. Она позволяет вызывать функции других подключаемых модулей со своими параметрами, оценка 6.5 по CVSS 3.1.

Четвёртая уязвимость, CVE-2026-96656, даёт администратору запись произвольных файлов. Строка настроек кодировщика дописывается к его параметрам без проверки. При запуске сервер исполняет разделяемые библиотеки без контроля подписи, прав на исполнение и символов. В результате код выполняется с правами самого сервера. Рейтинг достигает 7.2 по CVSS 3.1 и 8.6 по CVSS 4.0, это самый высокий показатель в подборке.

SiteGuard Server Edition выполняет команды системы

Ошибка в SiteGuard Server Edition относится к внедрению команд операционной системы и получила номер CVE-2026-106931. Атакующий с низкими привилегиями запускает произвольные команды с правами root или SYSTEM. Оценка 7.8 по CVSS 3.0 и 8.5 по CVSS 4.0. Уязвимы сборки для Apache httpd, Nginx и IIS, а также версии для FreeBSD. Исправление вышло в Ver8.00 Update 5, для FreeBSD - в Ver7.00 Update 6.

Siemens Software Center ищет библиотеки по неконтролируемому пути

Siemens Software Center загружает библиотеки динамической компоновки из каталога, который не контролирует. Локальный аутентифицированный атакующий с высокими привилегиями размещает подготовленную библиотеку в одном из проверяемых каталогов. Приложение загружает её и выполняет код с собственными правами. Вектор атаки локальный, привилегии требуются высокие, поэтому оценка по CVSS 3.1 составляет 6.7, по CVSS 4.0 - 8.4. Уязвимы все версии ниже V4.0.9.8.

Что обновить и ограничить

Plex Media Server обновляют до 1.43.3.10861 или более новой сборки. SiteGuard Server Edition - до Ver8.00 Update 5, версии для FreeBSD - до Ver7.00 Update 6. Siemens Software Center обновляют до V4.0.9.8. Медиасерверы Plex, открытые в интернет, ограничивают по списку адресов. Доступ к панели управления закрывают за VPN.

Четыре уязвимости в одном продукте - заметная концентрация для одного пополнения каталога. Медиасерверы часто доступны из интернета, поэтому SSRF и запись файлов расширяют возможности атакующего во внутренней сети. При этом локальные ошибки в SiteGuard и Siemens тоже попали в KEV: эксплуатация в реальных атаках важнее способа доступа.