CISA подтвердила эксплуатацию шести уязвимостей в Cisco, Barracuda, Openwave, Microsoft и Chrome

CISA 10 ноября 2026 года добавила в каталог Known Exploited Vulnerabilities шесть уязвимостей с подтверждённой эксплуатацией. В список попали ошибки в Cisco BroadWorks, продуктах Barracuda Networks, Openwave Webtop Media Transcoder, Microsoft Outlook и Google Chrome. Часть затрагивает почтовые шлюзы и системы связи, которые организации нередко выставляют в интернет. Одна из записей позволяет неаутентифицированному атакующему восстановить произвольную конфигурацию почтового шлюза Barracuda. Другая даёт выполнение кода в песочнице Chrome. Исправление для Chrome вышло в тот же день, когда появилась запись в KEV.

Содержание

Что именно подтвердила CISA
Cisco BroadWorks: чтение файлов через XML
Barracuda: два разных сценария
Openwave Webtop: обход ограничений на типы файлов
Microsoft Outlook: подмена без предупреждения
Chrome: use-after-free в XML
Что означает попадание в KEV
Ссылки

Что именно подтвердила CISA

Cisco BroadWorks: чтение файлов через XML

CVE-2026-20320 получила CVSS 3.1 7,5 (HIGH) и относится к классу CWE-611, неправильное ограничение внешних сущностей XML. Ошибка находится в XML-парсере Open Client Interface (OCI) в Cisco BroadWorks. Парсер по умолчанию разрешает разбор внешних сущностей. Из-за этого специально собранное XML-сообщение может заставить систему подставить в ответ содержимое локального файла.

Атака идёт по сети, не требует привилегий и участия пользователя. Достаточно отправить сообщение в службу OCI-P, которая отвечает за провижининг. Успешная эксплуатация даёт чтение чувствительных файлов конфигурации с правами пользователя Cisco BroadWorks. Влияние ограничено конфиденциальностью: целостность и доступность не страдают. Именно конфигурация интересна атакующему, потому что в ней могут быть учётные данные и параметры интеграций.

Запись CVE опубликована 19 августа 2026 года, а в KEV попала 10 ноября. В описании нет перечня конкретных версий: для продукта указано значение N/A. Обходных мер вендор в записи не приводит.

Barracuda: два разных сценария

CVE-2026-116606 - наиболее опасная запись в подборке. Это обход аутентификации в Barracuda Email Security Gateway с CVSS 4.0 9,3 (CRITICAL) и CWE-288. Уязвимы версии ниже 9.4.0.030. Неаутентифицированный удалённый атакующий может вызвать функцию импорта конфигурации и восстановить специально подготовленный совместимый архив резервной копии. Итог - несанкционированное изменение глобальной конфигурации шлюза.

Практический риск здесь выше, чем кажется по формулировке. Восстановление конфигурации затрагивает параметры маршрутизации почты, правила обработки, списки доступа и учётные записи. Атакующему не нужны ни привилегии, ни действие пользователя. Вектор сетевой, сложность низкая, все три свойства - конфиденциальность, целостность и доступность - оцениваются как высокие.

CVE-2026-111560 - другая ошибка, CWE-78, внедрение команд операционной системы. Она затрагивает несколько продуктов Barracuda: Email Security Gateway до 9.4.0.27 включительно, Load Balancer ADC до 6.4.0, Web Application Firewall до 11.0.1, Web Security Gateway до 16.1.100.100, Message Archiver до 5.5.4.0 и WAF Control Center до 2.2.1. Причина - ненадлежащая нейтрализация метасимволов оболочки в поле настройки часового пояса. Аутентифицированный администратор может внедрить команды, которые выполнятся с правами root при обработке сохранённого значения.

CVSS 4.0 для этой записи - 8,6 (HIGH). Требуются высокие привилегии, но не нужно участие пользователя. Сценарий важен для закрепления в системе: административный доступ к панели сам по себе не должен давать root на уровне ОС. Попадание в KEV показывает, что такая цепочка уже используется.

Openwave Webtop: обход ограничений на типы файлов

CVE-2026-111793 относится к Webtop Media Transcoder от Openwave Messaging. Это CWE-669, некорректная передача ресурсов между границами доверия. Компонент не применяет заданные администратором ограничения на типы файлов, которые разрешено конвертировать. Аутентифицированный пользователь может обойти веб-интерфейс Webmail и отправить на обработку документы неожиданных типов.

Оценка скромнее: CVSS 3.1 4,3 (MEDIUM), влияние только на доступность, и то низкое. Уязвимы версии ниже 1.1.22.0. Сетевой вектор, низкая сложность, низкие привилегии пользователя. Несмотря на средний балл, CISA включила запись в каталог. Это напоминание, что KEV опирается на факты эксплуатации, а не на CVSS.

Microsoft Outlook: подмена без предупреждения

CVE-2026-124194 - уязвимость подмены в Outlook, CWE-356. Интерфейс не предупреждает пользователя об опасном действии. Оценка CVSS 3.1 - 6,5 (MEDIUM). Атака сетевая, сложность низкая, привилегии не нужны, но требуется взаимодействие пользователя. Влияние на конфиденциальность высокое, на целостность и доступность - нет.

Речь о том, что Outlook может показать вводящий в заблуждение элемент интерфейса и не выдать стандартное предупреждение. Пользователь принимает решение, опираясь на неполный сигнал. Затронуты Microsoft 365 Apps for Enterprise, Office LTSC 2021 до 16.0.14334.21048 и Office LTSC 2024 до 16.0.17932.21140. Для подписочных версий в записи указана ссылка на страницу релизов, а не конкретный номер сборки.

Chrome: use-after-free в XML

CVE-2026-125350 - use-after-free в обработке XML в Google Chrome до 157.0.8103.50. Это CWE-416: программа обращается к памяти после её освобождения. Злоумышленник может подготовить HTML-страницу, которая вызовет ошибку и приведёт к выполнению произвольного кода внутри песочницы браузера. Chromium присвоил проблеме уровень High, CISA-ADP оценила её в CVSS 3.1 8,8 (HIGH).

Атака идёт по сети, сложность низкая, привилегии не нужны, но жертва должна открыть страницу. Формулировка про песочницу важна: код выполняется в ограниченной среде. Сам по себе такой доступ серьёзен, а в связке с ошибкой выхода из песочницы превращается в полную компрометацию устройства. Запись опубликована и добавлена в KEV в один день.

Что означает попадание в KEV

Каталог Known Exploited Vulnerabilities содержит уязвимости, для которых есть свидетельства эксплуатации в реальных атаках. Попадание в KEV - это не предположение и не результат сканирования. Это подтверждённый сигнал, что ошибку уже используют.

Порядок действий

Сначала проверьте наличие затронутых систем. Для Cisco BroadWorks важен доступность службы OCI-P из недоверенных сетей. Для Barracuda - модели и версии прошивок, особенно Email Security Gateway. Для Openwave - версия Webtop Media Transcoder. Outlook и Chrome обновляются штатными средствами, но парк браузеров стоит проверить отдельно.

Обновите продукты до исправленных версий: Chrome до 157.0.8103.50, Openwave до 1.1.22.0, Barracuda ESG до 9.4.0.030 и выше. Для остальных продуктов Barracuda ориентируйтесь на версии из бюллетеня вендора. После обновления Barracuda ESG проверьте целостность глобальной конфигурации и журналы импорта. Смените административные учётные данные, если есть подозрение на компрометацию.

Если обновиться сразу нельзя, ограничьте сетевой доступ к административным интерфейсам и службе OCI-P. Вендор не приводит обходных мер в записях CVE, поэтому изоляция и сегментация остаются основными временными мерами. Ослаблять их можно только после установки патча.