Система сетевого мониторинга LibreNMS в версиях до 26.7.0 включительно неправильно проверяет подлинность запросов к REST API. Уязвимость CVE-2026-86426 позволяет удалённому злоумышленнику без учётной записи читать защищаемую информацию и выполнять на сервере произвольный код. Производитель подтвердил проблему, исправление появилось в версии 26.8.0.
CVE-2026-86426 обход аутентификации в LibreNMS
LibreNMS - свободно распространяемая платформа мониторинга сетей. Она собирает сведения о состоянии коммутаторов, маршрутизаторов, серверов и источников бесперебойного питания по SNMP (простой протокол сетевого управления), строит карты связей и оповещает администраторов об отказах. Платформу разворачивают в корпоративных сетях, у операторов связи и в дата-центрах. Такой узел видит инфраструктуру целиком, поэтому ошибка в его коде затрагивает не только сам сервер мониторинга.
REST API - набор методов, через которые внешние программы запрашивают у системы список устройств, их статусы и параметры настройки. Ошибка относится к классу CWE-287, то есть к неправильной аутентификации. Часть запросов система обрабатывает, не убедившись в правах отправителя. Пройти проверку можно без пароля, без ключа доступа и без действующей сессии.
По шкале CVSS 3.1 уязвимость набирает 9,8 балла, по CVSS 4.0 - 9,2, по устаревшей CVSS 2.0 - все 10. Все три оценки соответствуют критическому уровню опасности. Вектор описывает атаку по сети: специальные условия не нужны, привилегии не требуются, участие пользователя тоже. Влияние на конфиденциальность, целостность и доступность данных высокое по всем трём параметрам.
Эксплойт уже выложен в открытый доступ. На GitHub опубликованы как минимум две реализации под идентификатором CVE-2026-86426. Дату выявления Банк данных угроз безопасности информации указывает как 17 августа 2026 года. Статус уязвимости - подтверждена производителем. Порог входа для атакующего сводится к сетевому доступу до интерфейса системы.
Системы мониторинга привлекательны для злоумышленников по двум причинам. Они агрегируют сведения обо всей инфраструктуре, включая имена узлов, адреса, модели оборудования и версии прошивок. Кроме того, такие платформы нередко хранят учётные данные для опроса устройств. Захват узла мониторинга даёт атакующему карту сети и опорную точку для бокового перемещения, то есть перехода на другие системы с украденными правами. Отдельный риск создаёт привычка открывать панель LibreNMS из интернета ради удобного просмотра графиков с телефона. REST API при этом часто остаётся включённым.
Разработчики закрыли дыру в релизе 26.8.0. Ветки 26.7.x и более ранние остаются уязвимыми, поэтому простого обновления пакетов в большинстве дистрибутивов недостаточно: нужно проверить, какая именно версия работает на сервере. Подробности вендор опубликовал в рекомендациях GHSA-cvq8-gqfq-3mvg и в списке изменений к релизу.
Администраторам стоит перевести LibreNMS на 26.8.0. Если обновление отложено, закройте REST API от внешних адресов и оставьте доступ только из сегмента администраторов. Сам сервер мониторинга лучше вынести в отдельный VLAN и ограничить исходящие соединения с него. Просмотрите журналы веб-сервера на запросы к API без действующей сессии. При любых подозрениях на компрометацию смените учётные данные, которыми LibreNMS опрашивает оборудование.
Платформы мониторинга всё чаще попадают в поле зрения атакующих: они совмещают роль справочника по инфраструктуре и хранилища служебных доступов. Ошибка аутентификации в таком узле обесценивает сегментацию, выстроенную вокруг рабочих серверов. Публичный эксплойт сокращает окно между раскрытием сведений об уязвимости и первой попыткой её использовать.
Ссылки
- https://bdu.fstec.ru/vul/2026-17908
- https://www.cve.org/CVERecord?id=CVE-2026-86426
- https://github.com/librenms/librenms/releases#release-26.8.0
- https://github.com/librenms/librenms/security/advisories/GHSA-cvq8-gqfq-3mvg
- https://github.com/piecar21/CVE-2026-86426
- https://github.com/Guila95/CVE-2026-86426
