Обнаружена критическая уязвимость в JetBrains YouTrack, позволяющая обойти авторизацию

В Банке данных угроз безопасности информации (BDU) зарегистрирована новая серьёзная уязвимость в популярном программном средстве для управления проектами и задачами YouTrack от компании JetBrains. Идентификатор уязвимости - BDU:2026-03550. Проблема, получившая также идентификатор CVE-2026-28193, связана с отсутствием надлежащей процедуры авторизации и классифицируется как уязвимость архитектуры. Эксплуатация этой слабости может позволить злоумышленнику, действующему удалённо, обойти существующие механизмы безопасности системы.

Детали уязвимости

Уязвимость затрагивает версии YouTrack до 2026.3.121962. Производитель уже подтвердил её наличие и выпустил исправления. Согласно данным BDU, уязвимость относится к высокому уровню опасности. Базовый балл по шкале CVSS 2.0 составляет 9.0, а по более современной CVSS 3.1 - 8.8. Оба значения указывают на критическую степень угрозы. Вектор атаки по CVSS 3.1 описывается как сетевой, с низкой сложностью эксплуатации, требующий наличия привилегий обычного пользователя, но не требующий взаимодействия с пользователем для успешной атаки. Последствия полного компрометирования системы включают полную потерю конфиденциальности, целостности и доступности данных.

Технически ошибка отнесена к классу CWE-862, что означает "Missing Authorization". Проще говоря, в некоторых компонентах или функциях YouTrack проверка прав доступа пользователя выполняется некорректно или отсутствует вовсе. Это может позволить аутентифицированному пользователю с базовыми правами выполнять действия, которые должны быть доступны только администраторам, либо вовсе дать возможность неавторизованному лицу получить доступ к защищённым данным или функциям. Подобные уязвимости часто становятся первым шагом для злоумышленников в цепочке атаки, ведущей к полному контролю над системой.

YouTrack широко используется командами разработчиков и не только для отслеживания задач, багрепортов и управления workflows. Следовательно, в системе может храниться высокочувствительная информация: исходный код, детали неисправленных уязвимостей, планы по разработке продуктов, данные сотрудников и клиентов. Утечка такой информации или её модификация способна нанести бизнесу значительный репутационный и финансовый ущерб. Кроме того, злоумышленник может использовать доступ к YouTrack для дальнейшего продвижения по корпоративной сети, особенно если система интегрирована с другими инструментами.

На данный момент информация о наличии публичных эксплойтов, то есть готовых инструментов для эксплуатации уязвимости, уточняется. Однако высокий рейтинг CVSS и относительная простота атаки, не требующей сложных условий, делают вероятным появление таких инструментов в ближайшее время. Поэтому затягивать с обновлением крайне рискованно. Единственным рекомендованным способом устранения уязвимости является немедленное обновление программного обеспечения YouTrack до версии, выпущенной после 2026.3.121962. Актуальные патчи и рекомендации всегда публикуются производителем на специальной странице, посвящённой исправленным проблемам безопасности.

JetBrains, как ответственный вендор, оперативно отреагировал на обнаруженную проблему. Уязвимость уже устранена в актуальных сборках продукта. Компания рекомендует всем клиентам своевременно применять обновления безопасности. Для комплексной защиты важно не только обновлять ядро YouTrack, но и следить за безопасностью сопутствующих компонентов и инфраструктуры. Регулярное проведение аудитов прав доступа, принцип минимальных привилегий и сегментация сети являются ключевыми практиками, которые могут смягчить последствия даже в случае успешной эксплуатации подобных уязвимостей.

Таким образом, системным администраторам и командам информационной безопасности, использующим JetBrains YouTrack, необходимо в приоритетном порядке проверить версии развёрнутых экземпляров и выполнить их обновление. Промедление с установкой патча подвергает организацию реальному риску серьёзного инцидента безопасности, который может начаться с простого обхода авторизации в системе управления задачами. Постоянный мониторинг источников, таких как BDU и базы данных CVE, остаётся критически важной практикой для оперативного реагирования на новые киберугрозы.

Детали уязвимости

Ссылки