Бюллетень Oracle Systems cpuoct2026 от 20 октября 2026 года описывает несколько уязвимостей в Oracle Solaris и Oracle ZFS Storage Appliance Kit. Часть из них позволяет выполнить произвольный код по сети и получить контроль над системой без учётных данных. Другие ведут к отказу в обслуживании, раскрытию данных и обходу политики безопасности. Затронуты ветки Solaris 11.3 и 11.4, а также ZFS Storage Appliance Kit 8.8.
Как эксплуатируются уязвимости Oracle Solaris и ZFS Storage Appliance Kit
Наиболее тяжёлые проблемы сосредоточены в Oracle Solaris, и для них достаточно сетевого доступа. Уязвимость CVE-2026-60432 в компоненте Image Packaging System (система управления пакетами) получает 9.8 из 10. Атака идёт по сети через HTTP, учётные данные не нужны, участие пользователя не требуется. Успешная эксплуатация даёт полный контроль над операционной системой. Такой же уровень у CVE-2026-101537 в компоненте Utility (служебные программы), которая затрагивает только ветку 11.4.
Удалённые атаки без учётных данных
Отказ в обслуживании по сети связан с компонентом Services (службы). У CVE-2026-91252 оценка 8.2 из 10. Атакующий без учётных данных и без участия пользователя вызывает зависание или повторяющиеся падения Solaris, попутно он читает часть доступных данных. Отказ в обслуживании означает, что система перестаёт отвечать на запросы. Похожие проблемы затрагивают ядро системы: они также приходят по сети через HTTP и приводят к полному отказу.
Часть сетевых уязвимостей требует низких привилегий. У CVE-2026-47025 в компоненте Utility оценка 8.8 из 10. Нужен вход в систему с обычной учётной записью, после чего запрос по HTTP даёт контроль над Solaris. Другие проблемы этой группы раскрывают критичные данные или позволяют их изменить. Одна из уязвимостей Image Packaging System срабатывает только при участии пользователя, то есть при действиях человека, а не самого атакующего.
Локальные атаки после входа в систему
Отдельный набор проблем работает лишь с локального доступа. У CVE-2026-91348 в компоненте Utility оценка 8.4 из 10. Атакующему нужен вход в систему, привилегии не требуются, участие пользователя не нужно. Результат тот же - контроль над Solaris. Уязвимость в компоненте Plugins (подключаемые модули) требует привилегированной учётной записи, однако её последствия выходят за пределы Solaris и затрагивают связанные продукты.
Ядро системы тоже содержит локальную уязвимость с полным контролем над Solaris. У CVE-2026-91253 оценка 7.8 из 10, участие пользователя не требуется. Остальные локальные проблемы приводят к зависанию, повторяющимся падениям или изменению данных. Они затрагивают файловые системы, графическую подсистему X Window System и библиотеки. Для части из них нужны действия пользователя, для других достаточно входа в систему.
Уязвимости ZFS Storage Appliance Kit
В ZFS Storage Appliance Kit затронут компонент Core. У CVE-2026-91527 оценка 8.8 из 10. Атакующему с обычной учётной записью достаточно сетевого доступа по HTTP, чтобы получить контроль над системой хранения. Вторая уязвимость того же компонента не требует учётных данных, но даёт только чтение части доступных данных. Обе проблемы относятся к отдельному продукту, а не к Solaris.
Исправления и обходные меры
Номера исправленных версий в уведомлении не названы. Oracle указывает их в бюллетене Oracle Systems cpuoct2026, там же перечислены сами уязвимости. Обходных мер уведомление не приводит. До установки исправлений остаётся отслеживать обновления бюллетеня.
Сведений об эксплуатации этих уязвимостей в реальных атаках нет. Публикация бюллетеня 20 октября 2026 года означает, что сведения о проблемах доступны, но не подтверждает их применение в атаках.
Оценка 9.8 и сетевой доступ без учётных данных ставят Solaris в начало очереди на обновление. ZFS Storage Appliance Kit требует отдельного внимания: эксплуатация даёт контроль над системой хранения.
Ссылки
