Уязвимость CVE-2026-6653 в библиотеке Libxml2 позволяет удалённому злоумышленнику вывести из строя приложение, которое обрабатывает XML-документы. Сбой возникает при разборе внутреннего подмножества XML - части документа, где описываются сущности и правила разметки. Учётные данные не нужны, участие пользователя тоже: достаточно, чтобы программа приняла на обработку специально собранный файл. Под угрозой приложения, собранные с Libxml2 версий до 2.11.0. В том же списке - российские операционные системы РЕД ОС 7.3 и 8.0: библиотека входит в их штатный состав.
CVE-2026-6653 в Libxml2 и РЕД ОС
В Банке данных угроз безопасности информации (BDU) уязвимость описана двумя типами ошибки. Первый - использование памяти после освобождения (CWE-416). Библиотека обращается к участку памяти, который уже вернула системе, и результат такого обращения непредсказуем: процесс падает либо продолжает работу с повреждёнными данными. Второй - неверное ограничение XML-ссылок на внешние объекты (CWE-611). Речь о механизме, через который документ подтягивает содержимое из внешних источников. Слабый контроль над такими ссылками расширяет поле для манипуляций структурой документа.
Память после освобождения и внешние сущности
Обе ошибки проявляются на одном участке - обработке ссылок и сущностей при разборе XML. Атакующему не нужно проникать в систему заранее. Он отправляет документ через обычный интерфейс приложения: форму загрузки, почтовый шлюз, обмен данными между сервисами. В описании способа эксплуатации указаны инъекция и манипулирование структурами данных. Проще говоря, злоумышленник подставляет в разметку конструкции, на которых логика библиотеки ломается.
Рейтинг по CVSS 3.1 составляет 9,8 из 10, по устаревшей шкале CVSS 2.0 - 10. Оценка CVSS 4.0 ниже: 7 баллов, высокий уровень. Вектор закладывает серьёзные последствия для конфиденциальности, целостности и доступности. При этом открытое описание ограничивает практический результат отказом в обслуживании: служба перестаёт отвечать на запросы. О получении контроля над системой в источнике речи нет.
Публичный эксплойт и подтверждение вендора
Дата выявления - 17 февраля 2026 года. Производитель уязвимость подтвердил, то есть ошибка воспроизводится и не является теоретической. В открытом доступе есть эксплойт. Готовый инструмент снижает порог входа: для атаки хватает базовых навыков и доступа к сетевому интерфейсу уязвимого сервиса.
Для РЕД ОС картина осложняется тем, что библиотека разбора XML обслуживает самые разные компоненты системы. Падение затронет не одну программу, а цепочку зависимых служб. Насколько широко затронуты конкретные сборки, производитель в бюллетене не раскрывает.
Обновления для Libxml2 и РЕД ОС
Ветку Libxml2 исправили: уязвимые версии - до 2.11.0, более поздние релизы ошибку не содержат. Для РЕД ОС пакеты с исправлением выложены в репозиториях проекта - отдельно для ветки 7.3 в каталоге updates для x86_64, отдельно для 8.0 на x86_64 и aarch64.
Администраторам нужно проверить версию библиотеки на серверах и рабочих станциях и обновить её штатным пакетным менеджером из репозитория проекта. Настройки приёма XML-документов из недоверенных источников лучше ограничить: отключить загрузку внешних сущностей там, где она не нужна, и принимать файлы только от известных контрагентов. Сервисы, которые разбирают XML, разумно изолировать друг от друга, чтобы падение одного процесса не останавливало остальные.
Libxml2 - одна из базовых библиотек, на ней держится разбор XML в тысячах программ, от веб-серверов до офисных пакетов. Ошибка в такой зависимости расходится по продуктам волной, и каждый вендор закрывает её в своём темпе. Отказ в обслуживании бьёт по доступности сервисов, а не по хранящимся данным. Но простой публичного сервиса сам по себе означает потерю времени и денег, а восстановление отнимает силы у дежурных смен. Публичный эксплойт делает эту перспективу вполне будничной.
Ссылки
- https://bdu.fstec.ru/vul/2026-17856
- https://www.cve.org/CVERecord?id=CVE-2026-6653
- https://gitlab.gnome.org/GNOME/libxml2/-/releases
- https://gitlab.gnome.org/GNOME/libxml2/-/work_items/1058
- https://bugs.launchpad.net/ubuntu/+source/libxml2/+bug/2141260
- http://repo.red-soft.ru/redos/7.3c/x86_64/updates/
- http://repo.red-soft.ru/redos/8.0/x86_64/updates/
- http://repo.red-soft.ru/redos/8.0/aarch64/updates/
