YouTrack, средство управления проектами и задачами от JetBrains, содержит уязвимость обхода аутентификации. Удалённый злоумышленник может выдать себя за доверенного отправителя и войти в чужую учётную запись. Оценка по CVSS 3.1 - 9,8 из 10, по устаревшей CVSS 2.0 - все 10 баллов, уровень опасности вендор и Банк данных угроз безопасности информации (BDU) определяют как критический. Уязвимы сборки ниже 2026.1.14042 и ниже 2025.3.161254; исправленные версии уже вышли, но рабочий пример эксплуатации опубликован открыто.
Уязвимость CVE-2026-86478 в JetBrains YouTrack
Проблема относится к классу CWE-290, обход аутентификации через подмену. YouTrack полагается на список разрешённых отправителей - перечень адресов или идентификаторов, которым система доверяет без повторной проверки. Процедура авторизации сопоставляет входящие данные с этим списком некорректно. Подделанное значение проходит проверку, и система принимает злоумышленника за того, кем он не является. В карточке BDU:2026-17518 способ эксплуатации описан как подмена при взаимодействии.
Для атакующего условия близки к идеальным. Учётные данные не нужны, права не нужны, действия со стороны пользователя тоже не требуются, а сама атака идёт по сети. Такой набор параметров в CVSS даёт максимальные значения по всем трём составляющим: конфиденциальности, целостности и доступности. Проще говоря, владелец поддельного отправителя не просто читает чужие задачи. Он может менять данные и влиять на работу учётной записи.
Затронуты обе поддерживаемые ветки - и актуальная 2026.1, и предыдущая 2025.3. Уязвимость подтвердил производитель; дата выявления в бюллетене - 7 сентября 2026 года. Ссылка на публичный пример эксплуатации ведёт на GitHub, то есть проверить работу атаки может любой, у кого есть доступ к веб-интерфейсу системы.
YouTrack редко выставляют в интернет, но внутри периметра он накапливает чувствительные данные. В задачах и комментариях оседают схемы инфраструктуры, описания инцидентов, выдержки из переписки, иногда учётные данные для смежных систем. Захват учётной записи администратора проекта даёт больше, чем доступ к одному трекеру: через настройки интеграций и вебхуков можно дотянуться до соседних сервисов. Оценки по целостности и доступности здесь не формальность - они прямо указывают на возможность изменять и удалять данные.
Обновления вышли в двух ветках: 2026.1.14042 и 2025.3.161254. Всё, что ниже этих сборок, остаётся уязвимым. Рекомендации и перечень исправленных проблем безопасности JetBrains публикует на отдельной странице своего сайта. Отдельного обходного пути, который закрывал бы ошибку без обновления, в источнике не приводится.
Проверить установленную версию можно в разделе настроек самой системы. Администраторам стоит пройти по списку инсталляций, включая тестовые и резервные копии, которые часто отстают на несколько выпусков. Обновление до 2026.1.14042 или 2025.3.161254 закрывает уязвимость; выбирать между ветками нужно по текущей базе развёртывания. До установки исправления доступ к веб-интерфейсу YouTrack из внешних сетей имеет смысл ограничить на уровне межсетевого экрана или обратного прокси. Заодно стоит просмотреть журналы входов за последние недели на предмет сессий, начатых без обычной процедуры аутентификации.
Готовый эксплойт в открытом доступе сокращает разрыв между раскрытием уязвимости и первыми попытками её использовать. Для внутренних систем вроде трекера задач это означает, что обновление лучше не откладывать до планового окна обслуживания. Уязвимость с таким вектором не требует ни подготовки, ни привилегий - только сетевой доступ к серверу, на котором работает YouTrack.
Ссылки
- https://bdu.fstec.ru/vul/2026-17518
- https://www.cve.org/CVERecord?id=CVE-2026-86478
- https://www.jetbrains.com/privacy-security/issues-fixed/
- https://github.com/LHeiakim/CVE-2026-86478-PoC
