Esri закрыла в Portal for ArcGIS три уязвимости, и одна из них позволяет обратиться к административным функциям портала без проверки подлинности. Идентификатор этой уязвимости - CVE-2026-69227, рейтинг по шкале CVSS - 9.8. Уязвимы все версии 12.1 и более ранние. Исправление вышло 24 сентября 2026 года в составе пакета Portal for ArcGIS 2026 Security Update 4.
Три уязвимости Portal for ArcGIS в бюллетене Esri
Portal for ArcGIS - веб-компонент ArcGIS Enterprise, через который сотрудники организации работают с картами, слоями и приложениями. Обычно он связан с корпоративным каталогом пользователей, поэтому ошибки в проверке прав затрагивают не одно приложение, а всю геоинформационную инфраструктуру предприятия. Из трёх закрытых проблем одна тянет на критический уровень, ещё две оцениваются как средние.
Административные функции без входа в систему
CVE-2026-69227 относится к классу "отсутствие аутентификации для критичной функции". При определённых условиях запросы к части административных программных интерфейсов (API) портала не проверяют учётные данные. Посторонний получает доступ к возможностям, которые рассчитаны на администратора. Для атаки достаточно сетевого доступа: ни учётная запись, ни действия со стороны пользователя не нужны. Портал, открытый в интернет, оказывается самым удобным вариантом для такой попытки.
Оценку 9.8 поставила сама Esri как организация, выпустившая идентификатор CVE. Национальная база данных уязвимостей США (NVD) собственный анализ пока не опубликовала, поэтому зарубежные агрегаторы показывают расхождение: у одного источника балл есть, у другого он не заполнен. Это обычная задержка при публикации свежих записей, но она означает, что независимой проверки оценки ещё не было.
Регистрация учётных записей в обход запрета
Вторая уязвимость, CVE-2026-69226, связана с некорректной авторизацией. Её рейтинг - 6.5, уровень средний. Пользователь без учётной записи может создать её через функцию обмена, даже когда самостоятельная регистрация в портале отключена настройками. Обход ограничения приводит к появлению лишних учётных записей, а дальше всё зависит от того, какие права портал выдаёт обычному пользователю по умолчанию.
Смысл ограничения на самостоятельную регистрацию как раз в том, чтобы круг пользователей портала определял администратор. Если регистрацию обходят, контролировать состав пользователей не получается, и учётная запись, созданная в обход, становится удобной точкой для дальнейших действий внутри периметра.
LDAP-инъекция под правами администратора
Третья уязвимость, CVE-2026-10759 с рейтингом 5.5, - это внедрение команд в LDAP-запросы (LDAP-инъекция). Портал строит запросы к Active Directory, а также к другим службам каталогов и недостаточно обрабатывает специальные символы во входных данных. Администратор с доступом к таким настройкам может подставить собственный фрагмент и изменить запрос, что приведёт к нежелательным операциям с каталогом.
Для эксплуатации нужны права администратора, поэтому уязвимость опасна прежде всего при компрометации учётной записи с расширенными правами или при злоупотреблении внутри организации. Зато и последствия шире одного портала: некорректный запрос уходит в службу каталогов, от которой зависят другие корпоративные системы.
Что делать администраторам
Установить Portal for ArcGIS 2026 Security Update 4. Пакет кумулятивный, предыдущие патчи безопасности ставить перед ним не нужно, хотя утилита уведомления о патчах упрощает проверку состояния. Esri просит не откладывать установку. Межсетевой экран уровня веб-приложений (WAF) поможет блокировать вредоносные шаблоны в запросах. Базовый профиль из руководства по усилению защиты ArcGIS сокращает поверхность атаки.
Пока патч не установлен, есть временная мера: убрать назначенные по умолчанию тип пользователя и роль для новых участников через ресурс настройки организации (self/userDefaultSettings). Если такие значения не заданы, ограничения на создание учётных записей обойти нельзя. После установки патча настройки возвращают на место.
Особого внимания требуют порталы, доступные из интернета. Первая уязвимость не требует ни учётных данных, ни действий пользователя, поэтому для внешних развёртываний установка патча становится первоочередной задачей. Тем, у кого портал закрыт во внутренней сети, спешить меньше, но откладывать установку на месяцы не стоит: внутренний периметр тоже пробивают.
Всем пользователям ArcGIS Enterprise Esri также советует перейти на последнюю версию с длительной поддержкой. Патчи выпущены и для веток в статусе общей доступности, и для тех, что находятся в расширенной поддержке, однако защитные механизмы обновляются прежде всего в актуальных релизах.
Ссылки
- https://www.esri.com/arcgis-blog/products/trust-arcgis/administration/september-2026-arcgis-security-bulletin
- https://nvd.nist.gov/vuln/detail/cve-2026-69227
- https://nvd.nist.gov/vuln/detail/cve-2026-69226
- https://nvd.nist.gov/vuln/detail/cve-2026-10759
