В операционной системе Junos OS, на которой работают маршрутизаторы и коммутаторы Juniper Networks, обнаружены две уязвимости критического уровня опасности. Первая затрагивает веб-интерфейс управления J-Web и позволяет удалённо выполнить произвольные команды с правами root. Вторая связана с функцией Extended Echo и приводит к отказу в обслуживании. Производитель подтвердил обе проблемы, причём для атаки не нужны ни учётная запись, ни действие со стороны администратора.
Две уязвимости Junos OS в J-Web и Extended Echo
Базовая оценка по CVSS 3.1 у обеих составляет 9,8, по версии 4.0 - 9,3. Банк данных угроз безопасности информации относит их к критическому уровню опасности. Вектор одинаковый: удалённый доступ по сети, низкая сложность эксплуатации, отсутствие требований к привилегиям и к участию пользователя. Проблемы выявлены 14 октября 2026 года, обе признаны производителем, обе уже закрыты в актуальных сборках.
J-Web открывает путь к выполнению команд
Уязвимость CVE-2026-101956 относится к классу ошибок аутентификации (CWE-287). Процедура проверки подлинности в J-Web работает некорректно, и запрос без действительных учётных данных получает доступ к интерфейсу. За ним открывается выполнение команд с правами root. Это максимальный уровень контроля над устройством. Злоумышленник может переписать конфигурацию, перенаправить трафик через свой узел, завести новую учётную запись или установить стороннее программное обеспечение. Маршрутизатор при этом продолжит работать штатно, поэтому заметить вмешательство по сбоям в передаче данных не получится. Затронуто ядро сетевой инфраструктуры, где J-Web нередко включён ради удобства удалённого администрирования.
Extended Echo ведёт к отказу в обслуживании
Вторая уязвимость, CVE-2026-101980, вызвана целочисленной потерей значимости (CWE-191). При обработке специально сформированных структур данных в функции Extended Echo вычисляемая длина или счётчик выходят за допустимые пределы. Логика разбора данных теряет контроль над структурой, и устройство перестаёт отвечать на запросы. Итог - отказ в обслуживании: маршрутизатор или коммутатор выпадает из сети и перестаёт передавать трафик. Восстановление требует перезагрузки, а на магистральном оборудовании даже короткий простой означает разрыв соединений у тысяч абонентов. Сложность эксплуатации низкая, специальных условий не требуется.
Контекст здесь важнее конкретных версий. Обе брандмауэрные и маршрутизирующие платформы Juniper часто стоят на границе сети и в центрах обработки данных. Уязвимость с правами root в веб-интерфейсе даёт полный контроль над таким устройством, а отказ в обслуживании бьёт по доступности всей сети. Сведений о работающих эксплойтах в открытых источниках нет: статус наличия эксплойта в Банке данных угроз безопасности информации (BDU) помечен как уточняющийся. Это не отменяет риска. Публичного подтверждения атак не бывает до тех пор, пока кто-то не начнёт их проводить.
Как закрыть уязвимости
Уязвимые сборки перечислены в бюллетене Juniper Networks: Junos OS до 23.2R2-S7.7, а также ветки 23.4, 24.2, 24.4, 25.2, 25.4 и 26.2 - в каждой указана последняя уязвимая сборка. Обновляться нужно на выпуск новее указанного в каждой ветке; точные номера приведены в самом бюллетене. Если перенести установку нельзя, разумно закрыть J-Web от внешних сетей и оставить доступ только из административного сегмента. Когда веб-интерфейс не используется, его стоит отключить: вместе с ним исчезает и поверхность атаки по первой уязвимости. Для второй мере профилактики служит ограничение доступа к самому устройству по сети.
Общая оценка 9,8 сразу у двух разных по природе уязвимостей говорит о том, что сетевое оборудование остаётся привлекательной целью. Одна ошибка открывает полный доступ к системе, другая роняет её без всякой аутентификации. Закрывать их лучше в одном цикле обновления: обе присутствуют в одних и тех же сборках, и раздельная установка лишь растянет окно уязвимости.
Ссылки
- https://bdu.fstec.ru/vul/2026-17388
- https://bdu.fstec.ru/vul/2026-17389
- https://www.cve.org/CVERecord?id=CVE-2026-101980
- https://www.cve.org/CVERecord?id=CVE-2026-101956
- https://supportportal.juniper.net/s/article/2026-10-Security-Bulletin-Junos-OS-Multiple-vulnerabilities-resolved
