Одиннадцать уязвимостей затрагивают платформу резервного копирования Commvault Cloud. Часть из них касается кластерной файловой системы CVFS, которая работает в составе платформы и в комплексах HyperScale X. Одна проблема позволяет выполнять команды на сервере без учётных данных. Другие ведут к раскрытию защищённых файлов или к остановке сервисов. Хранилища резервных копий давно стали отдельной целью для атакующих: доступ к копиям лишает организацию возможности восстановиться. Вендор опубликовал бюллетени 13 октября 2026 года. Десять проблем получили номера CVE, одна осталась без идентификатора. Затронуты сборки 11.36, 11.40, 11.44 и 11.46 на Windows и Linux, а также Grid (HSX) CVFS версий с 5.0.1.0 по 5.0.14.4.
Разбор уязвимостей Commvault Cloud и Grid CVFS
Внедрение команд в CVFS
Наивысшая оценка во всей серии - 9.3 по шкале CVSS 4.0, уровень Critical по классификации вендора. Столько набрала уязвимость CVE-2026-77099. CVFS обрабатывает входящие данные без проверки служебных символов, поэтому специально сформированный запрос превращается в команду операционной системы. Ни учётные данные, ни действия пользователя для такой атаки не нужны. Из-за этого проблема затрагивает серверы на Linux, включая узлы Grid (HSX).
Рядом стоит вторая проблема той же группы, CVE-2026-77096. CVFS допускает вызов критичной функции без проверки подлинности. Оценка ниже - 7.7, уровень High. Атакующему понадобится доступ к смежному сегменту сети и определённые условия, поэтому из внешнего интернета такую атаку не провести. В ветке 11.46 нужный релиз вышел позже, чем для остальных проблем.
Раскрытие информации через CVFS и HyperScale
Ещё одна проблема, CVE-2026-77090, получила оценку 8.7. CVFS подставляет внешние сущности внутри XML-документов и позволяет прочитать файлы, доступные процессу. Речь об ошибке класса XXE, то есть об обработке внешних ссылок в XML. Учётные данные для атаки не нужны, а данные утекают удалённо.
В HyperScale нашлась уязвимость CVE-2026-18228. Обход пути даёт возможность выйти за пределы разрешённого каталога и прочитать данные за его границами. Оценка 7.1, но здесь атакующему нужен вход в систему хотя бы с минимальными правами.
Один бюллетень остался без номера CVE: отсутствие проверки подлинности в CVFS ведёт к раскрытию информации. Вендор отнёс его к среднему уровню, оценка 6.9.
Отказы в обслуживании
Компонент CvFWD содержит три уязвимости сразу: переполнение целого числа; запись за границами буфера; разыменование нулевого указателя. Все три ведут к отказу в обслуживании, рейтинг каждой - 7.1. Для атаки хватит обычной учётной записи.
MediaAgent пострадал сильнее. Переполнение буфера в куче даёт оценку 8.7, приводит к отказу в обслуживании и не требует прав вовсе. В QAPI картина схожая: переполнение буфера в стеке с оценкой 7.1. Здесь обновлять придётся CommServe, веб-сервер, Command Center и сервер индексации.
Замыкает список проблема сетевого уровня обмена сообщениями, тоже 8.7. Механизм сжатия разворачивает небольшой по размеру пакет в огромный объём данных и исчерпывает ресурсы узла. Обновлять нужно все компоненты: CommServe, веб-сервер, Command Center, MediaAgent, клиентские части и HyperScale.
Что делать администраторам
Исправленные версии Commvault Cloud - 11.36.127, 11.40.78, 11.44.25 и 11.46.30. Для уязвимости без проверки подлинности в ветке 11.46 нужна 11.46.40 или выше. Кластерная файловая система обновляется до 5.0.14.5 и выше.
Порядок работ зависит от ветки. На 11.36 и 11.40 сначала обновляют саму платформу, а затем CVFS. На 11.44 и выше обновление HyperScale X уже включает нужные версии CVFS.
Проверить установку можно в Command Center: раздел Manage, затем Servers, фильтр по роли. Версию CVFS на 11.44 и выше смотрят в разделе Manage, Storage, HyperScale X: выбрать пул, вкладку Nodes и конкретный узел. Для 11.40 и ниже подойдёт скрипт whichCommit.sh в оболочке HSX. Версия должна совпадать на всех узлах. Неподдерживаемые сборки обновляют в обязательном порядке.
Резервные копии остаются привлекательной целью, поэтому производители платформ для бэкапа закрывают целые наборы уязвимостей одним пакетом. Заметно, что самая высокая оценка досталась файловой системе, а не веб-интерфейсу. Проблему с отсутствием проверки подлинности в CVFS нашли Michael Tucker и Tan Chew Keong из команды XOR в JPMorgan Chase.
Ссылки
- https://documentation.commvault.com/securityadvisories/
- https://www.cve.org/CVERecord?id=CVE-2026-97334
- https://www.cve.org/CVERecord?id=CVE-2026-97333
- https://www.cve.org/CVERecord?id=CVE-2026-77100
- https://www.cve.org/CVERecord?id=CVE-2026-18228
- https://www.cve.org/CVERecord?id=CVE-2026-77099
- https://documentation.commvault.com/securityadvisories/CV_2026_10_10.html
- https://www.cve.org/CVERecord?id=CVE-2026-77096
- https://www.cve.org/CVERecord?id=CVE-2026-77095
- https://www.cve.org/CVERecord?id=CVE-2026-77094
- https://www.cve.org/CVERecord?id=CVE-2026-77093
- https://www.cve.org/CVERecord?id=CVE-2026-77090
