Выбранные события и границы исправлений
Ретроспектива охватывает период с 2026-01-01 по 2026-01-31. Источники проверены 6 ноября 2026 года. В таблице указаны исторические границы исправлений соответствующих веток. Для установки выбирайте версию, поддерживаемую на момент обновления, или пакет дистрибутива с подтверждённым backport; старый номер исправления не означает рекомендацию поставить устаревшую ветку.
Для выбранных случаев обзор подтверждает раскрытие или выпуск безопасности и указанные в источнике условия. Активная эксплуатация и исторические статусы CISA KEV или EPSS здесь не заявлены. Отсутствие сведений об эксплуатации оставлено неизвестным.
| Дата события | Продукт и уведомление | Исправления по соответствующим веткам |
|---|---|---|
| 2026-01-27 | OpenSSL | CVE-2025-15467 | 3.6.1 / 3.5.5 / 3.4.4 / 3.3.6 / 3.0.19 |
| 2026-01-13 | Node.js | CVE-2025-59465 | 20.20.0 / 22.22.0 / 24.13.0 / 25.3.0 |
| 2026-01-07 | curl | CVE-2025-14524 | 8.18.0 / 8.16.1 / 8.14.2 |
OpenSSL: обработка сообщений CMS (CVE-2025-15467)
Специально подготовленное сообщение CMS с шифрованием AEAD может переполнить буфер стека, вызвать сбой или выполнение кода. Проверять нужно приложения, которые разбирают недоверенные CMS или PKCS#7, в том числе некоторые процессы S/MIME. Само использование TLS ещё не означает доступность этого обработчика.
Найдите почтовые и документные сервисы, которые разбирают эти форматы. Уточните загруженную библиотеку и исправление в пакете дистрибутива, затем согласуйте перезапуск.
Node.js: падение процесса HTTP/2 (CVE-2025-59465)
Некорректные заголовки HTTP/2 могут вызвать необработанную ошибку сокета и завершить процесс Node.js. Январское уведомление охватывает действовавшие тогда ветки 20, 22, 24 и 25. Применимость зависит от места завершения HTTP/2 и обработки ошибок защищённых сокетов.
Уточните, принимает HTTP/2 сам Node.js или обратный прокси. Установите поддерживаемый исправленный runtime и проверьте API и перезапуск приложения.
curl: токен при смене протокола (CVE-2025-14524)
HTTP-запрос с OAuth2 bearer token может передать токен постороннему получателю при перенаправлении на IMAP, LDAP, POP3 или SMTP. Уведомление curl вышло в январе, хотя номер CVE начинается с 2025. Исправления есть и в указанных старых ветках сопровождения.
Проверьте правила перенаправлений API-клиента и встроенную libcurl. После обновления проверьте штатный авторизованный запрос; при следах постороннего получателя оцените необходимость замены токена.
Утечки и киберинциденты в сообщениях месяца
Эти случаи освещались в публичных сообщениях за январь 2026. Если известна дата обнаружения, она указана отдельно. Описания сохраняют ограничения источников: простой сам по себе не доказывает кражу данных, а число записей не равно числу людей.
| Организация | Публичное сообщение | Инцидент |
|---|---|---|
| Betterment | 2026-01-09 | Чужой доступ к аккаунтам |
| Manage My Health | 2026-01-01 | Раскрытие информации |
Betterment: мошеннические сообщения через маркетинговую платформу (2026-01-09)
2026-01-09 Betterment сообщила о ложном криптовалютном предложении, отправленном через стороннюю систему коммуникаций. В обновлении от 12 января компания связала доступ с социальной инженерией и указала на раскрытие части контактных данных клиентов; компрометацию клиентских аккаунтов и паролей она не подтвердила.
Если бизнес использует сервис рассылок или push-уведомлений, проверьте, кто может отправлять кампании и выгружать контакты. Согласовывайте финансовые предложения отдельно и предусмотрите отзыв сеансов и токенов доступа поставщика.
Manage My Health: январское раскрытие утечки документов (2026-01-01)
В сообщении Manage My Health от 2 января указаны обнаружение инцидента 2025-12-30 и первое публичное заявление 2026-01-01. Первоначальное расследование касалось группы документов пациентов; свидетельств доступа к учётным данным пользователей или основной базе пациентов тогда не обнаружили.
Проверяйте права на хранилище документов отдельно от защиты входа в аккаунт. Учитывайте выгруженные медицинские документы и копии удостоверений, ограничивайте доступ по рабочей необходимости и сохраняйте журналы обращений к файлам.
Границы обзора и редакционная запись
Это выборочный обзор для владельцев сайтов и хостинга, а не полный месячный реестр уязвимостей. У каждого раздела есть ссылки на подтверждения. Месяц определяется публичным раскрытием или выпуском безопасности; дата закрытого сообщения, год резервирования CVE и более поздняя правка записи не определяют этот месяц.
Первая редакция подготовлена 6 ноября 2026 года. Действующие уведомления могут содержать поздние уточнения, поэтому статья не воспроизводит точное состояние источников на конец месяца. Исправлений этой редакции пока нет. Содержательное изменение получит датированную запись и обновление метаданных статьи.
