Выбранные события и границы исправлений
Ретроспектива охватывает период с 2026-03-01 по 2026-03-31. Источники проверены 6 ноября 2026 года. В таблице указаны исторические границы исправлений соответствующих веток. Для установки выбирайте версию, поддерживаемую на момент обновления, или пакет дистрибутива с подтверждённым backport; старый номер исправления не означает рекомендацию поставить устаревшую ветку.
Для выбранных случаев обзор подтверждает раскрытие или выпуск безопасности и указанные в источнике условия. Активная эксплуатация и исторические статусы CISA KEV или EPSS здесь не заявлены. Отсутствие сведений об эксплуатации оставлено неизвестным.
| Дата события | Продукт и уведомление | Исправления по соответствующим веткам |
|---|---|---|
| 2026-03-10 | WordPress | 6.9.2 |
| 2026-03-24 | Node.js | CVE-2026-21710 | 20.20.2 / 22.22.2 / 24.14.1 / 25.8.2 |
| 2026-03-11 | curl | CVE-2026-3783 | 8.19.0 / 8.16.1 / 8.14.2 |
WordPress: мартовский выпуск безопасности ядра
WordPress 6.9.2 исправляет несколько разных проблем: blind SSRF, хранимый XSS, ошибки авторизации и обход пути при работе с архивом. Выпуск также согласован с исправлением внешней getID3. У каждого случая свои условия; уведомление не описывает единый способ атаки на любую установку.
Установите актуальную поддерживаемую версию ядра или подтвердите backport своей ветки. На копии проверьте медиафайлы, права редакторов и путь заявки перед обновлением рабочего сайта.
Node.js: заголовки запросов и доступность (CVE-2026-21710)
Запрос с заголовком __proto__ может завершить HTTP-сервер Node.js, если приложение обращается к req.headersDistinct. Исключение возникает при чтении свойства. Мартовский выпуск безопасности исправляет проблему в действовавших тогда ветках 20, 22, 24 и 25.
Проверьте использование req.headersDistinct в приложении и middleware. Обновите runtime, затем проверьте обработку ошибок API и мониторинг на контролируемых запросах без проверки падения в production.
curl: перенаправления, netrc и bearer token (CVE-2026-3783)
После перенаправления bearer token может попасть другому хосту, если для получателя есть запись в netrc, в том числе default. Проверять нужно клиентов, совмещающих эти возможности. Мартовское исправление относится к отдельному случаю, а не заменяет описание январской проблемы со сменой протокола.
Проверьте netrc в заданиях по расписанию и интеграциях деплоя. Явно задайте разрешённые направления, обновите библиотеку и убедитесь, что авторизованные запросы идут только нужному получателю.
Утечки и киберинциденты в сообщениях месяца
Эти случаи освещались в публичных сообщениях за март 2026. Если известна дата обнаружения, она указана отдельно. Описания сохраняют ограничения источников: простой сам по себе не доказывает кражу данных, а число записей не равно числу людей.
| Организация | Публичное сообщение | Инцидент |
|---|---|---|
| Loblaw | 2026-03-10 | Раскрытие информации |
| Stryker | 2026-03-11 | Нарушение работы |
Loblaw: контактные данные и сброс клиентских сеансов (2026-03-10)
2026-03-10 Loblaw сообщила о несанкционированном доступе к именам, телефонам и адресам электронной почты клиентов. Компания завершила клиентские сеансы в рамках реагирования; первоначальное расследование не указывало на компрометацию паролей, медицинской информации или данных банковских карт.
Подготовьте управляемый отзыв клиентских сеансов при инциденте. Понятно объясняйте необходимость повторного входа и проверяйте, нельзя ли использовать раскрытые контакты для подмены личности при восстановлении доступа или обращении в поддержку.
Stryker: сбой корпоративной среды Microsoft (2026-03-11)
В отчёте от 2026-03-11 Stryker описала киберинцидент с глобальным нарушением работы своей среды Microsoft и ограничением доступа к бизнес-приложениям. Полный масштаб и последствия ещё расследовались; документ не устанавливал конкретный объём похищенных данных.
Определите процессы, зависящие от одной системы идентификации и совместной работы. Отрепетируйте независимый способ связи, приёма заказов и проверки восстановленного доступа на случай недоступности этой среды.
Границы обзора и редакционная запись
Это выборочный обзор для владельцев сайтов и хостинга, а не полный месячный реестр уязвимостей. У каждого раздела есть ссылки на подтверждения. Месяц определяется публичным раскрытием или выпуском безопасности; дата закрытого сообщения, год резервирования CVE и более поздняя правка записи не определяют этот месяц.
Первая редакция подготовлена 6 ноября 2026 года. Действующие уведомления могут содержать поздние уточнения, поэтому статья не воспроизводит точное состояние источников на конец месяца. Исправлений этой редакции пока нет. Содержательное изменение получит датированную запись и обновление метаданных статьи.
