Выбранные события и границы исправлений
Ретроспектива охватывает период с 2026-04-01 по 2026-04-30. Источники проверены 6 ноября 2026 года. В таблице указаны исторические границы исправлений соответствующих веток. Для установки выбирайте версию, поддерживаемую на момент обновления, или пакет дистрибутива с подтверждённым backport; старый номер исправления не означает рекомендацию поставить устаревшую ветку.
Уведомления подтверждают выбранные раскрытия, исправления и условия. Для Breeze Cache раздел также указывает опубликованные позже наблюдения Wordfence за апрельскими попытками. Исторические статусы CISA KEV и EPSS не заявлены. Эксплуатация остальных выбранных случаев в этом обзоре не подтверждена.
| Дата события | Продукт и уведомление | Исправления по соответствующим веткам |
|---|---|---|
| 2026-04-07 | OpenSSL | CVE-2026-28388 | 3.6.2 / 3.5.6 / 3.4.5 / 3.3.7 / 3.0.20 |
| 2026-04-29 | curl | CVE-2026-7168 | 8.20.0 / 8.16.1 / 8.14.2 |
| 2026-04-23 | Breeze Cache | CVE-2026-3844 | 2.4.5 |
OpenSSL: некорректный delta CRL (CVE-2026-28388)
Некорректный дополнительный список отзыва сертификатов может завершить приложение, если включена обработка delta CRL и выполнены условия сертификата или базового CRL. OpenSSL оценивает случай как Low и ограничивает последствия отказом в обслуживании. Выполнение кода и утечка памяти для него не заявлены.
Уточните у администратора, включена ли проверка delta CRL. Сверьте пакет нужной ветки и после обновления проверьте отзыв сертификатов в тестовой среде.
curl: Digest-авторизация между прокси (CVE-2026-7168)
При повторном использовании handle libcurl и смене HTTP-прокси заголовок Digest-авторизации первого прокси может уйти второму. curl опубликовал уведомление вместе с выпуском 29 апреля. Запись CNA появилась в мае; эта более поздняя дата не переносит сам выпуск из апреля.
Проверьте приложения, меняющие прокси внутри общего пула клиентов. Подтвердите исправленную библиотеку или backport и проверьте разделение учётных данных прокси.
Breeze Cache: локальные Gravatar (CVE-2026-3844)
Breeze Cache до 2.4.4 включительно может допустить загрузку произвольных файлов без авторизации и выполнение кода, если включена опция Host Files Locally - Gravatars. По умолчанию она выключена. Запись CNA опубликована 23 апреля.
Проверьте настройку и установленную версию плагина, затем обновите его. Проверьте картинки и кэш; подозрительные загруженные файлы разбирайте отдельно, обновление само по себе их не удаляет.
В отчёте от 5 мая Wordfence сообщает о заблокированных попытках эксплуатации 22 апреля и более крупной волне 24-29 апреля. Это опубликованные позже наблюдения за апрелем, а не сведения, доступные из этого отчёта на конец месяца.
Утечки и киберинциденты в сообщениях месяца
Эти случаи освещались в публичных сообщениях за апрель 2026. Если известна дата обнаружения, она указана отдельно. Описания сохраняют ограничения источников: простой сам по себе не доказывает кражу данных, а число записей не равно числу людей.
| Организация | Публичное сообщение | Инцидент |
|---|---|---|
| Vercel | 2026-04-19 | Чужой доступ к аккаунтам |
| Hasbro | 2026-04-01 | Нарушение работы |
Vercel: поставщик AI-инструмента и переменные окружения (2026-04-19)
В бюллетене от 19 апреля Vercel связала несанкционированный доступ с аккаунтами сотрудника в Context.ai и Google Workspace. Была скомпрометирована часть клиентских переменных окружения без отметки sensitive. Такая классификация описывала настройку хранения, а не безвредность содержимого.
Проверьте OAuth-разрешения для AI-инструментов и других SaaS. Явно классифицируйте секреты развёртывания, установите, какие учётные данные раскрыты, и замените их вместе с зависимыми доступами, которые они открывают.
Hasbro: апрельское сообщение о мартовском проникновении (2026-04-01)
В отчёте от 2026-04-01 Hasbro сообщила о доступе к сети, обнаруженном 2026-03-28. Часть систем отключили, а заказы и отгрузки обрабатывали по временным процедурам. Полные последствия на тот момент ещё не были установлены.
Опишите, как принимать заказы и отгружать товары во время изоляции систем. Назначьте ответственного за сверку временных записей после восстановления: доступность сайта сама по себе не подтверждает корректность всего процесса продаж.
Границы обзора и редакционная запись
Это выборочный обзор для владельцев сайтов и хостинга, а не полный месячный реестр уязвимостей. У каждого раздела есть ссылки на подтверждения. Месяц определяется публичным раскрытием или выпуском безопасности; дата закрытого сообщения, год резервирования CVE и более поздняя правка записи не определяют этот месяц.
Первая редакция подготовлена 6 ноября 2026 года. Действующие уведомления могут содержать поздние уточнения, поэтому статья не воспроизводит точное состояние источников на конец месяца. Исправлений этой редакции пока нет. Содержательное изменение получит датированную запись и обновление метаданных статьи.
