Что проверить по итогам октября
Подборка охватывает публичные уведомления и выпуски безопасности с 1 по 31 октября 2026 года. Источники проверены 6 ноября 2026 года. Указанные версии обозначают порог октябрьского исправления. Перед установкой выберите актуальный поддерживаемый выпуск или пакет дистрибутива, содержащий исправление.
Приоритет в таблице относится к указанным условиям. Наблюдения об атаках на PHP приведены со ссылкой на ELLIO. Для остальных пунктов источники подтверждают уязвимость или обновление, а эксплуатация в рамках этой проверки остаётся неподтверждённой.
| Событие | Где проверить | Действие по октябрьскому уведомлению |
|---|---|---|
| 2026-10-21 | PHP | CVE-2026-109618 / CVE-2026-109619 | Веб-процессы PHP в затронутых ветках 8.2 до 8.5 | Срочно оценить доступность извне и обновить до 8.2.35, 8.3.36, 8.4.27 или 8.5.12 в своей ветке |
| 2026-10-21 | Node.js | CVE-2026-111497 | Сервисы, распаковывающие недоверенные данные Brotli | Приоритетно проверить доступные извне маршруты и обновить до 22.23.4, 24.22.1 или 26.12.1 |
| 2026-10-28 | WordPress 7.1.4 | Установки WordPress и процесс обновления | Установить поддерживаемое обновление безопасности и проверить сайт |
| 2026-10-14 | libcurl | CVE-2026-86415 / CVE-2026-86411 | Windows Schannel либо пул FTP-соединений с клиентскими сертификатами | Установить применимость конкретного TLS-бэкенда и повторного использования соединений |
PHP и версия работающего веб-процесса
CVE-2026-109618 связана с состоянием памяти после нехватки памяти, CVE-2026-109619 с устаревшим глобальным состоянием. Уведомления PHP описывают условия, допускающие удалённое выполнение кода. Исправления для соответствующих веток входят в 8.2.35, 8.3.36, 8.4.27 и 8.5.12.
Запросите у хостинга версию PHP, обслуживающую сайт, ревизию пакета и порядок перезапуска рабочих процессов. После согласованного обновления проверьте формы, задания и интеграции. ELLIO сообщает об активности атак в своей сети приманок около момента раскрытия. При оценке срочности связывайте это наблюдение с отчётом и его датой.
Node.js и обработка данных Brotli
CVE-2026-111497 затрагивает декодер Brotli в Node.js 22.x, 24.x и 26.x. Значим маршрут, который принимает управляемые атакующим сжатые данные и передаёт их декодеру. В уведомлении Node.js среди последствий указаны аварийное завершение, раскрытие памяти и удалённое выполнение кода.
Октябрьские выпуски с исправлением имеют версии 22.23.4, 24.22.1 и 26.12.1. Уточните у разработчика, какой сервис выполняет распаковку и какой образ или процесс использует исправленную среду. Пересоберите затронутые образы и проверьте реально запущенное развёртывание.
WordPress и окно обновления
WordPress 7.1.4 вышел 28 октября. В уведомлении перечислены слабость процесса обновления, допускающая выполнение кода в окне обновления, несколько исправлений хранимого XSS и другие изменения. Состав этой группы проверяется по сообщению проекта.
Согласуйте обновление с ответственным специалистом, сохраните пригодную для отката копию и проверьте вход, формы и оформление заказа. Для другой ветки WordPress подтвердите наличие и установку соответствующего исправления безопасности.
Два случая libcurl с разными версиями исправления
CVE-2026-86415 касается автоматических клиентских сертификатов и повторного использования соединений в сборках Windows Schannel. curl указывает затронутые версии от 8.21.0 до 8.22.0 и исправление в 8.23.0. CVE-2026-86411 касается пула FTP-соединений с клиентскими сертификатами. Затронута 8.21.0, исправление входит в 8.22.0.
Оба уведомления опубликованы 14 октября, хотя FTP-исправление вышло 2 сентября. Проверьте интеграции с такими настройками и библиотеку, которую загружает приложение. Дистрибутив может поставлять исправленный пакет со своей ревизией.
Утечки и киберинциденты в сообщениях месяца
Эти случаи освещались в публичных сообщениях за октябрь 2026. Если известна дата обнаружения, она указана отдельно. Описания сохраняют ограничения источников: простой сам по себе не доказывает кражу данных, а число записей не равно числу людей.
| Организация | Публичное сообщение | Инцидент |
|---|---|---|
| Capcom / CAPCOM ID | 2026-10-22 | Чужой доступ к аккаунтам |
| ASOS | 2026-10-06 | Раскрытие информации |
Capcom: данные CAPCOM ID и чужая смена паролей (2026-10-22)
В уведомлении от 22 октября Capcom сообщила о компрометации данных клиентов CAPCOM ID после обнаружения 19 октября. Обновление от 23 октября подтвердило несанкционированную смену паролей 196 аккаунтов и доступ к 19 страницам аккаунтов японского e-Capcom. Чужая смена пароля сама по себе не доказывает кражу исходного пароля.
Проверьте отзыв сеансов, защиту сброса пароля и уведомления об изменении аккаунта. Для затронутых сервисов сверяйтесь с сообщениями оператора на официальном сайте и учитывайте доступ к связанным магазинным аккаунтам и сохранённым контактам.
ASOS: чужое push-уведомление и раскрытые контакты (2026-10-06)
В сообщении британского NCSC от 2026-10-06 описаны несанкционированное push-уведомление ASOS и доступ к именам и контактным данным клиентов. NCSC привёл оценку ASOS: по имеющимся сведениям, данные платёжных карт и пароли аккаунтов не затронуты. На тот момент расследование продолжалось.
Учитывайте, что уведомления приложения и маркетинговые платформы могут использоваться атакующим. Подтверждайте необычные запросы через отдельно открытый официальный сайт и проверяйте управление рассылкой уведомлений, интеграциями поставщиков и экстренным отзывом доступа.
Как принять результат обновления
Для бизнес-сайта полезен результат, связывающий изменение программы с работающей функцией. Зафиксируйте пакет или образ до и после обновления, затронутый сервис, согласованное окно работ и результат проверки. Для каждой оставшейся зависимости назначьте ответственного.
С тестовыми данными проверьте прохождение заявки от формы до получателя, согласованный сценарий заказа и затронутые задания или API-вызовы. Сохраните результат вместе с записью об обновлении, чтобы при последующем сбое можно было восстановить ход изменений.
Период, источники и исправления выпуска
Это ретроспективная подборка. Условия и версии исправлений взяты из связанных уведомлений проектов, описаний выпусков и записей CNA. Рядом с разделами приведены подтверждающие ссылки. Полученные в ноябре записи могут содержать последующие правки, поэтому актуальность привязана к дате проверки.
Первая редакция подготовлена и проверена 6 ноября 2026 года. Октябрь в заголовке обозначает период обзора. Исправления первой редакции пока отсутствуют. Содержательную поправку внесём с датой в этот раздел и метаданные.
Отсутствующие оценки эксплуатации и CVSS в этой подборке остаются неизвестными. Принадлежность к CISA KEV и исторические значения EPSS не использовались как основания отбора. Существенное последующее сообщение можно добавить с датой.
