ТОП-5 ИБ-событий недели по версии Jet CSIRT

Сегодня в ТОП-5 — Cisco устранила критическую уязвимость, обнаружена уязвимость в конструкторе парсеров JavaScript, GitLab устранил серьезные уязвимости, новый Android-троян использует машинное обучение, критическая уязвимость в Telnet позволяет получить root-доступ.

Cisco устранила критическую уязвимость

Cisco устранила критическую уязвимость CVE-2026-20045 (CVSS: 8.2), используемую в атаках 0-day. Уязвимость обусловлена некорректной проверкой входных данных, предоставляемых пользователем в HTTP-запросах, и позволяет злоумышленнику удаленно выполнять команды на уровне ОС и повышать привилегии до root. Уязвимость затронула Cisco Unified CM, CM SME, CM IM&P, Unity Connection и Webex Calling и была исправлена в патчах для версий 12,5, 14 и 15. Поскольку обойти эту уязвимость без установки обновлений невозможно, рекомендуется как можно скорее обновить ПО до последней версии.

Обнаружена уязвимость в конструкторе парсеров JavaScript

В конструкторе парсеров binary-parser, который позволяет разработчикам анализировать двоичные данные, была обнаружена уязвимость в системе безопасности CVE-2026-1245 (CVSS: 6.5). Из-за отсутствия очистки пользовательских значений при динамической генерации кода успешная эксплуатация уязвимости может привести к выполнению произвольного кода на JavaScript. Риск возникает только при использовании ненадёжных входных данных для создания определений парсера, что может привести к выполнению кода с привилегиями Node.js. Уязвимость затрагивает все версии модуля до 2.3.0. Рекомендуется обновиться до версии 2.3.0 и избегать передачи пользовательских значений в имена полей парсера или параметры кодирования.

GitLab устранил серьезные уязвимости

GitLab выпустил исправления для нескольких серьезных уязвимостей.