Эксперты Jet CSIRT выделили пять ключевых событий в сфере информационной безопасности за неделю. В первую очередь внимание привлекли две критические уязвимости в PHP, получившие обозначения CVE-2026-109618 и CVE-2026-109619. Обе ошибки позволяют злоумышленникам выполнять удаленный код на сервере без аутентификации из-за некорректной обработки данных в памяти после прерванных запросов. Уязвимы версии PHP ниже 8.2.35, 8.3.36, 8.4.27 и 8.5.12, а также конфигурации PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed. Первая эксплуатация зафиксирована до выхода патчей, при этом одна из цепочек атак использует механизм session.upload_progress. Рекомендуется обновить ПО до указанных версий и проверить логи с 20 октября на наличие командных оболочек, curl и wget.
Следующее событие — критическая уязвимость в GitLab под номером CVE-2026-110264, позволяющая неаутентифицированному пользователю выполнить произвольный код. Проблема вызвана целочисленным переполнением при компиляции регулярных выражений в движке Ruby Onigmo и затрагивает все версии платформы, начиная с релиза 2014 года. Исправления уже выпущены для семи веток: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 и 18.11.13. Признаков активной эксплуатации пока не обнаружено, однако разработчики опубликовали две сигнатуры для мониторинга попыток атаки: «Onigmo native worker crash» и «Org mode render error burst».
В начале октября атакующие захватили контроль над более чем 300 выходными узлами сети Tor, перенаправляя на них SSH-соединения для кражи учетных данных. Злоумышленники модифицировали конфигурацию torrc, открывая порт 22 и закрывая защищенные почтовые протоколы IMAPS и POP3S, чтобы перехватывать только парольные логины через Tor в период с 2 по 5 октября. На пике атаки 4 октября скомпрометированные узлы составляли 7,46% от общей емкости сети. Tor Project начал маркировать эти ноды 4 октября, и к 5 октября они исчезли из консенсуса. Эксперты советуют сменить пароли, использовавшиеся для входа через Tor в указанный период.
Специалисты Unit 42 зафиксировали новую волну атак, использующих уязвимость CVE-2026-0257 (CVSS: 9.1) в PAN-OS GlobalProtect. Среди активных группировок названы Spikey Scorpius (Qilin), Tarnished Scorpius (Inc) и операторы ransomware Settra. Атакующие используют уязвимость для получения начального доступа, обхода многофакторной аутентификации и установки VPN-сессии, после чего проводят разведку через RMM-инструменты, перемещаются по протоколам RDP и SMB, готовя эксфильтрацию данных или развертывание шифровальщиков. Отмечены случаи перехода на vCenter, отключения защиты на ESXi и извлечения дампов учетных данных с контроллера домена. В качестве защиты рекомендуется использовать отдельный сертификат для Authentication Override cookies или отключить эту функцию.
Исследователи Seqrite описали цепочку атак WP2Shell, позволяющую захватить WordPress без знания пароля. Она базируется на двух уязвимостях ядра: CVE-2026-63030 и CVE-2026-60137. Первая ошибка в контроллере REST API batch/v1 позволяет обойти маршрутизацию и получить доступ к закрытым обработчикам, а вторая — SQL-инъекция в эндпоинте posts — дает возможность изменить запросы к базе данных и создать привилегированную учетную запись. Цепочка затрагивает версии WordPress 6.9.0–6.9.4 и 7.0.0–7.0.1, а также 6.8.0–6.8.5 (только к SQL-инъекции). Исправления доступны в версиях 6.8.6, 6.9.5 и 7.0.2, при этом включено принудительное автообновление.
