За неполный месяц исследователи зафиксировали 133 новых бюллетеня безопасности для инфраструктурных продуктов, а 16 из них описывали уже эксплуатируемые уязвимости. Для компаний это не очередная подборка CVE: уязвимости сетевой инфраструктуры затрагивают VPN-шлюзы, межсетевые экраны, балансировщики и системы управления сетью — то есть устройства, которые нередко стоят прямо на входе в корпоративную сеть.
По данным BleepingComputer, октябрьский отчёт InfraTrust Pulse от Eclypsium охватил период с 18 сентября по 14 октября 2026 года. За это время аналитики насчитали 2 813 уязвимостей у 18 производителей. Из 133 бюллетеней 37 получили критический статус, пять имели максимальную оценку CVSS 10,0, а 58 позволяли провести удалённую атаку без аутентификации.
Самый неприятный общий знаменатель — интерес злоумышленников к устройствам на границе сети и к системам, управляющим другой инфраструктурой. Компрометация такого узла может дать первоначальный доступ во внутренний контур, перехватить трафик, закрепиться в сети или помочь атакующим двигаться дальше с легитимной точки. Это особенно чувствительно для распределённых компаний, где VPN и SD-WAN давно стали не вспомогательным сервисом, а частью повседневной работы.
В списке — VPN, почтовые шлюзы и консоли управления
InfraTrust выделил несколько уязвимостей, для которых уже подтверждена эксплуатация. В Citrix NetScaler ADC и Gateway речь идёт о CVE-2026-88771 и CVE-2026-88772: их раскрыли 27 сентября, когда атаки на не обновлённые устройства уже были замечены. Позже в каталог CISA KEV попала и CVE-2026-88779, затрагивающая конфигурации NetScaler с SAML.
Для Ivanti Connect Secure опубликована CVE-2026-104935, позволяющая неаутентифицированному удалённому атакующему выполнять произвольные команды на уязвимых VPN-шлюзах. Ivanti сообщала об эксплуатации против ограниченного числа клиентов ещё при выпуске бюллетеня. В Check Point Security Management Server CVE-2026-93616 позволяет без аутентификации загружать и исполнять сценарии на системах управления и журналирования; целевые атаки на клиентов Spark исследователи Check Point заметили 12 сентября.
В перечень попали и управляющие платформы Cisco Catalyst SD-WAN Manager, Arista VeloCloud Orchestrator и PAN-OS. CVE-2026-76504 в Cisco Catalyst SD-WAN Manager даёт возможность обойти аутентификацию и получить административный доступ к API управления. Для VeloCloud Orchestrator подтверждена эксплуатация CVE-2026-93952 с максимальной критичностью; 22 октября Arista раскрыла ещё одну отдельно эксплуатируемую проблему — CVE-2026-114625. Palo Alto Networks сообщала об атаках с использованием CVE-2026-0322 в интерфейсе управления PAN-OS: аутентифицированный администратор с сетевым доступом мог исполнить код с правами root.
Отдельного внимания требуют почтовые и прикладные шлюзы. FortiMail затронута критической CVE-2026-104286: ошибка обхода каталогов позволяет неаутентифицированному атакующему записывать произвольные файлы через веб-интерфейс, а Fortinet подтвердила её использование в атаках. Cisco Secure Email Gateway уязвим к CVE-2026-76519, при которой вредоносное вложение способно привести к записи файлов и выполнению команд от root. Для F5 BIG-IP APM опасна CVE-2026-94127 — переполнение кучи с возможностью удалённого выполнения кода без аутентификации на системах, работающих как серверы авторизации OAuth.
PHP в прошивке превращает обновление в ожидание вендора
Отчёт отдельно предупреждает о двух ошибках PHP, получивших название PHP2Shell: CVE-2026-109618 и CVE-2026-109619 допускают удалённое выполнение кода без аутентификации. Проект PHP выпустил исправления 21 октября, но для владельцев специализированных устройств это лишь начало маршрута. PHP часто встраивается в веб-интерфейсы управления файрволами, VPN, контроллерами доставки приложений и NAS, а сам интерпретатор компилируется прямо в прошивку.
Администратор в такой ситуации не может просто обновить пакет PHP в своей консоли: нужно ждать, пока производитель пересоберёт прошивку и опубликует обновление. О затронутых продуктах уже сообщили Palo Alto Networks, F5, NetScaler, Check Point и QNAP, пока исправления для части устройств ещё готовятся. Практический минимум на этот период — убрать PHP-интерфейсы управления из прямого доступа к интернету, ограничить доступ через отдельный защищённый контур и проверить, не остались ли старые административные порты доступными извне.
Проблема не ограничивается PHP. Аналитики также увидели CVE-2026-31431, повышение привилегий в ядре Linux под названием Copy Fail, уже в 29 бюллетенях восьми производителей; месяцем ранее было 19 бюллетеней от шести вендоров. В поставляемых компонентах нашлись и более старые дыры: уязвимость ядра Android в принтерах HP LaserJet Enterprise и ошибка jQuery 2020 года в Dell Data Lakehouse. Инфраструктурный продукт всё чаще оказывается набором чужих библиотек, ядра, веб-сервера и панели управления, за обновление которых отвечает не их первоначальный разработчик, а производитель устройства.
Приоритет для ИТ-команд здесь довольно приземлённый: сначала проверить и обновить NetScaler и Ivanti Connect Secure как интернет-доступные точки удалённого доступа, затем установить выпущенные 22 октября обновления FortiOS, FortiManager и FortiAnalyzer на внешних устройствах. После этого стоит пройтись по Check Point Security Management Server, Cisco Catalyst SD-WAN Manager, VeloCloud Orchestrator, FortiMail, Cisco Secure Email Gateway, BIG-IP APM и интерфейсам управления PAN-OS. Инвентаризация внешних сервисов и контроль того, какие административные панели вообще доступны из интернета, сейчас полезнее очередного формального отчёта о патч-менеджменте.
Главный тренд в том, что уязвимости сетевой инфраструктуры всё меньше похожи на редкие аварии отдельных вендоров. Чем больше логики, сторонних компонентов и веб-интерфейсов попадает в сетевое устройство, тем важнее становится скорость цепочки «раскрытие — прошивка — установка». Вопрос для бизнеса уже не в том, найдётся ли критическая ошибка на периметре, а в том, сколько дней организация сможет обходиться без готового патча и насколько надёжно изолирован её интерфейс управления в этот промежуток.
