Исследователи из Наньянского технологического университета в Сингапуре нашли 84 ранее неизвестные уязвимости в ядрах сетей 4G и 5G. Часть из них позволяет не только устроить отказ в обслуживании, но и перехватить пользовательскую сессию, то есть увести трафик абонента в туннель атакующего.
Для операторов, интеграторов и команд, которые строят private LTE и 5G, это неприятная, но полезная новость: проблемы сидят не в экзотических прототипах, а в популярных реализациях с открытым кодом и в коммерческих продуктах. Подробности первым пересказал со ссылкой на работу Understanding Implicit Trust Errors in Core Carrier Networks through Multi-Agent Flaw Discovery and Analysis, принятую на USENIX Security 2026.
Проблема оказалась не в одном баге, а в модели доверия
Авторы проверили семь реализаций ядра мобильной сети: две для LTE и пять для 5G. В выборку вошли Open5GS, OpenAirInterface, free5GC, SD-Core и eUPF. Анализ затронул два ключевых сигнальных протокола: GTP-C и PFCP.
По данным The Hacker News, исследователи нашли 84 новых уязвимости, 83 из них уже подтвердили, а 81 получила CVE-идентификатор. В основе большинства проблем не банальные ошибки вроде неверной длины поля, а куда более скучная и потому опасная вещь: компоненты ядра слишком доверяют друг другу.
Авторы называют этот класс ошибок implicit trust errors, или iTrue. Исторически такая логика выглядела терпимо: внутренние интерфейсы считались изолированными и жили внутри доверенной операторской зоны. Но с переходом телеком-инфраструктуры в облачные и контейнерные развертывания эта защита уже не выглядит бетонной. Ошибка сегментации, неудачная сетевая политика или лишний маршрут между сервисами, и «внутренний» интерфейс перестает быть внутренним.
Как работает сценарий с захватом сессии
Самый неприятный сценарий связан не с шумным DoS, а с тихим захватом сессии. Исследователи описали атаку через PFCP: злоумышленник устанавливает ассоциацию с UPF, ждет, пока жертва инициирует подключение, а затем отправляет PFCP Session Modification Request с повторным использованием Packet Detection Rule ID жертвы.
Дальше все держится на одной недопроверке. Если UPF принимает дублирующее правило и ставит его выше по приоритету, uplink-трафик абонента уходит не в интернет, а в туннель атакующего. Иными словами, служебный протокол, который должен управлять маршрутизацией трафика, превращается в инструмент его подмены.
В том же исследовании есть и более привычные сценарии отказа в обслуживании. Например, для Open5GS в LTE показан вариант, при котором специально сформированный GTPv2-C Create Session Request может уронить SGW-C при разборе пакета. Но история с захватом сессии выглядит для бизнеса заметно дороже: это уже не просто сбой, а риск перехвата пользовательского трафика.
Часть уязвимостей уже вышла за пределы лаборатории
Самая важная деталь в этой истории: исследователи нашли уязвимость с захватом сессии не только в открытых реализациях, но и в двух реальных коммерческих 5G-сетях. Один поставщик, Dotouch, уже устранил проблему в XproUPF. Для нее зарегистрирован CVE-2026-8233 с оценкой CVSS 4.6; в базе NVD затронутой указана версия XproUPF 2.0.0-release-088aa7c4.
Невысокий балл CVSS тут немного обманчив. Формально это «средняя» уязвимость, но если дефект позволяет перенаправить трафик абонента в чужой туннель, сухая цифра уже не очень помогает оценить последствия. Второй крупный участник рынка, которого исследователи не назвали, все еще занимается устранением проблемы.
Отдельно показательно, что часть 5G-ошибок унаследована от 4G-реализаций. Телеком-индустрия любит говорить о сервисной архитектуре, оркестрации и гибкости. Но если вместе с новой архитектурой в продакшн переезжает старое доверие к «своим» компонентам, новая сеть получает старые риски, только в более автоматизированной среде.
Значение для рынка
Для российских и СНГ-команд вывод довольно прямой. Если компания разворачивает private LTE или 5G, строит лаборатории на Open5GS или free5GC либо интегрирует мобильное ядро в облачную инфраструктуру, внутренние сигнальные интерфейсы пора защищать так же жестко, как внешний периметр. PFCP и GTP-C не должны считаться безопасными только потому, что так исторически было принято. В противном случае одна ошибка конфигурации превратит доверенную зону в открытую дверь.
Следующий логичный шаг для рынка понятен: вендоры будут активнее перепроверять валидацию внутренних сообщений, а исследователи продолжат искать похожие ошибки уже не по одной, а пачками, в том числе с помощью LLM-инструментов.