10 ноября 2026 года американское агентство по кибербезопасности CISA выпустило предупреждение о шести уязвимостях, добавленных в каталог известных эксплуатируемых уязвимостей (KEV). Основной смысл: по данным CISA, имеются доказательства активной эксплуатации этих уязвимостей, а не просто теоретическая возможность, обнаруженная в лаборатории.
В объявлении упоминаются такие хорошо известные компоненты, как Google Chromium и Microsoft Office Outlook, а также корпоративные системы от Cisco, Barracuda и Openwave. Для домашних пользователей практическая рекомендация — проверить наличие обновлений браузера и соответствующего программного обеспечения; для организаций это предупреждающий знак, призывающий быстро проверить уязвимые продукты, установленные версии и возможные признаки компрометации.
Что именно было добавлено в каталог CISA?
В официальном сообщении перечислены шесть идентификаторов CVE. Каждый из них имеет свою природу, поэтому невозможно предположить, что все они скомпрометируют каждый компьютер или работают одинаково:
- CVE-2026-125350 — Google Chromium: уязвимость типа Use-After-Free в браузере, которая, согласно официальным отчетам Google и органов безопасности, уже была использована на практике. Она актуальна для пользователей Chrome на уязвимых версиях.
- CVE-2026-124194 — Microsoft Office Outlook: согласно описанию в каталоге, обнаружена уязвимость, связанная с запуском потенциально небезопасной операции без достаточного взаимодействия с пользователем.
- CVE-2026-20320 — Cisco BroadWorks: Недопустимое ограничение при обработке внешних ссылок на XML-сущности (XXE) в системах с затронутыми версиями.
- CVE-2026-111560 — Продукты Barracuda: Уязвимость внедрения команд на уровне операционной системы в продуктах, определяемых производителем.
- CVE-2026-116606 — Barracuda Email Security Gateway: уязвимость, позволяющая обойти аутентификацию по альтернативному пути или каналу.
- CVE-2026-111793 — Openwave Messaging Limited Webtop Media Transcoder: уязвимость, связанная с некорректной передачей ресурсов между доменами безопасности.
Объединение различных типов продуктов в один список не означает, что была выявлена единая атака, использующая их все. CISA не приписывает шесть уязвимостей какому-либо одному злоумышленнику в своем заявлении, а также не приводит подробного описания всех инцидентов, в которых они были использованы.
Chrome: Что мне теперь проверить?
Среди обнаруженных уязвимостей, уязвимость Chromium особенно важна для широкой публики. Канадский центр кибербезопасности опубликовал уведомление о том, что уязвимость CVE-2026-125350 используется в реальных условиях. Уведомление относится к версиям Chrome до 157.0.8103.50 или 157.0.8103.51 в Windows и macOS, а также к версии 157.0.8103.50 в Linux.
Чтобы проверить наличие обновлений на настольном компьютере, откройте Chrome, перейдите в меню «Справка» и на экран «О программе Google Chrome», разрешите браузеру проверить наличие обновлений и перезапустите его при необходимости. В управляемых системах организации важно убедиться, что политика обновлений действительно распространила обновленную версию на все рабочие станции, а не просто что обновление доступно на сервере.
Тот факт, что Chromium лежит в основе и других браузеров, не доказывает, что каждый другой браузер уязвим точно так же и в том же диапазоне версий. Пользователям браузеров на основе Chromium следует полагаться на уведомление о безопасности от производителя и устанавливать выпущенное для него обновление.
Outlook и корпоративные продукты: проверьте риски перед обновлением.
Для Outlook проверьте точную версию Microsoft Office или Microsoft 365 и доступные обновления в бюллетене безопасности Microsoft. Не все версии Outlook или все почтовые среды обязательно затронуты одинаково. Рекомендуется использовать официальные обновления программного обеспечения и системы управления исправлениями, а не файлы, поступающие в неизвестных электронных письмах.
Уязвимости Cisco BroadWorks, Barracuda и Openwave наиболее актуальны для организаций, которые непосредственно используют эти продукты. Системным администраторам следует определить компоненты и версии, проверить уведомления производителя, оценить прямое воздействие интернета и расставить приоритеты в отношении систем, обеспечивающих доступ к сети или обрабатывающих конфиденциальную почту и информацию.
В случае уязвимой системы установка патча не обязательно завершает расследование. Важно изучить журналы безопасности, административные учетные записи, необычные изменения и оповещения систем мониторинга в соответствии с инструкциями производителя и организационными процедурами. Наличие уязвимости в каталоге KEV не является доказательством того, что конкретная организация уже скомпрометирована.
Почему выступление в KEV имеет такое значение?
Каталог KEV предназначен для выявления уязвимостей, по которым имеется информация о фактической эксплуатации. Поэтому он является эффективным инструментом для определения приоритетов, когда у организации десятки или сотни открытых обновлений. Согласно CISA, американская директива BOD 26-04 устанавливает требования к управлению рисками для гражданских федеральных агентств в Соединенных Штатах. Частные организации в Израиле не подпадают под действие американской директивы автоматически, но могут использовать ее в качестве основы для определения приоритетов и реагирования.
Правильный подход заключается не в том, чтобы обновлять всё без разбора или немедленно останавливать критически важные сервисы, а в том, чтобы составить карту затронутых ресурсов, проверить наличие уязвимостей, подготовить соответствующую резервную копию, как можно скорее установить официальное обновление и обеспечить восстановление работоспособности сервиса. Для критически важных систем также следует рассмотреть временные меры по смягчению последствий, рекомендованные производителем.
Что рекомендуется пользователям и предприятиям в Израиле?
- Обновите Chrome и другие браузеры до последней версии, предоставленной производителем, и перезапустите их при необходимости.
- Разрешите обновления Microsoft Office и Outlook только из официальных каналов.
- В организации необходимо определить, используются ли системы Cisco BroadWorks, Barracuda или Openwave тех типов, которые указаны в сообщении.
- Приоритетное внимание следует уделить тестированию серверов и служб, доступных через Интернет, а также сопоставлению записей CVE с объявлениями производителей.
- В случае длительного воздействия следует проверять не только текущий статус обновления, но и наличие признаков повреждения.
Самое важное предупреждение — не ждать новостей о взломе известной организации. Как только уязвимость попадает в KEV, есть основания повысить приоритет ее расследования — даже если еще неизвестно, кто стоит за каждым эксплойтом.
Источники
- CISA — Добавление шести эксплуатируемых уязвимостей в каталог KEV, 10.11.2026 .
- Канадский центр кибербезопасности — Версии Chrome и уязвимость CVE-2026-125350 .
- Выпущены обновления безопасности для Google Chrome — Уведомление об обновлении безопасности браузера .
Примечание редактора: Изображение на обложке создано с помощью искусственного интеллекта исключительно в иллюстративных целях и не является фотографическим отражением события.
