Сегодня в ТОП-5 —  уязвимость в HashiCorp Consul позволяет обходить авторизацию, в TCP-стеке Linux нашли уязвимость с помощью Claude, попытка взлома GitLab в Alpine Linux через уязвимость в...

Сегодня в ТОП-5 — уязвимость в HashiCorp Consul позволяет обходить авторизацию, в TCP-стеке Linux нашли уязвимость с помощью Claude, попытка взлома GitLab в Alpine Linux через уязвимость в Ruby, DoS-уязвимость в миллионах камер видеонаблюдения Intelbras, Telegram для Android уязвим к атакам через звонки.

1. Уязвимость в HashiCorp Consul позволяет обходить авторизацию

Специалисты HashiCorp сообщили об обнаружении критической уязвимости CVE-2026-110720 (CVSS: 9.9) в Consul-k8s — продукте, который используется для управления сервисами в Kubernetes. Уязвимость позволяет обходить авторизацию между пространствами имён в правилах привязки ACL-компонентов. Это даёт атакующему возможность выйти за пределы своего пространства, повысить привилегии и управлять чужими сервисами. Исправления доступны в версиях 2.1.0 и 1.8.18. Рекомендуется срочно обновить Consul-k8s, проверить привязки ACL на предмет несанкционированных изменений и ограничить сетевой доступ к Consul API.

ИИ-модель Claude от Anthropic обнаружила zero-click-уязвимость CVE-2026-98432 в TCP-стеке ядра Linux. Уязвимость возникает из-за сбоя синхронизации: когда ядро одновременно обрабатывает входящие IPv4 TCP-соединения, оно может обратиться к уже освобождённой памяти (use-after-free). Атакующий без учётных данных может выполнить код с правами root на серверах, где включена поддержка Multipath TCP. Исправление уже добавлено в основную ветку ядра и перенесено в поддерживаемые версии, но Ubuntu и RHEL на момент публикации патч ещё не выпустили. Рекомендуется обновить ядро, как только вендор выпустит пакет, и временно ограничить доступ к MPTCP-соединениям.

3. Попытка взлома GitLab в Alpine Linux через уязвимость в Ruby

Неизвестный атакующий попытался проэксплуатировать критическую уязвимость CVE-2026-97229 (CVSS: 10.0) в GitLab-инстансе Alpine Linux. Причина уязвимости кроется в движке регулярных выражений Onigmo, встроенном в Ruby. Из-за недостаточной проверки регулярных выражений в конфигурациях CI злоумышленник может вызвать сбой в работе этого движка. GitLab выпустил патчи 12 октября, но они правят именно встроенный Ruby — если GitLab собран со сторонним Ruby, обновление GitLab не закрывает уязвимость. Alpine Linux пересобрал сервер с нуля. Следов успешной эксплуатации не найдено, но исключить её нельзя. Администраторам, развернувшим GitLab с собственным Ruby, необходимо обновить Ruby до 3.3.13, 3.4.12 или 4.0.9.

4. DoS-уязвимость в миллионах камер видеонаблюдения Intelbras

«Лаборатория Касперского» обнаружила уязвимость в IP-камерах Intelbras. Проблема кроется в конечной точке обновления прошивки, которая принимает файлы без авторизации и не проверяет их содержимое перед установкой. Злоумышленник, находящийся в одной Wi-Fi-сети с камерой, может отправить вредоносный запрос и принудительно перезагрузить её. Один цикл перезагрузки занимает около минуты, но при циклической отправке запросов устройство можно удерживать в офлайн-режиме бесконечно. Уязвимы модели iM3B-C, iMX C, iM4 C, iM5 SC, iME 360 C и iM7+ FC, а управляющее ими приложение Intelbras Mibo Smart скачано в Google Play более 4 млн раз. Intelbras уже выпустила исправленную прошивку — пользователям рекомендуется проверить версию ПО на устройствах и обновить её.

NebuSec раскрыла уязвимость в Telegram для Android: при ответе на голосовой вызов атакующий с обычным аккаунтом Telegram может выполнить произвольный код на устройстве. Уязвимость затрагивает версии с 8.6.2 по 12.10.3. Telegram исправил уязвимость в конце сентября (версия 12.10.4), но публично о ней сообщили только 29 октября. Ошибка заключается в том, как Telegram обрабатывает служебные сигналы MediaState во время звонка — если в них не хватает определенных данных, приложение обращается к памяти за пределами выделенного буфера. Цепочка с утечкой информации и Android-root-эксплойтом даёт полный контроль над устройством. Рекомендуется обновить приложение и установить в настройках запрет на звонки от неизвестных.