13 марта в базу CVE добавили 124 новые уязвимости, и 67 из них касаются корпоративных продуктов и SOHO-оборудования. Три получили критический балл по CVSS от 9.1 до 9.8. Рекордсмен дня, Veeam с четырьмя уязвимостями, две из которых критические.

Самая опасная, CVE-2024-40711 с оценкой 9.8. Это уязвимость десериализации в Veeam Backup & Replication, которая позволяет выполнить код на сервере вообще без аутентификации. Нашёл её Флориан Хаузер из CODE WHITE ещё в сентябре 2024-го, патч вышел в декабре. Но с октября прошлого года её активно используют группировки Akira, Fog и Frag, они создают через неё админские учётки на серверах жертв. CISA добавила CVE-2024-40711 в каталог эксплуатируемых уязвимостей KEV ещё 17 октября 2024-го.

Ещё три уязвимости в Veeam менее критичны, но тоже неприятны: CVE-2026-21671 (балл 9.1) даёт удалённое выполнение кода администратору резервного копирования, CVE-2025-23120 (8.8) открывает RCE для доменных пользователей, а CVE-2026-21672 (8.8) позволяет локально повысить привилегии на Windows-серверах.

Из нетипичного, CVE-2026-32251 в платформе локализации Tolgee. Это XXE-инъекция через импорт переводов с баллом 9.3. XML-парсеры не отключают внешние сущности, и злоумышленник может читать файлы с сервера и делать SSRF-запросы. Патч есть в версии 3.166.3.

Домашние сети тоже под ударом: в популярном 4G-роутере TP-Link TL-MR6400 v5.3 нашли инъекцию команд через Telnet (CVE-2026-3841, балл 8.5). Злоумышленник с сетевым доступом может выполнить что угодно на устройстве.

@Anonhaven | anonhaven.com