🟢 Atlassian: CVE-2026-21589, CVSS 9.3. 5 октября Atlassian закрыла чтение файлов без аутентификации в Data Center-версиях Jira Software, Jira Service Management, Confluence, Bitbucket, Bamboo и Crowd, а также в Crucible и Fisheye. Нужно знать точный путь к файлу, но в корне веб-приложения лежат конфиги с учётками: watchTowr на следующий день показал, как достать crowd.properties из Jira. 7 октября VulnCheck внёс уязвимость в свой каталог KEV, отметив атаки на Bamboo. Облако уже закрыто, self-hosted обновляйте сами, а если не успеваете, уберите инстансы из интернета и поставьте правило на WAF из advisory.
🟢 NetScaler: второй патч за неделю, теперь CVSS 9.5. 3 октября Citrix закрыла zero-day CVE-2026-88779 в SAML (CVSS 8.7): через него уже роняли устройства, CISA добавила его в KEV. 8 октября вышел бюллетень по CVE-2026-107406, переполнению памяти с риском RCE, и уязвимы в том числе свежие сборки 14.1-73.41 и 13.1-64.28 в роли SAML IdP. Если в конфиге есть
add authentication samlAction или samlIdPProfile, ставьте 14.1-73.46 или 13.1-64.29. Окно обслуживания для NetScaler, похоже, пора бронировать по подписке.🟢 OpenSSH 10.6 переходит на постквантовые подписи. Релиз 6 октября добавил гибридный алгоритм
ssh-mldsa44-ed25519, а sshd теперь по умолчанию предупреждает о key exchange без постквантовой защиты (WarnWeakCrypto). Из-за атаки на восстановление открытого текста в сжатии отключён словарь LZ77, а scp -R выдаёт предупреждение о депрекейте. Ключи экспериментальной версии с суффиксом @openssh.com придётся перевыпустить. Разработчики пишут, что получают много отчётов об уязвимостях, найденных с помощью ИИ, поэтому релизы будут выходить чаще.🟢 GitHub падал пять раз за три дня. С 5 по 7 октября на статус-странице набралось пять инцидентов. Самый долгий случился 5 октября: Actions, hosted runners и Pages деградировали около четырёх часов из-за частичного сбоя сети между собственным дата-центром и облачными базами и хранилищами. 7 октября Git-операции, пулреквесты и Actions ложились дважды за день. Если релизный пайплайн целиком живёт в GitHub Actions, заранее решите, как выкатите хотфикс без него.
🟢 COSMIC больше не принимает код от LLM. 5 октября System76 запретили присылать в issues и пулреквесты проектов Pop!_OS и COSMIC контент, сгенерированный любой LLM: код, комментарии и описания. Jeremy Soller объяснил это нагрузкой на ревью: новички присылают много сгенерированных правок, которые заранее не обсуждались и редко принимаются. Похожие правила уже ввели Godot и KDE. Если вы контрибьютите в open source, перед PR загляните в CONTRIBUTING.md: политики по ИИ теперь у всех разные.
📝 А какие новости из мира инфраструктуры зацепили вас на этой неделе? Делитесь в комментариях: самые интересные возьмём в следующую сводку.
🔥 Поставьте огонёк, если сводка была полезной. По реакциям мы поймём, какие темы вам интереснее.
