ИТ-новости: критические уязвимости в облаке (1.11.2026)

Главная новость

Главная ИТ-новость на пороге ноября — уязвимость максимальной степени тяжести, затрагивающая развёртывания Kubernetes в Azure. Уязвимость, отслеживаемая как CVE-2026-83938, получила идеальные 10,0 баллов по шкале CVSS — наивысшую возможную оценку тяжести. Она затрагивает службу Kubernetes Configuration в Azure при её работе совместно с HashiCorp Consul при включённом системном управлении ACL. Воспользоваться ею может злоумышленник, способный создать токен ServiceAccount в пространстве имён, отличном от пространства Consul, и имеющий сетевой доступ к API Consul. Хотя предварительные условия сужают круг реально уязвимых систем, предельная оценка тяжести означает, что организациям с именно такой комбинацией необходимо немедленно установить исправления. Это важно, потому что Kubernetes лежит в основе огромной части корпоративной и облачной инфраструктуры, а уязвимость на вершине шкалы тяжести в управляемой службе крупного облачного провайдера — серьёзный тревожный сигнал для всех, кто использует смешанные конфигурации Kubernetes и Consul.

Безопасность и облако

Вторая критическая уязвимость будоражит облачный мир на этой неделе. 31 октября Akamai подтвердила, что изучает критическую уязвимость удалённого выполнения кода CVE-2026-98432 в Linode — облачной хостинг-платформе, которой она владеет. Уязвимости RCE относятся к самым опасным классам, поскольку позволяют злоумышленникам выполнять произвольный код без действительных учётных данных, открывая путь к полному захвату систем, краже данных или дальнейшему продвижению внутри среды клиента. Клиентам облачного хостинга следует внимательно следить за рекомендациями и заметками об исправлениях от Akamai.

Не обошлось без тревоги и в инфраструктуре с открытым исходным кодом. Исследователи Harsh Jaiswal и Rahul Maini из Hacktron обнаружили уязвимость в GNU Savannah — хостинговой инфраструктуре, на которой размещены проекты, включая Bash, — которая могла позволить внедрить бэкдор в исходный код оболочки. Исследователи безопасно продемонстрировали ошибку, создав на сервере безобидный пустой файл, чтобы доказать возможность выполнения команд, а не вмешиваясь в сам репозиторий. Bash — одна из самых распространённых командных оболочек в мире, встроенная в бесчисленное множество систем Linux и Unix, поэтому компрометация цепочки поставок в её источнике имела бы масштабные последствия. Обнадёживает то, что проблему обнаружили и ответственно раскрыли, а не использовали, но это подчёркивает, насколько хрупкой может быть инфраструктура, стоящая за базовыми инструментами с открытым кодом.

Что касается утечек, Frontline Education — поставщик программного обеспечения, которым школьные округа пользуются для административных функций, — подтвердила утечку данных, вызванную августовским инцидентом. Затронуты примерно 45 000 человек, связанных со школьным округом Killeen. В системах школьного администрирования хранятся конфиденциальные данные об учениках, семьях и сотрудниках, поэтому подобные утечки остаются постоянной проблемой сферы образования, которая стала частой мишенью злоумышленников из-за сравнительно скромных бюджетов на кибербезопасность.

В совокупности эти истории указывают на закономерность: критическая инфраструктура — будь то управляемая служба Kubernetes, облачная хостинг-платформа, базовые инструменты с открытым кодом или специализированное образовательное ПО — раз за разом оказывается с серьёзными уязвимостями. Дисциплина установки исправлений и быстрая реакция поставщиков остаются лучшей защитой.

Индустрия и политика

Если отойти от уязвимостей, исследовательская заметка PitchBook от 30 октября показывает, как продолжающийся бум строительства дата-центров втягивает частный инвестиционный капитал в области, далеко выходящие за рамки чипов и серверов. Согласно отчёту, деньги идут в газопроводы, системы пожаротушения и даже грузовые суда, поскольку инфраструктура для поддержки огромных новых дата-центров выходит далеко за пределы традиционного ИТ-оборудования. Это важно для всей ИТ-отрасли, так как показывает, насколько глубоко нынешнее расширение дата-центров перестраивает смежные отрасли: над отчётом, отслеживающим десятки компаний, которые теперь считаются «связанными с дата-центрами» инвестициями, работали шесть аналитиков PitchBook. Для ИТ-покупателей и планировщиков инфраструктуры это напоминание о том, что ограничения мощностей дата-центров связаны с цепочками поставок далеко за пределами привычных производителей чипов и серверов.

Почему это важно

Новости этой недели напоминают: по мере того как всё больше вычислений переходит в управляемые облачные службы, радиус поражения одной критической уязвимости растёт. Ошибка CVSS 10,0 в предложении Kubernetes крупного облачного провайдера, критическая RCE на хостинг-платформе и едва не состоявшийся бэкдор в базовом ПО с открытым кодом произошли в одном коротком окне. В сочетании с реальной утечкой у поставщика школьного ПО это срез того, сколько доверия организации отдают инфраструктуре, которую не полностью контролируют, и почему быстрая установка исправлений и прозрачность поставщиков остаются необходимыми.