01
Устраним уязвимости
Проверим версии, настройки и доступы. Определим, какие угрозы относятся к вашему проекту, установим доступные исправления и при необходимости согласуем временные защитные меры.
SLMax · Для бизнеса в России · Удалённо
Безопасность вашего сайта, сервера и данных
SLMax помогает бизнесу в России защитить сайты, серверы и данные. Проверим риски, устраним выявленные уязвимости и обновим серверное ПО с проверкой работы проекта. При признаках взлома поможем найти вредоносный код, устранить причину и восстановить систему.
Подключимся к разбору в течение 8 рабочих часов.Подключение специалиста к первичному разбору.
После знакомства с проектом обоснуем объём работ, стоимость и сроки исправлений. Согласуем их с вами до начала работ.
Получили предупреждение от хостинга или заметили признаки взлома? Опишите ситуацию — знать технические подробности необязательно.
01 / Проверим и исправим
От предупреждения об уязвимости — к понятному плану защиты
02
Обновим без слепого переключения версий
Подготовим резервную копию, проверим совместимость приложения и зависимостей. Согласуем обновление, план отката и проверку основных функций сайта или CRM.
03
Поможем после взлома
Проверим признаки заражения, вредоносные файлы, процессы и задания. При подтверждённом взломе согласуем изоляцию, восстановление из доверенных источников и замену скомпрометированных доступов.
PHP · nginx · Linux · GitLab · Node.js · Laravel / Livewire · Filament · BIND
Вы получите перечень выявленных рисков, выполненных действий и оставшихся задач — с приоритетами и понятным обоснованием.
02 / Данные под вниманием
Защитим не только сайт, но и данные клиентов
Клиентская база, контакты, заказы и документы могут храниться не только в основной базе, но и в журналах, резервных копиях и тестовых окружениях. Проверим доступ к ним, избыточные права, хранение паролей и секретов, а также возможность восстановления данных.
- Ограничение доступа
- Снижение риска утечек
- Проверка резервных копий
Если компания обрабатывает персональные данные, 152-ФЗ требует принимать меры для их защиты. Мы помогаем с технической частью: проверкой рисков, настройками доступа, обновлениями и восстановлением. Юридические и организационные обязанности оператора рассматриваются отдельно. Статья 19 152-ФЗ ↗
Практический опыт. 20–23 октября 2026 года мы проводили экстренные проверки клиентских проектов и применяли защитные меры после сообщений об уязвимостях серверного ПО.
Технический справочник · 28.10.2026Уязвимости и компоненты, которые проверяем
PHP2Shell, обновления PHP, nginx, Linux, GitLab, Node.js и других компонентов. Применимость зависит от версий и настроек вашего проекта.
Перечень основан на указанных бюллетенях и не означает, что все эти проблемы есть на вашем сервере. Сначала проверяем версии, сборки, настройки и доступные исправления.
Номера исправлений — снимок бюллетеней, а не бессрочная рекомендация устанавливать именно эти версии. Уровень из источника не является вероятностью взлома.
Сообщения и обновления 20–28 октября 2026 года
PHP и PHP2Shell
Проверяем PHP, который действительно обслуживает веб-запросы: FPM/Apache, контейнеры и воркеры. Версия CLI сама по себе этого не подтверждает. Переход с PHP 7.4 на поддерживаемую ветку требует проверки совместимости приложения. Временная настройка не заменяет исправленную сборку.
CVE-2026-109618
Critical · CVSS 9.2 (CERT-EU)
Риск. Повреждение памяти и возможное выполнение кода.
Применимость. Веб-запросы и обработка нехватки памяти; проверяем сборку PHP.
Исправления в бюллетене. 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12; для старых веток — подтверждённый backport поставщика.
CVE-2026-109619
Critical · CVSS 9.2 (CERT-EU)
Риск. Выполнение кода из-за состояния, оставшегося между запросами.
Применимость. Процессы PHP, повторно обслуживающие веб-запросы.
Исправления в бюллетене. 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12; для старых веток — подтверждённый backport поставщика.
CVE-2026-115560
Числовая оценка не указана в сообщении PHP
Риск. Редкий сценарий выполнения кода при работе с сессиями.
Применимость. Включён session upload progress и приложение меняет обработчик сериализации во время запроса.
Исправления в бюллетене. На дату снимка исправление ожидается в очередном выпуске; PHP описывает адресную временную меру.
CVE-2026-111497 · Windows-сборки PHP
High (бюллетень Node.js о Brotli)
Риск. Повреждение памяти при распаковке Brotli.
Применимость. Windows PHP/cURL с включённой распаковкой HTTP-ответов; это та же CVE, что в Node.js.
Исправления в бюллетене. Windows 8.2.35-1 / 8.3.36-1 / 8.4.27-1 / 8.5.12-1 с Brotli 1.2.1; runtime-версия PHP не меняется.
GitLab CE / EE
Все 12 позиций бюллетеня. CE/EE, версии и включённые функции проверяются отдельно. Исправление одной CVE в старой ветке не означает переноса остальных.
CVE-2026-110264
Critical (GitLab)
Риск. Выполнение кода в обработчике регулярных выражений.
Применимость. CE/EE; затронутый компилятор выражений.
Исправления в бюллетене. 19.3.6 / 19.4.3 / 19.5.1; только для этой CVE также 18.11.13 / 19.0.10 / 19.1.9 / 19.2.9.
CVE-2026-15723
High (GitLab)
Риск. Захват учётной записи.
Применимость. Одновременно включено связывание OmniAuth и LDAP.
Исправления в бюллетене. 19.3.6 / 19.4.3 / 19.5.1 в применимой ветке.
CVE-2026-112212
High (GitLab)
Риск. Подмена кеша OAuth/OIDC.
Применимость. Использование discovery-endpoints OAuth/OIDC.
Исправления в бюллетене. 19.3.6 / 19.4.3 / 19.5.1 в применимой ветке.
CVE-2026-12664
Medium (GitLab)
Риск. Обход ограничений токена.
Применимость. GraphQL и поле email рабочего элемента.
Исправления в бюллетене. 19.3.6 / 19.4.3 / 19.5.1 в применимой ветке.
CVE-2026-16255
Medium (GitLab)
Риск. Обход блокировки членства.
Применимость. EE, ограничения SAML/LDAP.
Исправления в бюллетене. 19.3.6 / 19.4.3 / 19.5.1 в применимой ветке.
CVE-2026-105777
Medium (GitLab)
Риск. Раскрытие внутренних доступов.
Применимость. CE/EE, внутренние заголовки ответа.
Исправления в бюллетене. 19.3.6 / 19.4.3 / 19.5.1 в применимой ветке.
CVE-2026-13319
Medium (GitLab)
Риск. Раскрытие метаданных проекта.
Применимость. API групповых milestones.
Исправления в бюллетене. 19.3.6 / 19.4.3 / 19.5.1 в применимой ветке.
CVE-2026-112378
Medium (GitLab)
Риск. Обход доступа к AI-функциям.
Применимость. EE, включение функций через AI Gateway.
Исправления в бюллетене. 19.3.6 / 19.4.3 / 19.5.1 в применимой ветке.
CVE-2026-105711
Low (GitLab)
Риск. Раскрытие названия закрытого issue.
Применимость. Кеш заголовков merge request.
Исправления в бюллетене. 19.3.6 / 19.4.3 / 19.5.1 в применимой ветке.
CVE-2026-14288
Low (GitLab)
Риск. Обход обязательного согласования.
Применимость. EE, политики approval для merge request.
Исправления в бюллетене. 19.3.6 / 19.4.3 / 19.5.1 в применимой ветке.
CVE-2026-112326
Low (GitLab)
Риск. Удаление результатов проверки уязвимостей.
Применимость. EE, обработка исключений в security findings.
Исправления в бюллетене. 19.3.6 / 19.4.3 / 19.5.1 в применимой ветке.
CVE-2026-103515
Low (GitLab)
Риск. Обход запрета администратора.
Применимость. EE, настройки Duo/Amazon Q.
Исправления в бюллетене. 19.3.6 / 19.4.3 / 19.5.1 в применимой ветке.
Node.js
Все десять позиций бюллетеня; наличие Node.js само по себе не подтверждает применимость. Обновления зависимостей c-ares, OpenSSL, SQLite, Undici и CA также сверяются с выпуском.
CVE-2026-105482
High (Node.js)
Риск. Усечение DNS-имени.
Применимость. 22.x / 24.x / 26.x, dns.resolve и dns.reverse.
Исправления в бюллетене. 22.23.4 / 24.22.1 / 26.12.1 для затронутой ветки.
CVE-2026-105483
High (Node.js)
Риск. Ошибка проверки имени TLS.
Применимость. 24.x / 26.x, необычное представление IP.
Исправления в бюллетене. 22.23.4 / 24.22.1 / 26.12.1 для затронутой ветки.
CVE-2026-106069
High (Node.js)
Риск. Разная интерпретация IP при проверке TLS.
Применимость. Затронутая ветка и проверка IP-адреса сертификата.
Исправления в бюллетене. 22.23.4 / 24.22.1 / 26.12.1 для затронутой ветки.
CVE-2026-111497
High (Node.js)
Риск. Повреждение памяти; возможно выполнение кода.
Применимость. Распаковка Brotli в затронутой сборке.
Исправления в бюллетене. 22.23.4 / 24.22.1 / 26.12.1 для затронутой ветки.
CVE-2026-105481
Medium (Node.js)
Риск. Принятие преждевременного HTTP-ответа.
Применимость. 22.x / 24.x / 26.x, повторное использование keep-alive.
Исправления в бюллетене. 22.23.4 / 24.22.1 / 26.12.1 для затронутой ветки.
CVE-2026-106072
Medium (Node.js)
Риск. Неверная проверка сертификата.
Применимость. 22.x / 24.x / 26.x, нестандартная запись IPv4.
Исправления в бюллетене. 22.23.4 / 24.22.1 / 26.12.1 для затронутой ветки.
CVE-2026-106074
Medium (Node.js)
Риск. Повторение случайных значений.
Применимость. 22.x / 24.x / 26.x, snapshot или SEA с кешем случайных чисел.
Исправления в бюллетене. 22.23.4 / 24.22.1 / 26.12.1 для затронутой ветки.
CVE-2026-106070
Low (Node.js)
Риск. Несогласованная проверка ZIP.
Применимость. 26.x, обработка ZipFile.
Исправления в бюллетене. 22.23.4 / 24.22.1 / 26.12.1 для затронутой ветки.
CVE-2026-106071
Low (Node.js)
Риск. Избыточный файловый доступ.
Применимость. 26.x, wildcard в Permission Model.
Исправления в бюллетене. 22.23.4 / 24.22.1 / 26.12.1 для затронутой ветки.
CVE-2026-106073
Low (Node.js)
Риск. Обход файловых ограничений.
Применимость. Permission Model в затронутой ветке.
Исправления в бюллетене. 22.23.4 / 24.22.1 / 26.12.1 для затронутой ветки.
BIND 9
Сверяем редакцию и поддерживаемую ветку. Preview не является универсальным выбором для production; речь именно о BIND, а не о любом DNS-сервере.
CVE-2026-94300
High · CVSS 8.1 (ISC)
Риск. Повреждение памяти, остановка или возможное выполнение кода.
Применимость. GSS-TSIG и подписанные UDP-сообщения.
Исправления в бюллетене. 9.20.30 / 9.21.27; для соответствующей редакции — 9.20.30-S1.
CVE-2026-19630
High · CVSS 7.5 (ISC)
Риск. Исчерпание CPU или памяти.
Применимость. Резолвер BIND и обработка входящих DNS-сообщений.
Исправления в бюллетене. 9.20.30 / 9.21.27; для соответствующей редакции — 9.20.30-S1.
CVE-2026-96888
High · CVSS 7.5 (ISC)
Риск. Остановка DNS-сервера.
Применимость. Redirect zone совместно со строгой QNAME-minimization.
Исправления в бюллетене. 9.20.30 / 9.21.27; для соответствующей редакции — 9.20.30-S1.
CVE-2026-97313
High · CVSS 7.5 (ISC)
Риск. Остановка DNS-сервера.
Применимость. Рекурсивный сервер с несколькими RPZ-зонами и разным recursive-only.
Исправления в бюллетене. 9.20.30 / 9.21.27; для соответствующей редакции — 9.20.30-S1.
Laravel / Livewire: авторизация
В этом бюллетене CVE не присвоен. Уязвимость отдельного компонента не означает уязвимость любого Laravel-приложения.
GHSA-mhf7-xp6r-6qrc
Moderate (Livewire)
Риск. Обход авторизации действий.
Применимость. Livewire от 4.3.0 до 4.4.8, порядок параметров и проверок авторизации.
Исправления в бюллетене. Livewire 4.4.8.
Ранее опубликованные проблемы, которые также важно проверить
nginx
Эти пять исправлений опубликованы 14 октября. Выпуск 1.31.8 от 21 октября содержит другие изменения и не меняет их дату.
CVE-2026-15176
Medium (nginx)
Риск. Переполнение буфера.
Применимость. Сочетание alias и rewrite в затронутой версии.
Исправления в бюллетене. 1.30.6 / 1.31.7 либо подтверждённый backport поставщика ОС.
CVE-2026-93479
Medium (nginx)
Риск. Переполнение при вычислении выражений.
Применимость. Ветки 1.30.0–1.30.5 / 1.31.2–1.31.6.
Исправления в бюллетене. 1.30.6 / 1.31.7 либо подтверждённый backport поставщика ОС.
CVE-2026-95101
Medium (nginx)
Риск. Инъекция тела HTTP-запроса.
Применимость. HTTP/3 в затронутой версии.
Исправления в бюллетене. 1.30.6 / 1.31.7 либо подтверждённый backport поставщика ОС.
CVE-2026-97629
Medium (nginx)
Риск. Подделка сессии.
Применимость. Использование TLS session tickets.
Исправления в бюллетене. 1.30.6 / 1.31.7 либо подтверждённый backport поставщика ОС.
CVE-2026-97205
Medium (nginx)
Риск. Обращение к освобождённой памяти.
Применимость. Определённые конфигурации AIO / SSI.
Исправления в бюллетене. 1.30.6 / 1.31.7 либо подтверждённый backport поставщика ОС.
Linux
CVSS и приоритет поставщика — разные шкалы. Универсальный исправленный номер ядра для всех ОС не заявляется.
CVE-2026-99999
CVSS 9.3 Critical; приоритет Ubuntu — Medium
Риск. Повреждение сетевых данных при обработке checksum metadata.
Применимость. Затронутый пакет ядра и путь обработки IPv4; сверяем статус поставщика.
Исправления в бюллетене. Зависит от дистрибутива и пакета. В Ubuntu на дату снимка есть статусы Vulnerable / work in progress.
Laravel / Livewire: прежние сообщения
Проверяем установленную ветку, функции приложения и последующие поддерживаемые выпуски.
CVE-2025-54068
Critical (Livewire)
Риск. Выполнение кода при hydration.
Применимость. Затронутая ветка Livewire 3 и обновление свойств компонента.
Исправления в бюллетене. 3.6.4.
CVE-2024-47823
High (Livewire)
Риск. Выполнение кода в сценарии загрузки.
Применимость. Livewire и загрузка файлов в затронутой конфигурации.
Исправления в бюллетене. 2.12.7 / 3.5.2.
Filament
Временная загрузка и риск заполнения диска не означают подтверждённое выполнение кода.
CVE-2026-48500
Moderate (Filament)
Риск. Неавторизованная временная загрузка, исчерпание хранилища.
Применимость. Страницы авторизации со схемами, использующими механизм загрузки Livewire.
Исправления в бюллетене. 3.3.52 / 4.11.5 / 5.6.5.
Livewire Filemanager — сторонний пакет
Это отдельное расширение. Сообщение не относится автоматически ко всему Livewire.
CVE-2025-14894
Оценка не указана в заметке CERT/CC
Риск. Выполнение кода через небезопасную загрузку.
Применимость. Наличие и доступность уязвимого расширения Livewire Filemanager.
Исправления в бюллетене. Подтверждённый номер не указан; проверяем доступное обновление, замену или отключение пакета.
ASP.NET / Telerik
Проекты ASP.NET / Telerik — возможность работ уточняем индивидуально. Исторический выпуск не гарантирует отсутствие более поздних проблем.
CVE-2017-9248
Уровень не указан в используемой статье Telerik
Риск. Криптографическая слабость.
Применимость. Конкретная версия Telerik UI for ASP.NET AJAX.
Исправления в бюллетене. Исторический порог защиты цепочки — R1 2020 (2020.1.114); проверяем более новые поддерживаемые выпуски.
CVE-2017-11317
Уровень не указан в используемой статье Telerik
Риск. Небезопасная загрузка файлов.
Применимость. Затронутые компоненты Telerik ASP.NET AJAX.
Исправления в бюллетене. Исторический порог защиты цепочки — R1 2020 (2020.1.114); проверяем более новые поддерживаемые выпуски.
CVE-2019-18935
Уровень не указан в используемой статье Telerik
Риск. Десериализация с возможностью выполнения кода.
Применимость. Затронутая версия и настройки загрузки Telerik.
Исправления в бюллетене. Исторический порог защиты цепочки — R1 2020 (2020.1.114); проверяем более новые поддерживаемые выпуски.
Проверено по источникам 28.10.2026. Это датированный обзор выбранных компонентов, а не полный каталог всех уязвимостей интернета и не автоматическая проверка вашего проекта.
Коротко о важном
Что такое PHP2Shell — это вирус?
Нет. Так называется группа уязвимостей самого PHP. При определённых условиях они позволяют выполнить посторонний код или получить доступ к памяти процесса. Проверяем конкретную установку PHP и применимые исправления.
Обязательно переписывать сайт, чтобы обновить PHP?
Не всегда. Установка исправленной сборки и переход на другую основную версию — разные задачи. Объём изменений зависит от приложения и его зависимостей; его определяем проверкой совместимости. Официальный патч или подтверждённый backport не следует путать с временным изменением настроек.
Если сайт уже взломали, обновления достаточно?
Одно обновление не является подтверждением, что посторонний доступ устранён. Потребуется оценить последствия: изменённые файлы, доступы, задания и состояние данных. Состав восстановления согласуем по результатам разбора.
Что означает подключение в течение 8 рабочих часов?
Специалист свяжется с вами и подключится к первичному разбору. Объём, стоимость и срок исправлений согласуем отдельно; работы с системой начнём после получения необходимых разрешений и доступа.
Рабочее время SLMax: с 10:00 до 20:00. Это срок подключения к разбору полученной заявки, а не срок устранения всех проблем.