Cve

Docker Engine 29.9.3: security-фиксы для VPS

Docker Engine 29.9.3 стал стабильным 3 ноября 2026 года и несёт самый крупный security-батч линии 29.9.x: четыре CVE в движке и SwarmKit плюс два адвайзори BuildKit.[1][2] Если вы следили за историей безопасности 29.x, вы уже знаете: эта линия регулярно получала фиксы с 29.9.0 от 8 октября - и именно 29.9.3 та версия, на которую стоит перейти сегодня.[1] Этот материал перерабатывает нашу прошлую заметку про 29.9.0 в полную историю линии и даёт практический путь апгрейда с 29.9.0 на 29.9.3 на self-hosted Debian/Ubuntu VPS, с двумя местами, которые заслуживают особого внимания: firewalld плюс зашифрованные Swarm overlay, и ротация worker/manager TLS-сертификатов.[2] Если вы ещё выбираете, где жить хостингу, - сравнение digitalocean vs linode vs vultr покрывает выбор облака начального уровня. Этот апгрейд про версии, поэтому дистрибутив важнее провайдера. …

Читать далее →

Next.js: ноябрьский security-релиз. Патч v16.4.5

Security-релиз Next.js вышел. Vercel выпустил v16.4.5 (Active LTS) и v15.5.29 (Maintenance LTS) 3 ноября 2026 года, закрыв семь адвизори: одно высокой и шесть средней severity. Если вы self-hostite, пропатченный код попадает в прод только когда вы обновите зависимость, пересоберёте standalone-артефакт и перезапустите процесс. Разбираем все семь адвизори по affected-поверхностям, выделяем те, что критичны для self-hosted-стека за nginx, и показываем точный порядок обновления standalone-сборки под PM2.…

Читать далее →

Компрометация CA eMudhra: проверка TLS-цепочек

Восемь промежуточных CA eMudhra были скомпрометированы (утечка приватных ключей, CVE-2026-111943). Docker 29.9.2, Go 1.26.10/1.27.3 и обновления ca-certificates от Ubuntu, Red Hat и Debian теперь отклоняют такие цепочки. В этом гайде - как проверить, что твои git, curl, Docker и Go-клиенты действительно перестали им доверять, и на что именно смотреть, чтобы считать проверку завершённой.…

Читать далее →

CVE-2026-98432: VPS уязвим к remote root

CVE-2026-98432 - удалённый use-after-free без аутентификации в IPv4 TCP-стеке Linux (CVSS 9.8). Фикс апстрима уже в стабильных ядрах от 5.10.272 до 7.3, но на 1 ноября Ubuntu 22.04–26.10 и RHEL 8/9/10 так и не выпустили пропатченное ядро. Свежий uname -r не значит, что вы в безопасности - надо сверять ядро со статусом CVE у своего дистрибутива, применять nftables-фильтр из бюллетеня Red Hat и перезагрузиться после апдейта.…

Читать далее →

GitLab CVE-2026-97229: RCE через regex в CI

CVE-2026-97229 - это RCE с CVSS 10.0 без авторизации: триггерится спецсформулированным регэкспом в CI/CD-конфиге. Фикс вышел в GitLab 19.4.2/19.3.5/19.2.8, но настоящий патч - в компиляторе регэкспов Ruby (Onigmo), который GitLab применяет только в официальных пакетах. Апгрейд GitLab на своей сборке Ruby или своём образе дыру не закрывает - ровно так это и произошло у Alpine на их инстансе.…

Читать далее →

Node2Shell (CVE-2026-111497): RCE в brotli на VPS

CVE-2026-111497 (Node2Shell) - out-of-bounds write в декодере Google Brotli, оценка 9.2 по CVSS 4.0. Достаёт до любого рантайма, который декодирует недоверенный Brotli: Node.js 22/24/26, Bun ≤1.4.3, Python brotli/brotlicffi, Envoy и Istio - с любой из двух сторон HTTP-обмена. Imperva показала неаутентифицированный RCE на официальном образе Node.js 24.22.0. Как проверить, что стоит на вашем VPS, и безопасно обновиться.…

Читать далее →

Node.js 21.10.2026: security-релиз и Node 26 LTS

21.10.2026 Node.js выпустил security-версии на всех трёх поддерживаемых линиях - 26.12.1 (Current), 24.22.1 и 22.23.4 (LTS) - закрывающие четыре CVE уровня HIGH, три из которых доступны удалённо с обычной конфигурации, плюс шесть средних и низких проблем. Node 26 становится Active LTS 28.10. Как проверить версию и обновиться на self-hosted VPS через nvm или прямой tarball, а затем чисто перезапустить под pm2.…

Читать далее →

nginx 1.31.7 / 1.30.6: пять security-фиксов

nginx 1.31.7 (mainline) и 1.30.6 (stable) закрывают пять CVE средней серьёзности, выпущенных 14.10.2026: переполнение буфера в alias+rewrite, переполнение при вычислении строковых выражений, инъекция в теле запроса в HTTP/3, подделка сессии через ротацию TLS-тикетов и use-after-free в AIO/SSI. Как проверить, какие из ваших конфигов в зоне риска, и как обновиться.…

Читать далее →

Docker Engine 29.8.2: Закройте security-фиксы

Если вы гоняете Docker на своём VPS, релиз от 30 сентября 2026 - это не рутинный бамп версии. В Docker Engine 29.8.2 вышло 13 security-фиксов: три в самом движке и десять во встроенном BuildKit, включая одну уязвимость высокой серьёзности, которая может отдать атакующему ваши registry-креды или подменить образ, который вы тянете, - и ещё две, которые бьют ровно по той схеме, что используют большинство self-hosted-проектов. Это апгрейд, который стоит сделать на этой неделе, а не в следующем месяце. Почему этот релиз важен Docker Engine 29.8.2 вышел 30 сентября 2026 как выделенный security-релиз.[1] Он чинит три уязвимости самого движка и пакет из десяти уязвимостей BuildKit, а также обновляет встроенные containerd (v2.3.6), BuildKit (v0.33.1) и runc (v1.5.2).[1][2] Три из четырёх «заглавных» проблем - обход доверия к registry, инъекция в overlay-сети Swarm и DoS на pull через containerd - складываются в паттерн, который должен беспокоить всех, кто self-hosting-ит на одной машине: они достижимы через pull непроверенных образов, через DNS на хосте, который вы контролируете не полностью, или через непривилегированного пользователя на Swarm-ноде. Ни для одной не нужно запускать вредоносный контейнер: ущерб происходит на этапе резолва и pull, до того как выполнится что-то ваше. …

Читать далее →