Security

Docker Engine 29.9.3: security-фиксы для VPS

Docker Engine 29.9.3 стал стабильным 3 ноября 2026 года и несёт самый крупный security-батч линии 29.9.x: четыре CVE в движке и SwarmKit плюс два адвайзори BuildKit.[1][2] Если вы следили за историей безопасности 29.x, вы уже знаете: эта линия регулярно получала фиксы с 29.9.0 от 8 октября - и именно 29.9.3 та версия, на которую стоит перейти сегодня.[1] Этот материал перерабатывает нашу прошлую заметку про 29.9.0 в полную историю линии и даёт практический путь апгрейда с 29.9.0 на 29.9.3 на self-hosted Debian/Ubuntu VPS, с двумя местами, которые заслуживают особого внимания: firewalld плюс зашифрованные Swarm overlay, и ротация worker/manager TLS-сертификатов.[2] Если вы ещё выбираете, где жить хостингу, - сравнение digitalocean vs linode vs vultr покрывает выбор облака начального уровня. Этот апгрейд про версии, поэтому дистрибутив важнее провайдера. …

Читать далее →

Next.js: ноябрьский security-релиз. Патч v16.4.5

Security-релиз Next.js вышел. Vercel выпустил v16.4.5 (Active LTS) и v15.5.29 (Maintenance LTS) 3 ноября 2026 года, закрыв семь адвизори: одно высокой и шесть средней severity. Если вы self-hostite, пропатченный код попадает в прод только когда вы обновите зависимость, пересоберёте standalone-артефакт и перезапустите процесс. Разбираем все семь адвизори по affected-поверхностям, выделяем те, что критичны для self-hosted-стека за nginx, и показываем точный порядок обновления standalone-сборки под PM2.…

Читать далее →

Компрометация CA eMudhra: проверка TLS-цепочек

Восемь промежуточных CA eMudhra были скомпрометированы (утечка приватных ключей, CVE-2026-111943). Docker 29.9.2, Go 1.26.10/1.27.3 и обновления ca-certificates от Ubuntu, Red Hat и Debian теперь отклоняют такие цепочки. В этом гайде - как проверить, что твои git, curl, Docker и Go-клиенты действительно перестали им доверять, и на что именно смотреть, чтобы считать проверку завершённой.…

Читать далее →

CVE-2026-98432: VPS уязвим к remote root

CVE-2026-98432 - удалённый use-after-free без аутентификации в IPv4 TCP-стеке Linux (CVSS 9.8). Фикс апстрима уже в стабильных ядрах от 5.10.272 до 7.3, но на 1 ноября Ubuntu 22.04–26.10 и RHEL 8/9/10 так и не выпустили пропатченное ядро. Свежий uname -r не значит, что вы в безопасности - надо сверять ядро со статусом CVE у своего дистрибутива, применять nftables-фильтр из бюллетеня Red Hat и перезагрузиться после апдейта.…

Читать далее →

GitLab CVE-2026-97229: RCE через regex в CI

CVE-2026-97229 - это RCE с CVSS 10.0 без авторизации: триггерится спецсформулированным регэкспом в CI/CD-конфиге. Фикс вышел в GitLab 19.4.2/19.3.5/19.2.8, но настоящий патч - в компиляторе регэкспов Ruby (Onigmo), который GitLab применяет только в официальных пакетах. Апгрейд GitLab на своей сборке Ruby или своём образе дыру не закрывает - ровно так это и произошло у Alpine на их инстансе.…

Читать далее →

Эскалация в Tailscale SSH: что делать админу VPS

26 октября Tailscale подтвердила, что большинство найденных проблем Tailscale SSH - privilege escalation; 28 октября вышел патченный клиент v1.104.4 и адвизори TS-2026-014–017. Уже авторизованный пир мог действовать за пределами прав своего пользователя - вплоть до root-only Unix-сокетов. Что проверить, обновить и ужесточить.…

Читать далее →

Node.js 26 стал Active LTS: миграция с 24/22 на VPS

28 октября 2026 Node.js 26 становится Active LTS. Это последний LTS-переход по старой чётно-нечётной модели и первое окно, в котором новая ежегодная каденция (в тот же день стартует Alpha v27) формирует выбор версии. v24 ушёл в Maintenance 20 октября; v22 достигает end-of-life в апреле 2027. Самое удобное: версия, на которую вы перейдёте - 26.12.1 - одновременно несёт октябрьские HIGH-фиксы безопасности, включая Node2Shell (Brotli RCE). Разбираем план перехода на self-hosted VPS, что ломается при прыжке с 24/22 и точные команды проверки-установки-верификации.…

Читать далее →

Node2Shell (CVE-2026-111497): RCE в brotli на VPS

CVE-2026-111497 (Node2Shell) - out-of-bounds write в декодере Google Brotli, оценка 9.2 по CVSS 4.0. Достаёт до любого рантайма, который декодирует недоверенный Brotli: Node.js 22/24/26, Bun ≤1.4.3, Python brotli/brotlicffi, Envoy и Istio - с любой из двух сторон HTTP-обмена. Imperva показала неаутентифицированный RCE на официальном образе Node.js 24.22.0. Как проверить, что стоит на вашем VPS, и безопасно обновиться.…

Читать далее →

Node.js 21.10.2026: security-релиз и Node 26 LTS

21.10.2026 Node.js выпустил security-версии на всех трёх поддерживаемых линиях - 26.12.1 (Current), 24.22.1 и 22.23.4 (LTS) - закрывающие четыре CVE уровня HIGH, три из которых доступны удалённо с обычной конфигурации, плюс шесть средних и низких проблем. Node 26 становится Active LTS 28.10. Как проверить версию и обновиться на self-hosted VPS через nvm или прямой tarball, а затем чисто перезапустить под pm2.…

Читать далее →

Nginx GeoIP 2026: геоблокинг через MMDB

Nginx 1.31.7 перевёл open-source geoip-модули со старевшего формата GeoLite .dat на нативную поддержку MaxMind DB (MMDB). Вот способ 2026 года на stock-nginx: geoip_country + GeoLite2-Country.mmdb, map и if для блокировки, geo-осознанный rate-limit, модули http и stream рядом.…

Читать далее →