Обзор уязвимостей за 5 марта 2026: две уязвимости с оценкой 10.0 в Cisco FMC

За сутки в базе появились 182 новые уязвимости. День прошёл под знаком Cisco: компания опубликовала мартовский пакет обновлений для Secure Firewall, в котором сразу две уязвимости получили максимальную оценку 10.0 по шкале CVSS. Обе позволяют неаутентифицированному злоумышленнику получить root-доступ к Cisco Firewall Management Center. Критические уязвимости опубликованы и для Apache ActiveMQ Artemis, и для роутеров D-Link DIR-513.

Cisco Secure FMC: два пути к root без аутентификации (CVSS 10.0 + 10.0)

Cisco выпустила мартовский пакет обновлений для линейки Secure Firewall ASA, FMC и FTD. В нём две уязвимости с максимальной оценкой.

CVE-2026-20131, удалённое выполнение произвольного Java-кода через небезопасную десериализацию (CWE-502) в веб-интерфейсе управления FMC. Злоумышленник отправляет специально сформированный сериализованный Java-объект, который при обработке выполняет произвольные команды от имени root. Аутентификация не нужна, сложность атаки низкая, взаимодействие с пользователем не требуется. Cisco отмечает: если интерфейс управления FMC закрыт от интернета, риск снижается.

CVE-2026-20079, обход аутентификации (CWE-288) в том же веб-интерфейсе FMC. Проблема связана с некорректным системным процессом, который запускается при загрузке устройства. Через специально подготовленные HTTP-запросы злоумышленник обходит аутентификацию и выполняет скрипты с root-доступом к операционной системе. Оценка CVSS 10.0.

Обе уязвимости не имеют обходных решений. В бюллетенях cisco-sa-fmc-rce-NKhnULJh и cisco-sa-onprem-fmc-authbypass-5JPp45V2 Cisco рекомендует установить обновления немедленно. Публичных эксплойтов пока нет.

Cisco закрыла в том же пакете ещё две уязвимости FMC. SQL-инъекция CVE-2026-20002 (CVSS 8.1) требует аутентификации, а DoS через SSL VPN, уязвимость CVE-2026-20103 (CVSS 8.6) позволяет исчерпать память устройства без авторизации. Обновление касается всего стека Cisco Secure Firewall: ASA, FMC и FTD.

Apache ActiveMQ Artemis: перехват сообщений без аутентификации (CVSS 9.3)

CVE-2026-27446 затрагивает Apache ActiveMQ Artemis версий 2.50.0–2.51.0. Уязвимость типа CWE-306 (отсутствие аутентификации) позволяет удалённому злоумышленнику через протокол Core заставить брокер установить исходящее федеративное соединение (Federation) с подконтрольным злоумышленнику сервером. Через такое соединение можно перехватывать сообщения из очередей и внедрять собственные.

Apache рекомендует ограничить доступ к протоколу Core или обновить Artemis. Уязвимость актуальна для сред, где брокер принимает входящие Core-соединения из ненадёжных источников. Публичного эксплойта нет, EPSS 0,08%.

D-Link DIR-513: переполнение буфера стека (CVSS 9.8)

Сразу две уязвимости, CVE-2025-70223 и CVE-2025-70220, описывают переполнение буфера стека (CWE-121) в D-Link DIR-513 v1.10. Уязвимости находятся в разных функциях веб-интерфейса (goform/formAdvNetwork и goform/formAutoConfig), но обе эксплуатируются через параметр curTime и позволяют удалённо выполнить произвольный код без аутентификации. DIR-513 снят с поддержки, патча не будет.

WordPress и Linux: повышение привилегий и SQL-инъекции

• CVE-2026-1321, плагин ограничения контента (Membership Plugin) для WordPress. Повышение привилегий, CVSS 8.1.
• CVE-2023-7337, плагин JS Help Desk. SQL-инъекция, CVSS 7.5. CVE получила номер ещё в 2023 году, но опубликована только сейчас.
• CVE-2026-29123, повышение привилегий через SUID-бинарник в XDTerminal (International Software Development). CVSS 8.6.

Пять из 182 CVE за сутки получили оценку 9.0 и выше. Все пять эксплуатируются удалённо без аутентификации. Устройства Cisco FMC с открытым веб-интерфейсом, в зоне наибольшего риска.