Microsoft снова напомнил, что наша инфраструктура сама по себе остается одной из самых ...
Microsoft снова напомнил, что наша инфраструктура сама по себе остается одной из самых вкусных целей. CVE-2026-42897 в on-prem Exchange Server уже эксплуатируется: по данным The Hacker News со ссылкой на Microsoft, это XSS/spoofing-баг с CVSS 8.1, который можно триггерить через специально подготовленное письмо, если жертва откроет его в Outlook Web Access. Под ударом Exchange 2016, 2019 и Subscription Edition, а CISA уже добавила уязвимость в KEV. На другом конце спектра - CVE-2026-25765 в Ruby Faraday. Если в приложение или во внутренний сервис на Faraday проходит пользовательский URL, build_exclusive_url до версии 2.14.1 можно обойти через protocol-relative путь вида //evil.com/path и увести запрос на чужой хост. Это уже возможность бить по чужим тулзам, интеграциям, сканерам, webhook-обвязке и внутренним сервисам, которые сами ходят наружу. Подробности есть в DailyCVE, а официальный advisory и фикс - в GitHub advisory и релизе 2.14.1. Ток странный момент, что DailyCVE указано High, но в NVD/CNA у него сейчас CVSS 5.8 MEDIUM. А если нужен совсем прямой пример "атаки на атакующих", то вот он: CVE-2026-45087 в dalfox. По advisory GitHub, уязвимы версии <= 2.12.0, а фикс вышел в 2.13.0. Проблема критичная: в server mode Dalfox по умолчанию слушает 0.0.0.0:6664, не требует API key без явного --api-key, а через POST /scan атакующий может прокинуть found-action и добиться unauthenticated RCE на хосте, где крутится сканер. То есть ломают уже не цель исследования, а сам инструмент исследователя. Отсюда и интересный сдвиг: атаковать можно и защитников, и атакующих. Если у blue team горит Exchange, то у red team, багхантеров и платформенной автоматизации горят собственные HTTP-клиенты, парсеры, сканеры и сервисы, которые привыкли доверять "почти URL" или поднимать опасный режим "по умолчанию". В 2026 году уязвимость все чаще бьет сразу по всей цепочке вокруг цели: по почте, агентам, интеграциям, сканирующей инфраструктуре и внутренним сервисам. С начала года работы у команд защиты заметно прибавилось: темп поиска и публикации 0day сейчас выглядит почти безумным, и еще пару лет назад такой плотности трудно было ожидать. Для атакующих гонка тоже только обостряется: кто первым найдет уязвимость уровня CVSS 9.8, успеет сдать ее в bug bounty или превратит в рабочий сценарий для пентеста, тот и снимает сливки.