NextRce

NextRce - инструмент для эксплуатации уязвимости RSC в Next.js (CVE-2025-55182).

NextRce — это высокопроизводительный многопоточный инструмент безопасности, предназначенный для обнаружения и эксплуатации уязвимости CVE-2025-55182. Он нацелен на реализацию React Server Components (RSC) в архитектуре App Router Next.js. Манипулируя процессом сериализации в Server Actions, NextRce внедряет специально созданную полезную нагрузку для достижения удаленного выполнения кода (RCE) на уязвимых экземплярах. Он оснащен интеллектуальным механизмом обнаружения, который автоматически различает уязвимые архитектуры App Router и безопасные устаревшие Pages Router, обеспечивая эффективность при массовом сканировании.

📐Особенности:
📉Использует кодировку UTF-16LE для обхода обнаружения WAF, сохраняя при этом целостность полезной нагрузки на стороне сервера.
📉Практический анализ DOM (поиск window.__next_f) для идентификации уязвимых целей App Router по сравнению с устаревшими сайтами Pages Router.
📉Встроенный ThreadPoolExecutor позволяет сканировать тысячи доменов одновременно с минимальными затратами ресурсов.
📉Автоматически извлекает допустимые URL-адреса из смешанных форматов входных данных (например, коды состояния, заголовки или необработанные журналы).
🖱Выполняет команды и получает вывод непосредственно из дайджеста ответа сервера.

🔎Технический анализ:
Next.js App Router использует собственный формат сериализации для компонентов React Server Components (RSC). Уязвимость заключается в логике десериализации заголовков Next-Action. Когда специально созданный объект (загрязняющий proto) отправляется на конечную точку серверного действия (например, /adfa), внутренний парсер может быть принудительно принудительно настроен на выполнение произвольного кода Node.js через child_process.

⬇️Установка:

git clone https://github.com/ynsmroztas/NextRce.git

cd NextRce/

pip install requests

⛓️‍💥Использование:
▶️Режим обхода WAF (NextRCSWaff.py):

python3 NextRCSWaff.py -u [URL] -c "whoami" --bypass

▶️Сканирование одной цели:

python3 nextrce.py -u [URL] -c "cat /etc/passwd"

▶️Сканирование из файла:

python3 nextrce.py -l [TXT] -c "whoami" -t 100

#WAF #web #vuln #RCE

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

🟦 Microsoft закрыла 973 уязвимости в сентябрьском Patch Tuesday

Microsoft выпустила сентябрьские обновления безопасности Patch Tuesday, закрыв сразу 973 уязвимости. Две из них уже использовались злоумышленниками в реальных атаках.

Это крупнейший по количеству исправлений выпуск Microsoft на данный момент. Обновления затрагивают Windows, Microsoft Office, SQL Server, Exchange Server, SharePoint, Azure и инструменты разработки.

❗️ Что исправили
Больше всего уязвимостей связано с повышением привилегий — 438.
Также исправлены:
🔴 258 — Remote Code Execution
🟠 173 — Information Disclosure
🟡 56 — Denial of Service
🟢 19 — Security Feature Bypass
🔵 16 — Spoofing
⚫ 13 — Tampering
Всего — 973 уязвимости.

По продуктам Microsoft указывает:
⏺️ 723 уязвимости в Windows,
⏺️ 111 — в Office,
⏺️ 62 — в SQL Server,
⏺️ 22 — в инструментах разработки,
⏺️ 16 — в SharePoint Server и 9 — в Exchange Server.

🕵‍♂️ Два zero-day уже эксплуатируются

Особое внимание стоит обратить на две уязвимости, которые Microsoft отметила как уже эксплуатируемые.

CVE-2026-85880 затрагивает Windows Advanced Local Procedure Call (ALPC) и позволяет повысить привилегии в системе.

Вторая — CVE-2026-81963, уязвимость повышения привилегий в Windows Update Stack. Проблема связана с некорректной обработкой ссылок перед обращением к файлу и может использоваться локальным атакующим для повышения своих привилегий.

Обе уязвимости имеют статус Important, однако наличие фактической эксплуатации делает их приоритетными. CISA также добавила обе CVE в каталог Known Exploited Vulnerabilities.

🧾 Проблемы затронули и системные компоненты Windows

Одним из наиболее затронутых компонентов стал Windows Biometric Service — для него исправлено 64 уязвимости, большинство из которых связаны с повышением привилегий.

В SQL Server исправлена 61 уязвимость, а в Windows DHCP Server — 50.

Также среди важных исправлений:

📉 CVE-2026-83939 — повышение привилегий в Windows Secure Kernel Mode;
📉 CVE-2026-83498 — повышение привилегий в VBS Enclave;
🖱 CVE-2026-83501 — раскрытие информации в Windows Virtualization-Based Security.

Отдельное внимание стоит уделить Office. В Microsoft Word исправлено 38 уязвимостей, в Excel — 32. Среди них есть критические RCE, которые могут быть связаны с открытием специально подготовленного документа.

Например, критическими являются CVE-2026-81959 и CVE-2026-81953 в Excel, а также CVE-2026-81952 в Word.

#Microsoft #PatchTuesday #Windows #CVE #Vulnerability #Cybersecurity #InfoSec #RCE #ZeroDay

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

✏ Adobe Experience Manager — цепочка из четырёх уязвимостей вела к RCE без аутентификации

Исследователи SL Cyber (Assetnote Security Research Team) обнаружили в облачной версии Adobe Experience Manager (AEM) цепочку из четырёх уязвимостей, которая позволяла неаутентифицированному атакующему добиться удалённого выполнения кода (RCE). Проблема касалась только cloud-версии AEM, уязвимости уже устранены.

🎇 Из чего состояла цепочка
По данным исследования, в связке были задействованы:
⏺️ неаутентифицированный массовый импорт в DAM (Digital Asset Management) — позволял анониму создавать ресурсы от имени сервисного аккаунта;
⏺️ хранимая (stored) XSS;
⏺️ небезопасный разбор XML;
⏺️ выполнение Groovy-кода через эндпоинт /bin/asynccommand — финальный шаг, дающий RCE.

🕵‍♂️ Логика атаки
Подробного пошагового PoC в публичном пересказе нет, но общая схема такова: атакующий без учётных данных создаёт нужные ресурсы через уязвимый импорт в DAM, с помощью XSS и небезопасного разбора XML добивается выполнения своего кода на стороне сервера, а через /bin/asynccommand запускает произвольный Groovy-скрипт — то есть получает полноценное выполнение кода на сервере AEM.

👌 Что известно про исправление
Уязвимости исправлены Adobe для облачной версии AEM. Точные номера CVE, оценки CVSS и список конкретных затронутых и исправленных версий в открытом пересказе исследования не раскрываются — подробности SL Cyber приводит в собственном техническом отчёте.

❗️ Почему это важно
AEM — сервис управления контентом, которым пользуются тысячи корпоративных сайтов, так что уязвимость такого класса — неаутентифицированный RCE — закрывает путь к компрометации сайта целиком: от подмены контента до выполнения кода на сервере. То, что для достижения RCE потребовалась связка сразу из четырёх разноплановых недочётов — от импорта данных до XSS и разбора XML, — типичный пример того, как низкокритичные по отдельности баги складываются в критическую цепочку.

#Adobe #AEM #RCE #XSS #XXE #Cybersecurity #InfoSec #Vulnerability #0day

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

Источник: The Hacker News (https://thehackernews.com/2026/10/threatsday-adobe-rce-dns-wallet-theft.html)

PHP2Shell: критические уязвимости в PHP. Две уязвимости с оценкой CVSS 9.2 позволяют удалённо выполнить код на 70% всех веб-сайтов без аутентификации.

21 октября 2026 года исследователи Calif Research опубликовали подробный разбор двух критических уязвимостей PHP, получивших название php2shell. Исправления уже выпущены, однако масштаб использования PHP и сложность обновления серверов создают условия для массовых атак.

В чем заключается проблема❓
Уязвимости зарегистрированы под идентификаторами CVE-2026-109618 и CVE-2026-109619 и связаны с некорректной обработкой памяти при возникновении ошибок во время обработки HTTP-запросов.

Механизмы эксплуатации разные:
1️⃣CVE-2026-109618 — RCE через повреждение состояния при исчерпании памяти. Когда PHP превышает установленный лимит памяти и аварийно завершает обработку запроса, некоторые внутренние структуры могут оказаться частично инициализированными. Последующая очистка использует некорректное состояние.
2️⃣CVE-2026-109619 — RCE через устаревшее глобальное состояние. Внутренние структуры продолжают ссылаться на уже освобождённую память. При обработке последующего запроса оставшееся состояние может быть использовано повторно, что создаёт условия для эксплуатации.

❗️В результате атакующий может добиться удалённого выполнения кода, раскрытия данных или нарушения доступности сервиса.

Официальное описание можно найти в бюллетени.

🧿Масштаб проблемы

PHP используется почти на 70% веб-сайтов. Уязвимости php2shell затрагивают саму среду выполнения PHP. Уязвимы все версии PHP начиная с PHP 5. По оценке одного исследователя в сфере кибербезопасности, уязвимость затрагивает более 1,3 млн, подключённых к интернету хостов.

Из-за потенциального масштаба проблемы отдельные организации решили временно отключить публичные сервисы, пока не смогут установить исправления.

Как сообщает Reuters, меры затронули сайты государственных ведомств и организаций в Нидерландах, Франции, Дании и Финляндии.

🪧Что делать администраторам?

Международные команды реагирования призвали администраторов как можно скорее обновить PHP, а при невозможности своевременно установить исправления — ограничить доступ к уязвимым сервисам или временно отключить их.

Разработчики PHP уже выпустили исправления. Для основных поддерживаемых веток необходимо обновиться как минимум до следующих версий: PHP 8.5.12, 8.4.27, 8.3.36 или 8.2.35.

🔎Для PHP 8.1 и более старых веток официальный проект больше не выпускает обновления.

#PHP #news #rce

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером