Безопасность · 8 ноября 2026 г.
Критическая уязвимость удаленного выполнения кода обнаружена в Apache OFBiz
Открытый набор бизнес-приложений Apache OFBiz стал объектом обнаружения серьезной уязвимости безопасности, позволяющей злоумышленникам выполнять произвольный код на сервере. Команда разработчиков уже выпустила обновленную версию программного обеспечения для устранения этой угрозы.
Фонд Apache Software Foundation опубликовал консультативное сообщение по безопасности пятого ноября две тысячи двадцать шестого года по местному времени. В документе сообщается об уязвимости внедрения кода, получившей идентификатор CVE-2026-83542, которая затрагивает виджет страницы входа в систему. Проблема возникает при загрузке специально созданных файлов формата XML, которые позволяют манипулировать внутренними настройками конфигурации экрана извне.
Механизм атаки заключается в принудительной загрузке вредоносных файлов XML, содержащих выражения на скриптовом языке Groovy. Эти выражения оцениваются системой за пределами изолированной среды выполнения, что создает риск выполнения произвольного кода непосредственно на сервере. Для эксплуатации уязвимости не требуется сохранение файлов на диске сервера, так как атака возможна в процессе обработки передаваемых данных.
Злоумышленники могут использовать процесс генерации экрана ошибки аутентификации при неудачной попытке входа для запуска вредоносных команд. Исследования подтвердили, что вектор атаки не ограничивается только страницей входа, и результаты выполненных команд могут возвращаться злоумышленнику в виде ответа протокола HTTP. Это делает угрозу особенно опасной для систем, доступных из внешней сети.
Агентство по кибербезопасности и защите инфраструктуры Соединенных Штатов присвоило данной уязвимости базовый балл 9.8 по системе оценки общих уязвимостей версии 3.1. Уровень важности проблемы определен как критический, что является высшей степенью опасности в четырехуровневой шкале оценок. Столь высокая оценка отражает легкость эксплуатации и потенциальный масштаб ущерба для пострадавших систем.
Исправление было включено в версию программного обеспечения 24.09.08. Данное обновление устраняет не только уязвимость CVE-2026-83542, но и еще сорок пять других проблем безопасности, выявленных в продукте. Список исправленных дефектов включает множество идентификаторов уязвимостей, охватывающих различные компоненты системы и потенциальные векторы атак, что свидетельствует о комплексном подходе разработчиков к повышению защищенности платформы в этом релизе.