Безопасность · 16 октября 2026 г.
В "AnyDesk" обнаружена уязвимость, опубликован код эксплуатации
В программном обеспечении для удаленного доступа "AnyDesk", предоставляемом компанией AnyDesk Software, выявлена серьезная уязвимость. Она была исправлена в обновлении, выпущенном в июне 2026 года, однако изначально не упоминалась при публикации.
Уязвимость, получившая идентификатор "CVE-2026-109390", связана с неправильной обработкой пакетов в коммуникации сеансов, что может привести к переполнению буфера на основе кучи.
Причиной уязвимости является недостаточная проверка длины данных, содержащихся в полученных пакетах. Это позволяет записывать данные в память за пределами разрешенных границ без необходимости аутентификации.
MITRE, присвоивший номер CVE, оценил базовый балл уязвимости по системе оценки общих уязвимостей "CVSSv3.1" на уровне "9.8", что соответствует критическому уровню серьезности.
Уязвимость была исправлена в версии "8.0.3", выпущенной 23 июня 2026 года, однако не упоминалась в истории обновлений. После этого также были выпущены обновления, включая версию "8.1.0" 23 сентября того же года.
Что касается данной уязвимости, то был опубликован код эксплуатации, который позволяет выполнять произвольные команды через сервис, работающий с правами root, в среде, где имеется прямое подключение к TCP-порту 7070 в версии Linux "AnyDesk 8.0.2".