Security Week 2536: эволюция уязвимостей во втором квартале 2025 года

На прошлой неделе специалисты «Лаборатории Касперского» опубликовали отчет по уязвимостям и их эксплуатации за второй квартал 2025 года. Это регулярный отчет, данные которого удобно сравнивать с предыдущими периодами, в частности с отчетом за первый квартал этого года. Прежде всего, стоит отметить стабильный рост количества уязвимостей, добавляемых в базу Common Vulnerability Enumeration. В целом это можно считать положительной динамикой: регулярное выявление ошибок в ПО косвенно указывает на улучшение защищенности.  

В 2024 и 2025 годах также наблюдается рост числа критических уязвимостей с высоким рейтингом CVSS, указывающим на опасность проблемы, как правило — на простоту эксплуатации. Среди уязвимостей, эксплойты для которых были опубликованы во втором квартале, не было новых проблем в Microsoft Office, чаще всего эксплойты таргетировали ошибки в ОС и браузерах. Наибольший интерес, впрочем, представляет собственная статистика «Лаборатории Касперского» по уязвимостям, которые наиболее часто эксплуатируются различным вредоносным программным обеспечением. В этом рейтинге есть как свои долгожители, так и новички, представленные в основном в категории сложных таргетированных атак.

Тройка наиболее часто эксплуатируемых уязвимостей в широко распространенном пользовательском ПО по сравнению с данными за первый квартал не изменилась. Более того, наиболее часто вредоносные программы пытаются воспользоваться крайне древними проблемами в программном обеспечении, закрытыми семь и более лет назад. Напомним представителей этого «хит-парада»: это уязвимости CVE-2018-0802 и CVE-2017-11882 в компоненте Equation Editor продукта Microsoft Office версий вплоть до 2016. Также в тройку наиболее часто эксплуатируемых проблем входит уязвимость CVE-2017-0199 в Microsoft Office и WordPad.

Самая свежая уязвимость в этом списке — CVE-2025-24071: ошибка в работе механизма индексации Windows, которая позволяет получить учетные данные NetNTLM при открытии файлов определенного типа. Список регулярно атакуемых уязвимостей в системах на базе Linux также относительно стабилен: это CVE-2022-0847, известная как Dirty Pipe, CVE-2019-13272 и CVE-2021-22555. Все три так или иначе приводят к повышению привилегий в системе. По сравнению с первым кварталом этого года, из Top 3 вылетела уязвимость CVE-2021-3156 в утилите sudo. Как в случае Windows-систем, так и Linux наблюдается стабильный рост числа пользователей, столкнувшихся эксплойтами.

Как обычно, наиболее свежие уязвимости задействованы в таргетированных атаках на организации. В этом «рейтинге» на первом месте среди наиболее часто эксплуатируемых проблем оказалась уязвимость CVE-2025-31324 в корпоративном ПО SAP NetWeaver, имеющая максимальный рейтинг по шкале CVSS: 10 баллов. Тем не менее на втором месте по частоте эксплуатации находится уже упомянутая выше проблема CVE-2017-11882 в Equation Editor. Еще две свежие уязвимости, представлявшие интерес для атакующих, — это CVE-2025-22457 в Ivanti Connect Secure и CVE-2025-3248 в средстве для внедрения ИИ-решений Langflow.

Отдельно исследователи «Лаборатории Касперского» проанализировали активность популярных C2-фреймворков, используемых в таргетированных атаках. Анализ активности этих вредоносных инструментов дает отдельную перспективу на часто используемые уязвимости. В этом списке, в частности, присутствует свежая проблема в Windows — CVE-2025-33053, приводящая к удаленному выполнению вредоносного кода. Наконец, авторы отчета по традиции выделяют не обязательно популярные, но представляющие интерес свежие уязвимости. Это, например, уязвимость обхода каталога в архиваторе WinRAR с идентификатором CVE-2025-6218. Похожая на нее проблема CVE-2023-38831 присутствует в списке наиболее часто эксплуатируемых проблем.

Еще одна публикация специалистов «Лаборатории Касперского» подробно разбирает особенности систем безопасности в macOS и предлагает рекомендации по предотвращению распространенных атак.

Громкая новость прошлой недели посвящена намерению компании Google блокировать запуск неавторизованного программного обеспечения в ОС Android ( публикация в блоге Google, новость и обсуждение на Хабре). В 2026 году строгие правила будут применяться в некоторых странах, а с 2027-го планируется повсеместное внедрение. Распространение программ за пределами официального магазина приложений будет по-прежнему возможно, но их разработчики должны будут пройти верификацию.

Издание BleepingComputer пишет об атаках с использованием так называемых captive portals — страницах дополнительной авторизации, на которые пользователей перенаправляют, например, при подключении к публичным точкам доступа Wi-Fi. Вредоносная атака вместо таких страниц перенаправляет жертв на сайт, якобы содержащий обновление для некоего Adobe plugin. «Обновление», естественно, устанавливает бэкдор.

Критическая уязвимость в Docker Desktop позволяет скомпрометировать систему при запуске вредоносного контейнера.

Уязвимость нулевого дня закрыта в ПО для колл-центров FreePBX.

Свежая критическая уязвимость обнаружена в Citrix NetScaler ADC и NetScaler Gateway.

Эксплуатируемая уязвимость типа zero-click закрыта в клиенте для мессенджера WhatsApp на смартфонах и компьютерах Apple.