Вы ничего не нажимали, а хакеры уже забрали сервер целиком через символ, который никто не видит. Так работает 0-click в FreeScout

OX Research в новом отчёте описала, как обычное письмо на служебный адрес может привести к захвату сервера. Специалисты обнаружили критическую уязвимость в системе поддержки FreeScout. Достаточно отправить одно специально подготовленное письмо. Никакая учётная запись не нужна, пользователь ничего не должен открывать или нажимать.

Проблема получила идентификатор CVE-2026-28289 (оценка CVSS 10). Ошибка позволяет удалённо выполнить произвольный код на сервере. Уязвимость закрыли в версии FreeScout 1.8.207. Все более ранние версии, включая 1.8.206, остаются уязвимыми.

Несколько дней назад стало известно о другой проблеме, которая позволяла выполнить код на сервере после входа в систему. Уязвимость получила номер CVE-2026-27636 (оценка CVSS 8.8). Разработчики выпустили исправление, однако проверка показала обход защиты. Более того, найденная цепочка атаки позволила полностью отказаться от входа в систему.

FreeScout представляет собой популярную систему обработки обращений пользователей и коллективных почтовых ящиков. Программа написана на языке PHP и работает на базе веб-платформы Laravel. Проект распространяется с открытым исходным кодом и часто используется как бесплатная альтернатива коммерческим сервисам поддержки. На GitHub репозиторий FreeScout набрал более 4 тыс. «звёзд». По данным поисковой системы Shodan, в интернете доступно около 1100 серверов с открытым доступом к системе.

Проблема связана с проверкой имени загружаемого файла. Исправление предыдущей уязвимости добавляло символ подчёркивания к опасным расширениям и к файлам, имя которых начиналось с точки. Такой подход должен был блокировать загрузку скрытых файлов. Проверка оказалась неполной.

Специалисты обнаружили обход с использованием невидимого символа Unicode U+200B, известного как «пробел нулевой ширины». Если добавить такой символ перед точкой в начале имени файла, проверка пропускает файл как безопасный. На следующем этапе обработки система удаляет невидимый символ и сохраняет файл уже как обычный скрытый файл. Таким образом вредоносный файл проходит проверку и оказывается на сервере.

Дальнейшая атака происходит через почту. Злоумышленник отправляет письмо на любой адрес, подключённый к FreeScout. В письме находится вредоносное вложение. Система автоматически принимает письмо, сохраняет файл в каталоге storage/attachment и делает файл доступным через веб-интерфейс. Зная путь к файлу, злоумышленник открывает вложение и получает возможность выполнять команды на сервере.

Успешная атака позволяет полностью захватить сервер, украсть переписку службы поддержки, содержимое почтовых ящиков и другие конфиденциальные данные. После компрометации сервера злоумышленник может попытаться проникнуть и в другие системы внутри той же сети.

Разработчики FreeScout выпустили исправление и закрыли уязвимость в версии 1.8.207. Администраторам рекомендуют срочно обновить систему. Дополнительно советуют отключить параметр AllowOverrideAll в настройках веб-сервера Apache на сервере FreeScout. Такая мера снижает риск эксплуатации даже после установки обновления.