BDU:2026-07589

Высокий

BDU:2026-07589: Уязвимость программного обеспечения для управления источниками бесперебойного питания (ИПБ) PowerChute Serial Shutdown, связанная с неверным ограничением имени пути к каталогу с ограниченным доступом, позволяющая нарушителю записывать произвольные файлы

CVSS v4.06.9

CVSS v36.1

CVSS v27.1

Пересчитать в калькуляторе Открыть на bdu.fstec.ru К реестру

Описание

Уязвимость программного обеспечения для управления источниками бесперебойного питания (ИПБ) PowerChute Serial Shutdown связана с неверным ограничением имени пути к каталогу с ограниченным доступом. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, записывать произвольные файлы

Что делать с BDU:2026-07589

Высокая уязвимость (CVSS 6.9) должна быть устранена в приоритетном порядке. Срок по п. 38 приказа ФСТЭК № 117 — не более 7 календарных дней. Проверьте список затронутого ПО ниже и запланируйте обновление.

Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.

Оценка критичности (CVSS)

v4.0

6.9Средний

Пересчитать →

v3.1

6.1Средний

Пересчитать →

7.1

Только просмотр

AV:A/AC:L/AT:N/PR:H/UI:N/VC:N/VI:H/VA:H/SC:N/SI:N/SA:NAV:A/AC:L/PR:H/UI:N/S:U/C:N/I:H/A:HAV:A/AC:L/Au:S/C:N/I:C/A:C

CWE — тип уязвимости

CWE-22

CVE — международный идентификатор

CVE-2026-2399

CWE-22

Обход каталогов

CWE-22 — обход каталогов: путь к файлу строится из внешних данных без очистки спецсимволов. Ошибка возникает в обработчиках загрузки файлов, где имя из параметров запроса или формы подставляется в open() без проверки. Злоумышленник подставляет ../ или абсолютный путь и читает конфигурацию, ключи и исходный код, недоступные через обычные сценарии.

Как атакуют и что делать ▾

Сценарий атаки

Через параметр пути передаётся ../../etc/passwd — сервер возвращает файл за пределами разрешённой директории.

Последствия

Чтение конфигураций, паролей, ключей. В некоторых случаях — запись произвольных файлов.

Рекомендации

Нормализуйте пути (realpath), используйте chroot/jail, запретите ../ в пользовательском вводе.

Тактики и техники

Манипулирование ресурсами

Уязвимое ПО (1)

Вендор	Название	Версия	Платформа
Schneider Electric	PowerChute Serial Shutdown	до 1.5	Не указана

Источники (1)

https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2026-104-01&p_e…

SLA ФСТЭК №117

По регламенту

по базовой оценке CVSS 6.9

Уточните SLA под вашу среду

Базовый балл 6.9 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.

Пересчитать CVSS с учётом среды

Threat Intelligence

SSVC: Отслеживать

Низкий текущий риск. Устраните при плановом обновлении.

EPSS — вероятность эксплуатации0.2%

Вероятность эксплуатации в 30 дней (FIRST EPSS)

Информация

Обнаружена

2026-04-14

Опубликована

2026-06-01

Обновлена

2026-06-01

Эксплойт

Данные уточняются

Исправление

Уязвимость устранена

Статус

Подтверждена производителем

Управляйте уязвимостями, а не таблицами

Платформа КиберОснова импортирует БДУ ФСТЭК и привязывает уязвимости к вашим активам.

Уязвимости → активы → ответственные — цепочка за минуту
PDF-отчёт для ФСТЭК — за один клик

Попробовать бесплатно

Внешние ресурсы

БДУ ФСТЭК NVD: CVE-2026-2399 MITRE: CWE-22 Каталог CPE (ФСТЭК) Реестр сертифицированных СЗИ ФСТЭК