КиберосноваSGRC
BDU:2026-09777
Средний

BDU:2026-09777: Уязвимость модуля webbrowser интерпретатора языка программирования Python (CPython), позволяющая нарушителю выполнить произвольные команды

CVSS v4.07.0
CVSS v37.1
CVSS v26.6
Пересчитать в калькулятореОткрыть на bdu.fstec.ruК реестру

Детали уязвимости BDU:2026-09777

Описание

Уязвимость модуля webbrowser интерпретатора языка программирования Python (CPython) связана с непринятием мер по очистке данных на управляющем уровне. Эксплуатация уязвимости может позволить нарушителю выполнить произвольные команды

Что делать с BDU:2026-09777

Уязвимость среднего уровня (CVSS 7.0) — устраните в рамках планового цикла обновлений. Рекомендуемый срок — 30 дней. Оцените применимость к вашей инфраструктуре через список затронутого ПО.

Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.

Оценка критичности (CVSS)

v4.0
7.0Высокий
Пересчитать →
v3.1
7.1Высокий
Пересчитать →
v2
6.6
Только просмотр
AV:L/AC:L/AT:P/PR:N/UI:A/VC:H/VI:H/VA:N/SC:N/SI:N/SA:NAV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:NAV:L/AC:L/Au:N/C:C/I:C/A:N

CWE — тип уязвимости

CWE-77
CWE-88

CVE — международный идентификатор

CVE-2026-4786
CWE-77
Внедрение команд

Позволяет выполнять произвольные команды через управляющие строки.

Как атакуют и что делать ▾

Сценарий атаки

Пользовательский ввод подставляется в команду без экранирования. Метасимволы (;, |, &&) позволяют выполнить вторую команду.

Последствия

Выполнение произвольных команд ОС на сервере.

Рекомендации

Используйте API вместо shell, экранируйте аргументы, применяйте white-list символов.

Тактики и техники

Инъекция

Уязвимое ПО (31)

ВендорНазваниеВерсияПлатформа
Red Hat, Inc.Red Hat Enterprise Linux8Не указана
Red Hat, Inc.Red Hat Enterprise Linux6 Extended Lifecycle SupportНе указана
ООО «Ред Софт»РЕД ОС7.3Не указана
Canonical Ltd.Ubuntu22.04 LTSНе указана
Red Hat, Inc.Red Hat Enterprise Linux9Не указана
Red Hat, Inc.Red Hat Enterprise Linux8.4 Advanced Mission Critical Update SupportНе указана
Canonical Ltd.Ubuntu24.04 LTSНе указана
Red Hat, Inc.Red Hat Enterprise Linux9.0 Update Services for SAP SolutionsНе указана
Red Hat, Inc.Red Hat Enterprise Linux8.6 Update Services for SAP SolutionsНе указана
Red Hat, Inc.Red Hat Enterprise Linux8.6 Telecommunications Update ServiceНе указана
Red Hat, Inc.Red Hat Enterprise Linux8.6 Advanced Mission Critical Update SupportНе указана
Red Hat, Inc.Red Hat Enterprise Linux7 Extended Lifecycle SupportНе указана
Red Hat, Inc.Red Hat Enterprise Linux9.4 Extended Update SupportНе указана
Red Hat, Inc.Red Hat Enterprise Linux10Не указана
Red Hat, Inc.Red Hat Enterprise Linux8.8 Telecommunications Update ServiceНе указана
Red Hat, Inc.Red Hat Enterprise Linux8.8 Update Services for SAP SolutionsНе указана
Red Hat, Inc.Red Hat Enterprise Linux9.2 Update Services for SAP SolutionsНе указана
Red Hat, Inc.Red Hat Enterprise Linux8.4 Extended Update Support Long-Life Add-OnНе указана
Red Hat, Inc.Red Hat Enterprise Linux9.6 Extended Update SupportНе указана
ООО «Ред Софт»РЕД ОС8.0Не указана
Red Hat, Inc.Red Hat Enterprise Linux10.0 Extended Update SupportНе указана
Red Hat, Inc.Red Hat AI Inference Server3.2Не указана
Red Hat, Inc.Red Hat Update Infrastructure5Не указана
Red Hat, Inc.Red Hat Hardened Images-Не указана
Canonical Ltd.Ubuntu26.04 LTSНе указана
Red Hat, Inc.RHEL-8 based Middleware Containers-Не указана
Red Hat, Inc.Red Hat AI Inference Server3.3Не указана
Red Hat, Inc.Red Hat Enterprise Linux AI3.3Не указана
Python Software FoundationCPythonдо 3.13.14Не указана
Python Software FoundationCPythonот 3.14.0a1 до 3.14.5rc1Не указана
Python Software FoundationCPythonот 3.15.0a1 до 3.15.0b1Не указана

Среды функционирования (23)

ВендорНазваниеВерсияПлатформа
Red Hat, Inc.Red Hat Enterprise Linux8Не указана
Red Hat, Inc.Red Hat Enterprise Linux6 Extended Lifecycle SupportНе указана
ООО «Ред Софт»РЕД ОС7.3Не указана
Canonical Ltd.Ubuntu22.04 LTSНе указана
Red Hat, Inc.Red Hat Enterprise Linux9Не указана
Red Hat, Inc.Red Hat Enterprise Linux8.4 Advanced Mission Critical Update SupportНе указана
Canonical Ltd.Ubuntu24.04 LTSНе указана
Red Hat, Inc.Red Hat Enterprise Linux9.0 Update Services for SAP SolutionsНе указана
Red Hat, Inc.Red Hat Enterprise Linux8.6 Update Services for SAP SolutionsНе указана
Red Hat, Inc.Red Hat Enterprise Linux8.6 Telecommunications Update ServiceНе указана
Red Hat, Inc.Red Hat Enterprise Linux8.6 Advanced Mission Critical Update SupportНе указана
Red Hat, Inc.Red Hat Enterprise Linux7 Extended Lifecycle SupportНе указана
Red Hat, Inc.Red Hat Enterprise Linux9.4 Extended Update SupportНе указана
Red Hat, Inc.Red Hat Enterprise Linux10Не указана
Red Hat, Inc.Red Hat Enterprise Linux8.8 Telecommunications Update ServiceНе указана
Red Hat, Inc.Red Hat Enterprise Linux8.8 Update Services for SAP SolutionsНе указана
Red Hat, Inc.Red Hat Enterprise Linux9.2 Update Services for SAP SolutionsНе указана
Red Hat, Inc.Red Hat Enterprise Linux8.4 Extended Update Support Long-Life Add-OnНе указана
Red Hat, Inc.Red Hat Enterprise Linux9.6 Extended Update SupportНе указана
ООО «Ред Софт»РЕД ОС8.0Не указана
Red Hat, Inc.Red Hat Enterprise Linux10.0 Extended Update SupportНе указана
Canonical Ltd.Ubuntu26.04 LTSНе указана
Red Hat, Inc.Red Hat Enterprise Linux AI3.3Не указана

Рекомендации по устранению

Использование рекомендаций: Для CPython: https://github.com/python/cpython/pull/148170 https://github.com/python/cpython/commit/28b4ad38067bbdad34edfcd03ad2de5f06387e53 https://github.com/python/cpython/commit/c5767a72838a8dda9d6dc5d3558075b055c56bca https://github.com/python/cpython/commit/d22922c8a7958353689dc4763dd72da2dea03fff https://github.com/python/cpython/commit/d6d68494be70bdbda20f89f83801ba52ec37daa4 https://github.com/python/cpython/commit/f4654824ae0850ac87227fb270f9057477946769 Для Ред ОС: https://redos.red-soft.ru/search/?iblock_id=24&q=CVE-2026-4786 Для программных продуктов Red Hat Inc.: https://access.redhat.com/security/cve/cve-2026-4786 Для Ubuntu: https://ubuntu.com/security/CVE-2026-4786

Источники (1)

SLA ФСТЭК №117

7 дней

по базовой оценке CVSS 7.0

Уточните SLA под вашу среду

Базовый балл 7.0 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.

Пересчитать CVSS с учётом среды

Threat Intelligence

SSVC: Отслеживать (повышенный)

Умеренный риск. Включите в плановый цикл обновлений, следите за изменением EPSS.

EPSS — вероятность эксплуатации0.3%

Вероятность эксплуатации в 30 дней (FIRST EPSS)

Информация

Обнаружена

2026-04-13

Опубликована

2026-07-15

Обновлена

2026-07-15

Эксплойт

Данные уточняются

Исправление

Уязвимость устранена

Статус

Подтверждена производителем

КиберОснова

Управляйте уязвимостями, а не таблицами

Платформа автоматически подтягивает новые записи из БДУ, привязывает к вашим активам и считает SLA по приказу №117 — без ручного мониторинга.

  • Уязвимости → активы → ответственные — цепочка за минуту
  • SLA-таймеры и эскалация — дедлайны не горят
  • PDF-отчёт для ФСТЭК — за один клик
Попробовать бесплатно

Внешние ресурсы

БДУ ФСТЭК NVD: CVE-2026-4786 MITRE: CWE-77 Каталог CPE (ФСТЭК) Реестр сертифицированных СЗИ ФСТЭК

Связанные уязвимости

 
Высокий
8.1

Уязвимость метода Diffable.diff библиотеки Python для взаимодействия с git-репозиториями GitPython, позволяющая нарушите

 
Высокий
8.8

Уязвимость механизма check_unsafe_options библиотеки Python для взаимодействия с git-репозиториями GitPython, позволяюща

 
Средний
5.5

Уязвимость модуля pip языка программирования Python, связанная с неверным ограничением имени пути к каталогу, позволяюща

 
Высокий
7.8

Уязвимость функции tilingPatternFill библиотеки для отображения PDF-файлов Poppler, связанная с целочисленным переполнен

 
Низкий
4.0

Уязвимость библиотеки для работы с изображениями Pillow, связанная с выполнением цикла с недоступным условием выхода, по

Источник: Банк данных угроз безопасности информации ФСТЭК России (bdu.fstec.ru). Банк данных создан в соответствии с Приказом ФСТЭК России от 16.02.2015 №9. Данные общедоступны и предоставляются на безвозмездной основе. Оператор: ФАУ «ГНИИИ ПТЗИ ФСТЭК России».

Что добавляет КиберОснова к данным БДУ ФСТЭК

CVSS v4.0 + калькулятор

Единственный бесплатный калькулятор CVSS v4.0 на русском языке

SLA по приказу №117

Автоматический расчёт сроков устранения: 24ч, 7дн, 30дн

EPSS + CISA KEV

Оценка вероятности эксплуатации и статус активных атак

Полнотекстовый поиск

По названию, CVE, CWE, описанию — русский и английский

Связанные уязвимости

Автоматический подбор по затронутому ПО

Мобильная версия

Адаптивный интерфейс для работы с телефона и планшета

Поиск по 94 000+ уязвимостямМодуль БДУ ФСТЭК

Автоматизируйте управление уязвимостями

КиберОснова SGRC: БДУ ФСТЭК + CVSS + SLA по приказу №117 в одном интерфейсе.

Калькулятор CVSS v4.0