КиберосноваSGRC
BDU:2026-09777
Средний

BDU:2026-09777: Уязвимость модуля webbrowser интерпретатора языка программирования Python (CPython), позволяющая нарушителю выполнить произвольные команды

CVSS v4.07.0
CVSS v37.1
CVSS v26.6
Пересчитать в калькулятореОткрыть на bdu.fstec.ruК реестру

Детали уязвимости BDU:2026-09777

Описание

Уязвимость модуля webbrowser интерпретатора языка программирования Python (CPython) связана с непринятием мер по очистке данных на управляющем уровне. Эксплуатация уязвимости может позволить нарушителю выполнить произвольные команды

Что делать с BDU:2026-09777

Уязвимость среднего уровня (CVSS 7.0) — устраните в рамках планового цикла обновлений. Срок задаёт внутренний регламент организации (п. 38 приказа ФСТЭК № 117). Оцените применимость к вашей инфраструктуре через список затронутого ПО.

Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.

Оценка критичности (CVSS)

v4.0
7.0Высокий
Пересчитать →
v3.1
7.1Высокий
Пересчитать →
v2
6.6
Только просмотр
AV:L/AC:L/AT:P/PR:N/UI:A/VC:H/VI:H/VA:N/SC:N/SI:N/SA:NAV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:NAV:L/AC:L/Au:N/C:C/I:C/A:N

CWE — тип уязвимости

CWE-77
CWE-88

CVE — международный идентификатор

CVE-2026-4786
CWE-77
Внедрение команд

CWE-77 — внедрение команд: данные извне не обезвреживаются перед подстановкой в чужую команду. Ошибка возникает, когда строка из аргументов, формы или переменной окружения дописывается к вызову служебной команды: команд ОС или языка команд приложения. Злоумышленник подменяет команду и получает выполнение произвольных операций: чтение файлов, запуск программ, изменение данных.

Как атакуют и что делать ▾

Сценарий атаки

Пользовательский ввод подставляется в команду без экранирования. Метасимволы (;, |, &&) позволяют выполнить вторую команду.

Последствия

Выполнение произвольных команд ОС на сервере.

Рекомендации

Используйте API вместо shell, экранируйте аргументы, применяйте white-list символов.

Тактики и техники

Инъекция

Уязвимое ПО (31)

ВендорНазваниеВерсияПлатформа
Red Hat, Inc.Red Hat Enterprise Linux8Не указана
Red Hat, Inc.Red Hat Enterprise Linux6 Extended Lifecycle SupportНе указана
ООО «Ред Софт»РЕД ОС7.3Не указана
Canonical Ltd.Ubuntu22.04 LTSНе указана
Red Hat, Inc.Red Hat Enterprise Linux9Не указана
Red Hat, Inc.Red Hat Enterprise Linux8.4 Advanced Mission Critical Update SupportНе указана
Canonical Ltd.Ubuntu24.04 LTSНе указана
Red Hat, Inc.Red Hat Enterprise Linux9.0 Update Services for SAP SolutionsНе указана
Red Hat, Inc.Red Hat Enterprise Linux8.6 Update Services for SAP SolutionsНе указана
Red Hat, Inc.Red Hat Enterprise Linux8.6 Telecommunications Update ServiceНе указана
Red Hat, Inc.Red Hat Enterprise Linux8.6 Advanced Mission Critical Update SupportНе указана
Red Hat, Inc.Red Hat Enterprise Linux7 Extended Lifecycle SupportНе указана
Red Hat, Inc.Red Hat Enterprise Linux9.4 Extended Update SupportНе указана
Red Hat, Inc.Red Hat Enterprise Linux10Не указана
Red Hat, Inc.Red Hat Enterprise Linux8.8 Telecommunications Update ServiceНе указана
Red Hat, Inc.Red Hat Enterprise Linux8.8 Update Services for SAP SolutionsНе указана
Red Hat, Inc.Red Hat Enterprise Linux9.2 Update Services for SAP SolutionsНе указана
Red Hat, Inc.Red Hat Enterprise Linux8.4 Extended Update Support Long-Life Add-OnНе указана
Red Hat, Inc.Red Hat Enterprise Linux9.6 Extended Update SupportНе указана
ООО «Ред Софт»РЕД ОС8.0Не указана
Red Hat, Inc.Red Hat Enterprise Linux10.0 Extended Update SupportНе указана
Red Hat, Inc.Red Hat AI Inference Server3.2Не указана
Red Hat, Inc.Red Hat Update Infrastructure5Не указана
Red Hat, Inc.Red Hat Hardened Images-Не указана
Canonical Ltd.Ubuntu26.04 LTSНе указана
Red Hat, Inc.RHEL-8 based Middleware Containers-Не указана
Red Hat, Inc.Red Hat AI Inference Server3.3Не указана
Red Hat, Inc.Red Hat Enterprise Linux AI3.3Не указана
Python Software FoundationCPythonдо 3.13.14Не указана
Python Software FoundationCPythonот 3.14.0a1 до 3.14.5rc1Не указана
Python Software FoundationCPythonот 3.15.0a1 до 3.15.0b1Не указана

Среды функционирования (23)

ВендорНазваниеВерсияПлатформа
Red Hat, Inc.Red Hat Enterprise Linux8Не указана
Red Hat, Inc.Red Hat Enterprise Linux6 Extended Lifecycle SupportНе указана
ООО «Ред Софт»РЕД ОС7.3Не указана
Canonical Ltd.Ubuntu22.04 LTSНе указана
Red Hat, Inc.Red Hat Enterprise Linux9Не указана
Red Hat, Inc.Red Hat Enterprise Linux8.4 Advanced Mission Critical Update SupportНе указана
Canonical Ltd.Ubuntu24.04 LTSНе указана
Red Hat, Inc.Red Hat Enterprise Linux9.0 Update Services for SAP SolutionsНе указана
Red Hat, Inc.Red Hat Enterprise Linux8.6 Update Services for SAP SolutionsНе указана
Red Hat, Inc.Red Hat Enterprise Linux8.6 Telecommunications Update ServiceНе указана
Red Hat, Inc.Red Hat Enterprise Linux8.6 Advanced Mission Critical Update SupportНе указана
Red Hat, Inc.Red Hat Enterprise Linux7 Extended Lifecycle SupportНе указана
Red Hat, Inc.Red Hat Enterprise Linux9.4 Extended Update SupportНе указана
Red Hat, Inc.Red Hat Enterprise Linux10Не указана
Red Hat, Inc.Red Hat Enterprise Linux8.8 Telecommunications Update ServiceНе указана
Red Hat, Inc.Red Hat Enterprise Linux8.8 Update Services for SAP SolutionsНе указана
Red Hat, Inc.Red Hat Enterprise Linux9.2 Update Services for SAP SolutionsНе указана
Red Hat, Inc.Red Hat Enterprise Linux8.4 Extended Update Support Long-Life Add-OnНе указана
Red Hat, Inc.Red Hat Enterprise Linux9.6 Extended Update SupportНе указана
ООО «Ред Софт»РЕД ОС8.0Не указана
Red Hat, Inc.Red Hat Enterprise Linux10.0 Extended Update SupportНе указана
Canonical Ltd.Ubuntu26.04 LTSНе указана
Red Hat, Inc.Red Hat Enterprise Linux AI3.3Не указана

Рекомендации по устранению

Использование рекомендаций: Для CPython: https://github.com/python/cpython/pull/148170 https://github.com/python/cpython/commit/28b4ad38067bbdad34edfcd03ad2de5f06387e53 https://github.com/python/cpython/commit/c5767a72838a8dda9d6dc5d3558075b055c56bca https://github.com/python/cpython/commit/d22922c8a7958353689dc4763dd72da2dea03fff https://github.com/python/cpython/commit/d6d68494be70bdbda20f89f83801ba52ec37daa4 https://github.com/python/cpython/commit/f4654824ae0850ac87227fb270f9057477946769 Для Ред ОС: https://redos.red-soft.ru/search/?iblock_id=24&q=CVE-2026-4786 Для программных продуктов Red Hat Inc.: https://access.redhat.com/security/cve/cve-2026-4786 Для Ubuntu: https://ubuntu.com/security/CVE-2026-4786

Источники (1)

SLA ФСТЭК №117

7 дней

по базовой оценке CVSS 7.0

Уточните SLA под вашу среду

Базовый балл 7.0 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.

Пересчитать CVSS с учётом среды

Threat Intelligence

SSVC: Отслеживать (повышенный)

Умеренный риск. Включите в плановый цикл обновлений, следите за изменением EPSS.

EPSS — вероятность эксплуатации0.3%

Вероятность эксплуатации в 30 дней (FIRST EPSS)

Информация

Обнаружена

2026-04-13

Опубликована

2026-07-15

Обновлена

2026-07-15

Эксплойт

Данные уточняются

Исправление

Уязвимость устранена

Статус

Подтверждена производителем

КиберОснова

Управляйте уязвимостями, а не таблицами

Платформа КиберОснова импортирует БДУ ФСТЭК и привязывает уязвимости к вашим активам.

  • Уязвимости → активы → ответственные — цепочка за минуту
  • PDF-отчёт для ФСТЭК — за один клик
Попробовать бесплатно

Внешние ресурсы

БДУ ФСТЭК NVD: CVE-2026-4786 MITRE: CWE-77 Каталог CPE (ФСТЭК) Реестр сертифицированных СЗИ ФСТЭК

Связанные уязвимости

 
Высокий
6.8

Уязвимость набора доверенных корневых сертификатов CA Certificates, связанная с ошибками процедуры подтверждения подлинн

 
Средний
5.3

Уязвимость библиотеки Python для взаимодействия с git-репозиториями GitPython , связанная с внедрением или модификацией

 
Высокий
6.3

Уязвимость библиотеки go-git, связанная с неверным ограничением имени пути к каталогу с ограниченным доступом, позволяющ

 
Высокий
8.8

Уязвимость механизма check_unsafe_options библиотеки Python для взаимодействия с git-репозиториями GitPython, позволяюща

 
Высокий
8.1

Уязвимость метода Diffable.diff библиотеки Python для взаимодействия с git-репозиториями GitPython, позволяющая нарушите

Источник: Банк данных угроз безопасности информации ФСТЭК России (bdu.fstec.ru). Банк данных создан в соответствии с Приказом ФСТЭК России от 16.02.2015 №9. Данные общедоступны и предоставляются на безвозмездной основе. Оператор: ФАУ «ГНИИИ ПТЗИ ФСТЭК России».

Что добавляет КиберОснова к данным БДУ ФСТЭК

CVSS v4.0 + калькулятор

Единственный бесплатный калькулятор CVSS v4.0 на русском языке

SLA по приказу №117

Расчёт срока устранения: 24 ч для критических, 7 дней для высоких

EPSS + CISA KEV

Оценка вероятности эксплуатации и статус активных атак

Полнотекстовый поиск

По названию, CVE, CWE, описанию — русский и английский

Связанные уязвимости

Автоматический подбор по затронутому ПО

Мобильная версия

Адаптивный интерфейс для работы с телефона и планшета

Поиск по 94 000+ уязвимостямМодуль БДУ ФСТЭК

Автоматизируйте управление уязвимостями

КиберОснова SGRC: импорт БДУ ФСТЭК, CVSS и привязка к активам в одном интерфейсе.

Калькулятор CVSS v4.0