T.Hunter

📄 Новый сертификат есть. Сервис недоступен

Например: сертификат перевыпустили, но на балансировщике остался старый. Его срок истек, и клиенты, проверяющие срок действия сертификата, начали отклонять соединения

С сокращением сроков таких замен станет больше

200 → 100 → 47 дней

Это максимальный срок действия новых публично доверенных серверных TLS-сертификатов по правилам CA/Browser Forum:

📅 С 15.03.2026: 200 дней
📅 С 15.03.2027: 100 дней
📅 С 15.03.2029: 47 дней

Лимит определяется датой выпуска. Ранее выданным сертификатам срок задним числом не сокращают. Для частной корпоративной PKI этот график сам по себе не обязателен

Автоматизировать стоит весь процесс: выпуск, установку и проверку сертификата, который реально отдает сервис. ACME помогает с выпуском, а установку обеспечивают выбранный клиент и настройки

Отдельно нужен мониторинг сроков и сбоев обновления. Успешный выпуск у УЦ еще не подтверждает, что сертификат заменен на всех узлах

@tomhunter
Наш канал в MAX

🚨 NetScaler: отключить DTLS недостаточно

Восемь уязвимостей в одном бюллетене Citrix. Две уже используют в атаках. Но одинаковая оценка 9,5 по CVSS 4.0 скрывает разные условия

🔴 CVE-2026-88771
Выполнение команд без авторизации. Дополнительные функции включать не нужно: уязвимая версия опасна и со стандартной конфигурацией

🔴 CVE-2026-88772
Переполнение памяти с возможностью выполнения кода или отказа в обслуживании. Требуется включенный DTLS. На VPN vServer он включен по умолчанию

Поэтому отключение DTLS убирает условие для второй уязвимости, но первую не закрывает

📍 Ориентир для обновления
Обычные ветки: 14.1-73.37+ и 13.1-64.24+. У FIPS и NDcPP отдельные сборки. Проверьте каждый узел, включая резервный

После обновления проверьте признаки компрометации. Citrix предупреждает: патч не удаляет следы уже состоявшегося взлома. При подозрении на компрометацию производитель рекомендует развернуть новый обновленный экземпляр

@tomhunter
Наш канал в MAX

⚡️ Сервер еще не загрузился. Чужой код уже может работать

Кнопка питания
↓
Прошивка запускает загрузку по сети
↓
Атакующий присылает специально сформированный пакет
↓
Выполнение кода до старта ОС

Такой сценарий описывает CVE-2026-97631 в PXE-драйвере TianoCore EDK II, код которого используется в UEFI-прошивках. Бюллетень опубликован 22 октября, оценка CVSS 4.0: 9,5

Ошибка обработки ICMP-сообщений позволяет повредить память во время сетевой загрузки по IPv4 или IPv6. Для выполнения кода атакующему нужно знать сборку прошивки и иметь возможность доставить пакет машине в этот момент. Пароль не требуется

Где проверить
Серверы и рабочие станции с PXE-загрузкой. Само наличие UEFI еще не означает уязвимость

Что сделать
Уточнить затронутые модели и исправления у производителя оборудования. Отключить PXE там, где он не нужен, и ограничить доступ к сети загрузки

Обновление Windows или Linux эту ошибку в прошивке не исправит

@tomhunter
Наш канал в MAX