Критические уязвимости PHP, Oracle, Node.js и других систем

Вот список критических уязвимостей, которые были разглашены сегодня

CVE-2026-109618 (PHP) — RCE через OOM-corruption, неаутентифицированный, CVSS 9.2, патчи 8.5.12/8.4.27/8.3.36/8.2.35.

CVE-2026-109619 (PHP) — RCE через stale global state (UAF), неаутентифицированный, CVSS 9.2, те же патчи (PHP2Shell).

CVE-2026-87337 (Oracle Access Manager) — неаутентифицированный compromise via HTTP, CVSS 10.0.

CVE-2026-91216 (Oracle SOA Suite) — критическая в Fabric Layer, CVSS 10.0.

CVE-2026-91221 (Oracle SOA Suite) — критическая в Fabric Layer, CVSS 10.0.

CVE-2026-105312 (Red Hat StreamsHub Console for Apache Kafka) — CVSS 9.9.

CVE-2026-113708 (Argo CD) — CVSS 9.9, влияет на GitOps.

CVE-2026-113709 (Argo CD) — CVSS 9.9.

CVE-2026-113672 (Argo CD) — CVSS 9.9.

CVE-2026-111497 (Node.js) — Brotli decoder OOB write → потенциальный RCE (High), патчи 26.12.1/24.22.1/22.23.4.

CVE-2026-105482 / CVE-2026-105483 / CVE-2026-106069 (Node.js) — DNS truncation и TLS hostname bypasses (High).

CVE-2026-96652 / 96654 / 96655 / 96656 (Plex Media Server) — Plex2Shell chain, неаутентифицированный RCE, активно эксплуатируется (KEV).

CVE-2026-106931 (SiteGuard Server Edition) — OS Command Injection → root/SYSTEM, активно эксплуатируется (KEV).

CVE-2026-110936 (Siemens Software Center) — DLL sideloading, активно эксплуатируется (KEV).

CVE-2026-114119 (Best Practice Software Bp Premier) — hardcoded SQL admin password, CVSS ~9.3.

CVE-2026-113736 (D-Link DHP-W610AV) — empty/hardcoded password в HNAP Login.

CVE-2026-82814 (WordPress Duplicator / Pro) — unauthenticated PHP Object Injection → RCE/file delete, CVSS 8.8 (1M+ установок).

CVE-2026-102182 (Juniper Junos MX) — unauthenticated root RCE via IKE certificate packets, CVSS 9.8.

CVE-2026-102178 (Juniper Junos) — BGP flowspec buffer overflow → routing-engine compromise, CVSS 9.8.

CVE-2026-106173 (Fortinet FortiSIEM) — unauthenticated RCE (path traversal), PoC опубликован, CVSS ~9.4–9.8.