Техника и безопасность · · 7 мин. чтения · Автор: Alexander
Критические уязвимости безопасности MariaDB: что Вам следует сделать сейчас
Исследование по состоянию на 30 октября 2026 года документирует несколько уязвимостей безопасности в сервере баз данных MariaDB. Две из них, CVE-2026-92262 и CVE-2026-85746, согласно оценке CNA по CVSS 3.1 получили по 9,9 из 10 баллов. Поэтому обновлению следует присвоить высокий приоритет. Для эксплуатации обеих основных уязвимостей злоумышленнику уже нужна учётная запись базы данных с небольшими правами и соответствующий SQL-доступ. Анонимное открытие Вашего сайта не выполняет это условие автоматически. Уточните, какой уровень исправлений MariaDB фактически используется и кому разрешён доступ к базе данных.
Что произошло с MariaDB?
CVE-2026-92262 касается имён таблиц: исторический префикс «#mysql50#» позволяет обойти их обычное преобразование в имена файлов. В записи CNA указаны сбои, повреждение данных, утечка данных и возможность удалённого выполнения кода. CNA оценивает уязвимость в 9,9 по CVSS 3.1.
При CVE-2026-85746 глубоко вложенные GeometryCollections могут заставить GIS-функцию «ST_AsText» записывать данные за пределами выходного буфера. Здесь оценка CNA по CVSS 3.1 также составляет 9,9. Возможность выполнения кода в записи описана только в сочетании с другой уязвимостью. Таким образом, надёжное самостоятельное удалённое выполнение кода не доказано.
Согласно записи, CVE-2026-85748 затрагивает только указанные диапазоны веток 12.3 и 13.0. Причина — ошибка use-after-free при наличии большого количества объектов «SYS_REFCURSOR». CNA также оценивает эту уязвимость в 9,9 по CVSS 3.1. Описанная возможность выполнения кода тоже требует наличия другой уязвимости. Нельзя безоговорочно считать, что эта CVE затрагивает более старые ветки.
Насколько опасны эти уязвимости на практике?
9,9 — критическая оценка. CVSS описывает техническую серьёзность при указанных условиях; по этой оценке нельзя определить вероятность атаки на Ваш сайт. Во всех трёх векторах оценки указаны сетевой доступ, низкая сложность, отсутствие необходимого взаимодействия с пользователем и потенциально серьёзное влияние на конфиденциальность, целостность и доступность.
При этом «PR:L» для всех трёх уязвимостей означает наличие небольших прав. Следовательно, права администратора базы данных не являются обязательным условием. Имеющееся описание менее точно определяет отдельные права, необходимые для CVE-2026-92262. Поэтому следует проверить и учётные записи с ограниченными правами.
Активная эксплуатация в имеющихся материалах не подтверждена. Для проверенных номеров CVE сохранённая проверка CISA KEV по состоянию каталога на 29.10.2026 не дала совпадений. Отсутствие записи в этом каталоге известных эксплуатируемых уязвимостей не исключает атак. Рекомендация по обновлению основана на критической серьёзности и документированных условиях атаки.
Какие версии MariaDB безопасны?
По данным CNA, в следующих версиях исправлены CVE-2026-92262 и CVE-2026-85746. Это не общая гарантия безопасности и не утверждение о сроке поддержки ветки.
- MariaDB 10.6: исправленная версия 10.6.28
- MariaDB 10.11: исправленная версия 10.11.19
- MariaDB 11.4: исправленная версия 11.4.13
- MariaDB 11.8: исправленная версия 11.8.9
- MariaDB 12.3: исправленная версия 12.3.3
- MariaDB 13.0: исправленная версия 13.0.2
Переход на MariaDB 12 или 13 не требуется только из-за этих основных уязвимостей. Попросите проверить подходящую исправленную версию и поддержку Вашей ветки. Исследование не даёт оснований считать безопасными неуказанные ветки и конкретные пакеты дистрибутивов. Если Ваш провайдер ссылается на backport, то есть на исправление, перенесённое в его версию пакета, запросите подтверждение для обеих основных CVE. CVE-2026-85748 явно затрагивает версии от 12.3.1 до версий ниже 12.3.3, а также от 13.0.1 до версий ниже 13.0.2; соответствующие исправленные версии — 12.3.3 и 13.0.2.
Как проверить, затронут ли мой сайт?
Следующие указания являются редакционными рекомендациями на основе документированных условий и исправленных версий. Сначала выясните, использует ли Ваш сайт MariaDB. Попросите определить текущую версию сервера и полную версию пакета, включая источник пакета. Если у Вас есть SQL-доступ, запрос только для чтения «SELECT VERSION();» покажет текущую версию сервера. Дополнительно запросите подтверждение того, что версия пакета провайдера содержит исправление.
При Shared Hosting мы рекомендуем сначала спросить провайдера, кто отвечает за базу данных. Даже если Вы используете Plesk или cPanel, следует уточнить, кто выполняет обновление сервера. По названию панели управления нельзя определить уровень исправлений.
Для WordPress мы рекомендуем такую же проверку версии базы данных. Скомпрометированные данные доступа к базе или уязвимость веб-приложения как возможные дополнительные пути доступа потребовалось бы подтвердить отдельно; такая цепочка атаки здесь не доказана. Также попросите проверить, каким учётным записям разрешено выполнять SQL. Отсутствия прав администратора недостаточно, чтобы считать систему незатронутой.
Что написать моему хостинг-провайдеру?
Вы можете использовать следующий запрос как редакционный вариант. Сохраните ответ, чтобы подтверждённые сведения можно было проверить позднее:
«Здравствуйте, какая версия MariaDB используется для моего сайта? Пожалуйста, укажите также полный идентификатор пакета или сборки и источник пакета. Устранены ли в ней CVE-2026-92262 и CVE-2026-85746? Если Вы используете backport, пожалуйста, отправьте мне подходящее подтверждение. Если используется затронутая версия ветки 12.3 или 13.0, прошу также предоставить информацию о CVE-2026-85748. Каким учётным записям и сетям разрешён доступ к базе данных? Если обновление ещё необходимо: кто и когда его выполнит? Пожалуйста, предварительно согласуйте со мной резервное копирование и проверку совместимости, а затем — проверку текущей версии и функций сайта».
Ответ вроде «Сайт работает» не отвечает на вопрос о CVE. Если информация неясна, запросите конкретное подтверждение. В качестве функционального теста мы рекомендуем проверить фактически используемые процессы на Вашем сайте, например оформление заказа в интернет-магазине или вход в личный кабинет.
Что делать, если обновление нельзя установить сразу?
В качестве временной меры ограничьте доступ к базе данных необходимыми учётными записями и сетями. Вместе с ответственным специалистом проверьте, какие варианты доступа не нужны и какие права требуются приложениям. Это может уменьшить поверхность атаки. Имеющиеся основные рекомендации по безопасности не подтверждают, что такая мера полностью заменяет обновление; небольшие права к базе данных также относятся к условиям атаки.
Согласуйте конкретную дату обновления. Мы рекомендуем заранее проверить наличие актуальной резервной копии и совместимость с Вашими приложениями. Общей ссылки на дополнительные защитные меры недостаточно как подтверждения устранения CVE. Запросите однозначное подтверждение исправленной версии пакета.
После обновления проверьте фактически используемую версию сервера и работу Ваших приложений. При управляемом хостинге поручите эту проверку ответственному провайдеру. Если уровень исправлений остаётся неясным, запросите конкретно недостающее подтверждение. Сохраните подтверждённую версию и результат функционального теста для Вашей документации.
Частые вопросы об обновлении безопасности MariaDB
Достаточно ли актуальных плагинов WordPress?
Наша редакционная рекомендация: проверьте уровень исправлений MariaDB независимо от обновлений плагинов. Указанные исправленные версии относятся к серверу баз данных. Актуальные плагины не доказывают, что эти исправления установлены на нём.
Защищает ли Cloudflare?
Исследование не содержит подтверждений того, что Cloudflare защищает от этих уязвимостей. Поэтому даже при его использовании мы рекомендуем запросить подтверждение уровня исправлений MariaDB и отдать приоритет необходимому обновлению базы данных.
Касается ли это статических сайтов?
Из затронутого продукта можно сделать следующий вывод: чисто статическому сайту, который не использует MariaDB и через дополнительные сервисы, собственное исправление MariaDB здесь не требуется. При наличии дополнительных функций базы данных рекомендуем уточнить у провайдера используемую систему баз данных и уровень её исправлений.
Каждый ли сайт на WordPress автоматически затронут?
Нет. Проверьте, используется ли затронутая версия MariaDB. Для атаки также нужны небольшие права к базе данных и соответствующий SQL-доступ; анонимного открытия сайта автоматически недостаточно. Это вывод из документированных условий.
Мой сайт уже взломан?
Сообщение о CVE не даёт ответа на этот вопрос. Активная эксплуатация в материалах не подтверждена; сохранённая проверка KEV по состоянию на 29.10.2026 не дала совпадений для проверенных идентификаторов. Это не доказывает целостность Вашего сайта. При конкретных признаках отклонений рекомендуем обратиться к специалистам для проверки.
Нужно ли обновляться до MariaDB 12 или 13?
Только из-за двух основных уязвимостей это не требуется. Исправленные версии документированы для нескольких более старых веток. Попросите выбрать подходящую исправленную версию и отдельно уточните поддержку Вашей ветки. Для исправления провайдера необходимо конкретное подтверждение устранения уязвимостей.