CVE-2026-103509: раскрытие учётных данных в P4 Search Configuration API

В начале 2026 года исследователи безопасности сообщили об уязвимости в компоненте P4 Search, входящем в состав платформы Perforce P4 (ранее известной как Helix Core). Проблема получила идентификатор CVE-2026-103509 и затрагивает конфигурационный интерфейс поискового модуля, который используется для интеграции с сервером P4.

Подробности

Согласно официальному описанию, P4 Search (ранее Helix Search) возвращает сохранённые учётные данные в открытом виде через свой конфигурационный API. Доступ к этим данным получают пользователи с административными привилегиями на подключённом сервере P4. Таким образом, злоумышленник, уже обладающий правами администратора, может извлечь хранимые учётные данные и использовать их для дальнейшего расширения привилегий — то есть речь идёт о privilege escalation.

Уязвимость затрагивает Perforce P4 (Helix Core) версий 2026.4.2 и более ранних. В версии 2026.4.3 проблема устранена. Уровень опасности по шкале CVSS составляет 8.5 (HIGH), что отражает высокую степень риска: раскрытие секретов в открытом виде может привести к компрометации смежных систем и учётных записей, особенно если одни и те же данные используются в других сервисах.

Важно отметить, что эксплуатация требует наличия административных прав на сервере P4. Однако на практике административные учётные записи часто становятся целью атакующих, а комбинация «админ + открытый пароль» существенно упрощает горизонтальное и вертикальное перемещение по инфраструктуре.

Что делать

Основная и наиболее надёжная рекомендация — обновить Perforce P4 (Helix Core) до версии 2026.4.3 или более поздней, где уязвимость исправлена. Перед обновлением стоит проверить совместимость с текущими конфигурациями и заранее подготовить резервные копии.

Если немедленное обновление невозможно, рекомендуется принять компенсирующие меры:

• ограничить круг пользователей с административными привилегиями на сервере P4 и провести ревизию таких учётных записей;
• ограничить сетевой доступ к конфигурационному API P4 Search (например, средствами межсетевого экранирования или сегментации сети);
• ротировать все учётные данные, которые могли храниться в конфигурации P4 Search, особенно если они используются в других системах;
• включить расширенное журналирование и мониторинг обращений к административным API для выявления подозрительной активности.

Также имеет смысл провести аудит того, какие именно секреты хранились в конфигурации поискового модуля, чтобы оценить потенциальный масштаб компрометации.

Уязвимость CVE-2026-103509 — наглядный пример того, как хранение секретов в открытом виде в связке с административным доступом создаёт серьёзный риск. Даже при наличии требования повышенных привилегий для эксплуатации, оценка CVSS 8.5 говорит о высокой опасности. Организациям, использующим Perforce P4 (Helix Core) версий 2026.4.2 и ниже, следует как можно скорее перейти на 2026.4.3, а при невозможности — применить митигации и ротацию учётных данных.

Источник: CVE Project (cvelistV5)