CVE-2026-109390: критическая уязвимость в AnyDesk позволяет выполнить код до 8.0.3
В AnyDesk версий до 8.0.3 обнаружена критическая уязвимость переполнения буфера в куче (CVSS 9.8), позволяющая неаутентифицированному удалённому атакующему выполнить произвольный код. На Linux эксплуатация демонстрируется с выполнением команд от имени root без подтверждения со стороны жертвы. Проблема затрагивает все системы с уязвимыми версиями AnyDesk.
Подробности
Уязвимость затрагивает AnyDesk версий до 8.0.3. Причина — отсутствие проверки значения длины полезной нагрузки (payload length) в обработчике пакетов потока для режима 5 протокола сессии. Это приводит к переполнению буфера в куче (heap-based buffer overflow). Согласно описанию CVE, на Linux эксплуатация демонстрируется с выполнением команд от имени root — при этом жертве не требуется подтверждать запрос на управление рабочим столом. То есть атака не требует ни предварительного доступа, ни взаимодействия со стороны пользователя, что существенно повышает риск. Оценка CVSS 9.8 (CRITICAL) отражает сочетание сетевого вектора атаки, отсутствия необходимых привилегий и аутентификации, а также высокого влияния на конфиденциальность, целостность и доступность системы. Под удар попадают организации и частные пользователи, использующие AnyDesk для удалённого администрирования и поддержки. Особенно критична ситуация для хостов, где служба AnyDesk работает с повышенными привилегиями и доступна из недоверенных сетей.Что делать
Основная рекомендация — как можно скорее обновить AnyDesk до версии 8.0.3 или более поздней. Обновление устраняет отсутствие проверки длины полезной нагрузки в обработчике протокола сессии. До момента обновления целесообразно применить компенсирующие меры: - ограничить сетевой доступ к портам и сервисам AnyDesk, по возможности не публиковать их в интернет; - использовать VPN или иные защищённые каналы для подключения к хостам с AnyDesk; - ограничить права учётной записи, под которой работает служба AnyDesk, отказавшись от избыточных привилегий там, где это возможно; - усилить мониторинг подозрительной активности, связанной с процессами AnyDesk и попытками подключения из недоверенных источников. Если обновление невозможно в короткие сроки, следует рассмотреть временное отключение сервиса на критичных системах либо его изоляцию на уровне сетевой инфраструктуры. Итог: CVE-2026-109390 — серьёзная угроза для всех, кто использует уязвимые версии AnyDesk, особенно на Linux. Учитывая отсутствие необходимости в аутентификации и взаимодействии с пользователем, промедление с обновлением до 8.0.3 оставляет систему открытой для удалённого захвата контроля и выполнения кода с высокими привилегиями. Обновление следует считать приоритетной задачей.Источник: CVE Project (cvelistV5)