CVE-2026-43961: критическая Vimscript-инъекция в netrw через имя файла

Исследователи сообщили об опасной уязвимости в популярном текстовом редакторе Vim. Она связана с плагином netrw, который отвечает за работу с файлами и каталогами прямо из редактора, и позволяет выполнить произвольный код в контексте пользователя.

Подробности

Уязвимость получила идентификатор CVE-2026-43961. Оценка по шкале CVSS — 7.8 (HIGH). Тип проблемы — инъекция Vimscript через неэкранированное имя файла в выражении filter() функции s:netrwmarkfile() плагина netrw.

Механизм атаки: специально подготовленное имя файла, содержащее символы кавычек и фрагменты выражений, позволяет «разорвать» кавычечный контекст во время операций mark/unmark. В результате злоумышленник может внедрить произвольный Vimscript, который затем исполняется редактором. Это даёт возможность запускать shell-команды с привилегиями пользователя, работающего в Vim, — вплоть до полной компрометации рабочей станции или сервера, где открыт редактор.

В перечень затронутых продуктов входят сам Vim, а также Red Hat Hardened Images, Red Hat Enterprise Linux (версии 6, 7, 8, 9 и 10) и Red Hat OpenShift Container Platform 4. Практический риск особенно высок в сценариях, где Vim используется для обработки файлов из недоверенных источников: например, при работе с загруженными архивами, сетевыми каталогами или репозиториями. Достаточно открыть каталог с файлом, чьё имя сформировано атакующим, и выполнить в netrw операцию отметки файла, чтобы сработал эксплойт.

Что делать

Основная рекомендация — как можно скорее обновить Vim до версии, в которой уязвимость устранена. Патч выпущен мейнтейнерами проекта; пользователям сборок от дистрибутивов (в том числе Red Hat Enterprise Linux и OpenShift) следует дождаться обновлений от вендора и установить их в приоритетном порядке. При работе с контейнерами, содержащими Vim, необходимо пересобрать образы на основе пропатченных базовых слоёв.

Если немедленное обновление невозможно, примените компенсирующие меры:

• не открывайте в Vim каталоги и файлы из недоверенных источников, особенно с подозрительными именами (кавычки, скобки, спецсимволы);
• ограничьте использование плагина netrw: его можно отключить в конфигурации, если он не нужен в рабочем процессе;
• запускайте Vim от непривилегированного пользователя и в изолированном окружении (контейнер, песочница, отдельная учётная запись) для снижения последствий возможной эксплуатации;
• контролируйте подозрительную активность процессов, порождаемых из редактора, средствами EDR/мониторинга.

Уязвимость CVE-2026-43961 демонстрирует, что даже привычные инструменты разработчика могут становиться вектором атаки: обработка недоверённых имён файлов без должного экранирования приводит к исполнению кода. Для организаций это повод пересмотреть политику обновлений и практики безопасной работы с внешними данными. Приоритет — установка патчей Vim и дистрибутивных обновлений Red Hat, а также ограничение работы с недоверёнными файлами в редакторе.

Источник: CVE Project (cvelistV5)