CVE-2026-88260: обход аутентификации в Brainzcompany Zenius EMS 8.0 ведёт к удалённому включению кода
В Brainzcompany Zenius EMS 8.0 (до сборки OAM Build 109) обнаружена уязвимость обхода аутентификации через альтернативный путь или канал в сочетании с недостаточной проверкой синтаксической корректности входных данных. Эксплуатация позволяет удалённо включить код. Уровень опасности — высокий (CVSS 8.7).
Подробности
Уязвимости подвержена Brainzcompany Zenius EMS версии 8.0 — включая сборки вплоть до OAM (Build 109). Согласно записи CVE, проблема затрагивает именно эту ветку продукта; более поздние сборки OAM, начиная с Build 109, по-видимому, содержат исправление. Присвоенный идентификатор CVE-2026-88260, базовый балл CVSS — 8.7, что соответствует высокому уровню критичности. Для эксплуатации не требуется физического доступа к устройству: атакующий может действовать удалённо, что существенно расширяет поверхность атаки. Ключевой механизм — обход аутентификации через альтернативный путь или канал, то есть обращение к функциональности в обход штатных проверок подлинности пользователя. Дополнительным фактором становится недостаточная валидация синтаксической корректности входных данных, что и открывает возможность включения стороннего кода в контекст выполнения приложения. Точный вектор эксплуатации, равно как и наличие публичных эксплойтов, в записи CVE не раскрываются. Компаниям, использующим Zenius EMS 8.0, следует исходить из того, что уязвимость может быть использована для компрометации системы управления событиями, поэтому реагировать нужно оперативно.Что делать
Основная рекомендация — обновить Brainzcompany Zenius EMS до сборки OAM Build 109 или более поздней, где, согласно описанию CVE, проблема устранена. Перед обновлением стоит свериться с официальными материалами вендора и убедиться, что выбранная сборка закрывает именно CVE-2026-88260. Если немедленное обновление невозможно, применяются компенсирующие меры: - ограничить сетевой доступ к интерфейсам Zenius EMS, включая OAM, средствами межсетевого экранирования и сегментации сети; - не допускать публикации административных и служебных интерфейсов в интернет; - включить журналирование и мониторинг обращений к административным путям, чтобы фиксировать попытки обхода аутентификации; - проверить целостность конфигураций и наличие подозрительных артефактов, которые могли появиться в результате удалённого включения кода; - при наличии — использовать сигнатуры и правила обнаружения вторжений для выявления аномальной активности, связанной с EMS. Дополнительно рекомендуется ограничить привилегии сервисных учётных записей и провести ревизию доступов к системе, чтобы снизить потенциальный ущерб в случае эксплуатации. Итог: CVE-2026-88260 — серьёзная уязвимость с высоким баллом CVSS 8.7, позволяющая удалённо обойти аутентификацию и включить код в Brainzcompany Zenius EMS 8.0. Приоритетное действие — обновление до OAM Build 109 или новее; до этого систему стоит изолировать и держать под усиленным мониторингом.Источник: CVE Project (cvelistV5)