Критическая SQL-инъекция в Access Control System от Armiya Information Technologies (CVE-2026-7188)

В системе контроля доступа Access Control System, разработанной компанией Armiya Information Technologies Ltd. Co., выявлена уязвимость критического уровня, связанная с непринятием мер по нейтрализации специальных элементов, используемых в SQL-командах. Подобный класс проблем известен как SQL-инъекция (SQL Injection), и он остаётся одним из наиболее опасных типов атак на веб-приложения и корпоративные системы.

Подробности

Уязвимости присвоен идентификатор CVE-2026-7188. Согласно описанию, проблема вызвана некорректной обработкой пользовательского ввода, который попадает в SQL-запросы без должной нейтрализации специальных символов. Это позволяет атакующему внедрять собственные фрагменты SQL-кода и влиять на логику обращения к базе данных. Базовый показатель CVSS составляет 9.8, что соответствует критическому уровню опасности. Такой рейтинг означает, что эксплуатация возможна удалённо, не требует аутентификации и специальных условий, а последствия могут включать несанкционированный доступ к данным, их изменение или удаление, а также компрометацию всей логики системы контроля доступа. Уязвимость затрагивает Access Control System во всех версиях до Versiyon 2. Точный перечень затронутых сборок в записи CVE не приводится, поэтому организациям следует ориентироваться на указанную границу версий и самостоятельно уточнять у вендора, относится ли их конфигурация к уязвимому диапазону. Поскольку речь идёт о системе контроля доступа, потенциальный ущерб выходит за рамки чисто информационной безопасности: под угрозой могут оказаться физическая безопасность объектов и разграничение прав сотрудников.

Что делать

Основная рекомендация — как можно скорее обновиться до версии Versiyon 2 или более поздней, где, по данным производителя, проблема устранена. Перед обновлением стоит проверить актуальность резервных копий конфигурации и базы данных, чтобы иметь возможность отката в случае сбоя. Если немедленное обновление невозможно, следует применить компенсирующие меры: ограничить сетевой доступ к интерфейсам системы контроля доступа, закрыть административные панели от внешних сетей, включить журналирование запросов и настроить оповещения о подозрительной активности. Дополнительно рекомендуется провести проверку веб-приложения на наличие признаков уже состоявшейся эксплуатации — аномальные SQL-запросы, необычные учётные записи, изменения в правах доступа и следах аудита. Организациям, использующим Access Control System, также имеет смысл запросить у вендора официальные разъяснения по устранению CVE-2026-7188 и уточнить, требуются ли дополнительные шаги помимо обновления. Итог: CVE-2026-7188 — критическая SQL-инъекция в Access Control System от Armiya Information Technologies, затрагивающая версии до Versiyon 2. Учитывая CVSS 9.8 и роль продукта в контуре безопасности, обновление и проверка на компрометацию должны быть выполнены в приоритетном порядке.

Источник: CVE Project (cvelistV5)