Критическая XXE-уязвимость CVE-2026-89212 в Akana API Platform

В Akana API Platform — корпоративной платформе для управления API от компании Perforce — выявлена уязвимость критического уровня, получившая идентификатор CVE-2026-89212. Она относится к классу XML External Entity (XXE) и связана с недостаточной ограничительной политикой при обработке внешних ссылок в ходе преобразования XML в JSON. Поскольку платформа активно используется для интеграции сервисов и маршрутизации API-трафика, эксплуатация уязвимости может привести к серьёзным последствиям для инфраструктуры заказчика.

Подробности

Уязвимость затрагивает Akana API Platform в версиях 2026.1, 2025.1.1, а также во всех релизах до 2024.1.6 включительно. Отдельно отмечено, что под риск попадают и более старые, уже неподдерживаемые версии продукта. Согласно описанию CVE, корневая причина проблемы — некорректное ограничение ссылок на внешние сущности при XML-to-JSON обработке: платформа не блокирует обращения к внешним DTD и сущностям, что и открывает возможность для XXE-атаки. Рейтинг уязвимости по шкале CVSS составляет 9.2, что соответствует критическому уровню. Типичные сценарии эксплуатации XXE включают чтение локальных файлов на сервере, организацию SSRF-запросов во внутреннюю сеть, обход аутентификации и, в ряде конфигураций, отказ в обслуживании. Для платформы, обрабатывающей API-запросы множества внутренних и внешних потребителей, такие векторы создают прямую угрозу утечки конфиденциальных данных и компрометации смежных систем. Опубликованное описание не раскрывает публично деталей эксплойта, однако сам факт наличия исправления в последнем релизе поддерживаемых версий подтверждает реальность угрозы. Учитывая критичность и широкое распространение Akana в корпоративном сегменте, администраторам следует отнестись к проблеме приоритетно.

Что делать

Основная рекомендация — как можно скорее обновиться до актуальной версии Akana API Platform, в которой выпущен security patch. В первую очередь исправление доступно в последнем релизе поддерживаемых веток; для версий 2024.1.x целевым уровнем является 2024.1.6 и выше. Если немедленное обновление невозможно, следует применить компенсирующие меры: ограничить обработку XML-документов из недоверенных источников, отключить разрешение внешних сущностей и DTD на уровне парсера там, где это поддерживается конфигурацией, а также изолировать компоненты платформы, выполняющие преобразование XML в JSON, с помощью сетевых политик и сегментации. Дополнительно стоит проверить журналы на предмет подозрительных XML-запросов с внешними ссылками и аномальных исходящих соединений. Отдельно важно учесть, что старые неподдерживаемые версии Akana также подвержены уязвимости и не получат официального патча — такие инсталляции необходимо либо обновить до поддерживаемой ветки, либо вывести из эксплуатации. Итог: CVE-2026-89212 — критическая XXE-уязвимость в Akana API Platform с оценкой CVSS 9.2, требующая незамедлительных действий. Приоритет — установка security-патча в поддерживаемых версиях, а при отсутствии такой возможности — применение митигаций и усиленный мониторинг. Организациям, использующим устаревшие релизы, следует планировать миграцию на актуальные версии продукта.

Источник: CVE Project (cvelistV5)