Консультативное заключение CISA: Уязвимость внедрения команд ОС в ZoneMinder (CVE-2026-76060)

CISA выпустила консультативное заключение по кибербезопасности 25 августа 2026 года, подробно описывающее уязвимость высокой степени серьезности (CVE-2026-76060) в ZoneMinder, программном обеспечении с открытым исходным кодом для видеонаблюдения. Уязвимость представляет собой аутентифицированное внедрение команд ОС в функциональности экспорта событий, где HTTP-параметр 'exportFile' передается без санитизации в команду оболочки, выполняемую через exec() в PHP. Аутентифицированный пользователь с разрешением 'View Events' может выполнять произвольные команды операционной системы на сервере, что потенциально может привести к полному удаленному выполнению кода от имени пользователя веб-сервера. Затронутыми версиями являются ZoneMinder 1.37.48 и 1.38.3. Базовая оценка CVSS составляет 8.8 (высокая) по CVSS v3.1 и 8.7 по v4.0. CISA обнаружила публичный proof-of-concept, созданный 'Scriptkittens', и сообщила о нем в ZoneMinder. Поставщик рекомендует обновить систему до версии 1.38.3 или более поздней. На данный момент CISA не сообщалось о публичной эксплуатации. CISA советует пользователям минимизировать сетевое воздействие, использовать межсетевые экраны и применять исправления поставщика.