Три свежих RCE: Oracle, Langflow и Chrome
Сегодня хочу коротко пройтись сразу по трём свежим кейсам с RCE. Разберём: • Oracle Identity Manager / Oracle Web Services Manager - CVE-2026-21992 • Langflow - CVE-2026-33017 • Google Chrome - CVE-2026-5281
Истории разные, но объединяет их одна уязвимость. RCE (Remote Code Execution) — уязвимость «удаленного выполнения кода», позволяющая дистанционно запустить произвольные команды или вредоносное ПО
Ранее я уже более подробно разбирал мартовскую RCE-уязвимость в Cisco FMC. Ознакомиться с тем постом можно по ссылке ниже: ➥ https://setka.ru/posts/019d4ca3-6b4e-7570-a305-8d1c44de41ad
━━━━━━━━━━ Oracle: критическая RCE в Identity Manager ━━━━━━━━━━
Oracle Identity Manager — это система управления жизненным циклом учётных записей, доступами, provisioning и compliance.
Oracle Web Services Manager — это фреймворк для управления и защиты web services через политики безопасности.
CVE-2026-21992 — это критическая unauthenticated RCE с CVSS 9.8
Oracle указала, что уязвимость затрагивает Oracle Identity Manager и Oracle Web Services Manager версий: • 12.2.1.4.0 • 14.1.2.1.0
Кому смотреть у себя: ➣ если в инфраструктуре есть Oracle Fusion Middleware с OIM / OWSM ➣ если эти компоненты доступны по сети шире, чем должны ➣ если давно не сверяли именно middleware-часть, а не только периметр
━━━━━━━━━━ Langflow: RCE в AI-платформе ━━━━━━━━━━
Langflow — это open source Python-платформа для сборки AI-приложений, агентов и workflow через визуальный интерфейс.
CVE-2026-33017 затрагивает Langflow до 1.9.0
Проблема была в endpoint POST /api/v1/build_public_tmp/{flow_id}/flow: он был доступен без аутентификации для public flows, но при этом принимал attacker-controlled data, которое доходило до exec() без sandboxing.
━━━━━━━━━━ **_Chrome: zero-day в браузере_** ━━━━━━━━━━
Выявлена CVE-2026-5281 — это use-after-free в Dawn, а Dawn — это реализация WebGPU в Chromium.
Ошибка работы с памятью позволяет злоумышленнику выполнить произвольный код (RCE) на вашем устройстве, если он сможет заманить вас на специально созданную веб-страницу и скомпрометировать процесс рендеринга.
Уязвимы миллиарды пользователей Chrome, а также других браузеров на движке Chromium (Edge, Brave, Opera, Vivaldi).
Исправления вышли в стабильной ветке Chrome • 146.0.7680.177/178 для Windows/macOS • 146.0.7680.177 для Linux
Уязвимыми NVD указывает версии до 146.0.7680.178
