VPN без авторизации, утечка 246 тысяч записей и сбои: что произошло 22 сентября

Выпуск о том, как уязвимости VPN превращаются в удалённое выполнение кода и утечки данных, а сбои доступа начинают влиять на работу разработчиков и организаций.

• Критическая RCE в SSTP открывала Windows без учётных данных
• Взлом VPN-устройства в Японии раскрыл 246 тысяч записей
• Российские разработчики попросили координацию из-за сбоев VPN

Критическая уязвимость SSTP открывала Windows через интернет

Microsoft исправила CVE-2026-73009, уязвимость критического уровня с оценкой CVSS 9.8 в службе Windows Secure Socket Tunneling Protocol. Она позволяла неаутентифицированному атакующему отправить специально сформированный пакет на SSTP-слушатель и выполнить произвольный код в целевой системе.

Проблема особенно опасна для организаций, которые используют SSTP для удалённого доступа через RRAS. Этот штатный VPN-протокол Windows Server часто публикуют в интернете на TCP/443. Поэтому злоумышленнику не требовались ни доступ во внутреннюю сеть, ни украденные логины и пароли.

Уязвимость затрагивала сам механизм приёма VPN-соединений. Если служба была доступна извне, атакующий мог попытаться перейти от отправки сетевого пакета к выполнению команд на сервере. В сентябрьском наборе обновлений Microsoft CVE-2026-73009 стала одной из как минимум 17 уязвимостей с неаутентифицированным удалённым выполнением кода.

Администраторам Windows Server стоит проверить, используется ли SSTP в RRAS, доступен ли слушатель из интернета и установлены ли сентябрьские исправления Microsoft. Одного требования к пользователям входить по паролю здесь недостаточно: эксплуатация начиналась до этапа аутентификации.

В Японии через VPN взломали систему и раскрыли данные 246 тысяч записей

Цифровое агентство Японии подтвердило утечку после взлома VPN-устройства системы Government Solution Service. По данным расследования, атакующий получил первичный доступ через уязвимость в этом оборудовании, а затем добрался до файлов с учётной записи сотрудника поддержки.

Расследование началось 25 июня, когда обнаружили массовый доступ к файлам. 9 июля агентство установило факт проникновения и отключило оборудование от внешней сети.

Потенциально раскрыты:

• 236 000 имён;
• 231 000 адресов электронной почты;
• 94 000 телефонных номеров;
• 1 000 почтовых адресов госслужащих и подрядчиков.

Номера My Number и банковские данные в инцидент не попали. Агентство не раскрыло производителя VPN-устройства и номер CVE. Известно лишь, что уязвимость имела среднюю степень опасности и не была уязвимостью нулевого дня.

Этот случай показывает неприятную практику: даже средняя по оценке уязвимость VPN становится точкой входа в крупную систему, если устройство доступно извне, а после проникновения злоумышленник получает рабочую учётную запись с доступом к файлам.

Российские разработчики попросили отдельный механизм для работы через VPN

Ассоциация «Отечественный софт» предложила создать координационный орган на фоне сбоев VPN 7-8 сентября 2026 года. Участники рынка связывают проблему с зависимостью российских разработчиков от зарубежного открытого кода и сервисов, доступ к которым из России часто ограничивают.

Наталья Касперская заявила, что разработчикам приходится использовать VPN для работы с open source: зарубежные платформы могут закрывать доступ для российских IP-адресов. При этом DPI-фильтрация уже приводила к временной недоступности ресурсов проектов Debian и Rust.

В ассоциации считают, что нужен механизм координации, который помогал бы сохранять доступ к необходимым ресурсам во время блокировок VPN-сервисов и снижать риск массовых сбоев в рабочих процессах.

Роскомнадзор сообщил, что для бизнеса действует механизм исключений. По его данным, более 1,7 тыс. организаций получили доступ через согласованные каналы. Для разработчиков это означает, что вопрос постепенно смещается от выбора VPN к официальному оформлению доступа к конкретным ресурсам.

P.S. Больше свободы в сети - заходите в бот

По разработке ботов - пишите в личные сообщения