У пользователей Trend Micro Apex One появилась срочная причина обновиться: компания закрыла уязвимость CVE-2026-34926, и при этом зафиксировала как минимум одну попытку эксплуатации в реальных атаках. Проблема затрагивает только on-prem версию серверной части Apex One.
Формально уязвимость требует уже полученных админских прав на сервере. Но раз её уже используют, откладывать патч на «потом» — плохая идея.
Что именно нашли в Apex One и почему это неприятно
CVE-2026-34926 описывают как directory traversal в Apex One Server. По карточке уязвимости в NVD, сценарий такой: локальный злоумышленник, который уже имеет административные учётные данные на сервере, может модифицировать ключевую таблицу. Дальше он внедряет вредоносный код, который затем разворачивается на агентах в затронутых инсталляциях.
То есть это не «удалённое выполнение кода из интернета в один клик». Но в корпоративной реальности админский доступ часто получают через фишинг, утечки паролей или боковое перемещение внутри сети. И тут уязвимость превращается в удобный рычаг для масштабирования атаки через систему защиты конечных точек.
- Компонент: Apex One (on-premise) Server
- Тип: directory traversal
- Условие эксплуатации: нужен доступ к серверу и админские креды
- Риск: внедрение кода с доставкой на агенты
- Оценка CVSS: 6.7 из 10 (medium)
Карточка уязвимости доступна в базе NVD.
Почему патч просят ставить срочно, несмотря на «medium»
Trend Micro прямо говорит, что видела «как минимум одну» попытку эксплуатации. Это ключевой момент: рейтинг 6.7/10 выглядит умеренно, но факт атак «в дикой природе» меняет приоритет. В таких историях важнее не цифра, а цепочка: получили админку — закрепились — развернули полезную нагрузку на парк устройств через управляемый продукт.
Дополнительный сигнал — CISA добавила CVE-2026-34926 в каталог Known Exploited Vulnerabilities (KEV). Для американских федеральных агентств это означает дедлайн: до 4 июня 2026 нужно установить обновление или прекратить использование продукта, согласно директивам BOD 22-01.
Если у вас Apex One развёрнут локально, дата 4 июня 2026 — хороший ориентир и для частного сектора. Не потому что «так сказали», а потому что KEV обычно пополняют уязвимостями, которые реально используют атакующие.
По данным Trend Micro, патч уже выпущен для Apex One (on-prem). Вопрос теперь не в наличии обновления, а в скорости его выката в компаниях.
По материалам BleepingComputer.
