Агентство по кибербезопасности и защите инфраструктуры США (CISA) в пятницу, 13 ноября, выпустило экстренную директиву: федеральные гражданские ведомства обязаны до 17:00 по восточному времени 16 ноября установить патч, закрывающий уязвимость с оценкой 9,8 из 10 в платформе управления IT-инфраструктурой одного из крупных американских поставщиков корпоративного ПО. По данным агентства, под риском находятся около 8400 систем в 63 ведомствах.
Уязвимость получила идентификатор CVE-2026-41872 и позволяет удалённому атакующему без аутентификации выполнить произвольный код на сервере. CISA сообщила, что зафиксировала «ограниченное, но активное» использование уязвимости как минимум с 9 ноября; производитель выпустил исправление вечером 12 ноября. Представитель компании заявил, что патч уже установлен примерно на 60% клиентских серверов.
Директива требует от ведомств отчитаться о выполнении до 18 ноября и в обязательном порядке изолировать непатченные системы от интернета. CISA распространила требования и на облачных провайдеров, обслуживающих госструктуры. По оценке агентства, полное устранение последствий может занять до 30 дней.
Эксперты отмечают, что это третья экстренная директива CISA за 2026 год — больше, чем за весь 2025-й. Комитет Сената по внутренней безопасности анонсировал слушания по инциденту на 20 ноября.