Опять про уязвимости. AI, MCP, Агенты - все что что сегодня любит индустрия
За три дня вышли три репорта об уязвимостях в разных продуктах, которые дают ИИ доступ к вашим данным.
Авторы разные, продукты не связаны.
Проблема одна: просел контроль доступа к точке, через которую ИИ ходит к данным и инструментам.
Ближе всего к обычному бизнесу - плагин AI MCP Connector для WordPress, версии 1.6.1 и ниже (CVE-2026-15015 от 23 июля).
Оценка опасности 9.8 из 10 по шкале CVSS.
Ключевое: Посторонний может получить права администратора сайта, и администратора об этом никто не спросит.
Входить в систему для этого не нужно.
Ещё две:
SiYuan, личная база знаний типа Obsidian, до версии 3.7.2 (CVE-2026-66012, 25 июля).
Оценка 10.0, максимум.
Важное условие: удалённо и без входа в систему это работает, только если у вас включён режим публикации с анонимным доступом.
При обычной локальной установке порог выше.
Suna, открытый ИИ-агент, до 0.9.102 (CVE-2026-66027, 24 июля).
Оценка 8.7.
Чужой запрос попадает в вашу очередь и выполняется с вашими правами.
Здесь атакующему нужен свой аккаунт в вашей системе, так что случай ближе к угрозе изнутри, чем к атаке с улицы.
Про сами оценки.
Их выставили не в NIST: 9.8 поставила Wordfence, 10.0 и 8.7 - VulnCheck.
Если что-то из этого стоит у вас, обновляйтесь.
Если ставите новый ИИ-коннектор, создателю три вопроса:
Кто может обратиться к точке, через которую ИИ получает инструменты? Проверяется ли роль, или достаточно просто быть залогиненным?
Может ли посторонний сам зарегистрировать приложение и получить доступ?
Разделены ли очереди задач между пользователями?
Чтобы не пугать зря: подтверждённых случаев, когда этим воспользовались, пока нет.
Это не новость о массовом взломе.
Сколько установок у каждого продукта, я не считал, поэтому про масштаб ничего не утверждаю.
К чему это все?
Последняя миля безопасности остаётся на вашей стороне.
Вендор может выпустить патч, автор расширения может закрыть баг.
Но кто получит доступ к инструментам, кто сможет зарегистрировать приложение и будут ли пользователи сидеть в одной очереди, решаете вы.
Эта проверка занимает десять минут. Пропустить её обычно дороже.
За три дня вышли три репорта об уязвимостях в разных продуктах, которые дают ИИ доступ к вашим данным.
Авторы разные, продукты не связаны.
Проблема одна: просел контроль доступа к точке, через которую ИИ ходит к данным и инструментам.
Ближе всего к обычному бизнесу - плагин AI MCP Connector для WordPress, версии 1.6.1 и ниже (CVE-2026-15015 от 23 июля).
Оценка опасности 9.8 из 10 по шкале CVSS.
Ключевое: Посторонний может получить права администратора сайта, и администратора об этом никто не спросит.
Входить в систему для этого не нужно.
Ещё две:
SiYuan, личная база знаний типа Obsidian, до версии 3.7.2 (CVE-2026-66012, 25 июля).
Оценка 10.0, максимум.
Важное условие: удалённо и без входа в систему это работает, только если у вас включён режим публикации с анонимным доступом.
При обычной локальной установке порог выше.
Suna, открытый ИИ-агент, до 0.9.102 (CVE-2026-66027, 24 июля).
Оценка 8.7.
Чужой запрос попадает в вашу очередь и выполняется с вашими правами.
Здесь атакующему нужен свой аккаунт в вашей системе, так что случай ближе к угрозе изнутри, чем к атаке с улицы.
Про сами оценки.
Их выставили не в NIST: 9.8 поставила Wordfence, 10.0 и 8.7 - VulnCheck.
Если что-то из этого стоит у вас, обновляйтесь.
Если ставите новый ИИ-коннектор, создателю три вопроса:
Кто может обратиться к точке, через которую ИИ получает инструменты? Проверяется ли роль, или достаточно просто быть залогиненным?
Может ли посторонний сам зарегистрировать приложение и получить доступ?
Разделены ли очереди задач между пользователями?
Чтобы не пугать зря: подтверждённых случаев, когда этим воспользовались, пока нет.
Это не новость о массовом взломе.
Сколько установок у каждого продукта, я не считал, поэтому про масштаб ничего не утверждаю.
К чему это все?
Последняя миля безопасности остаётся на вашей стороне.
Вендор может выпустить патч, автор расширения может закрыть баг.
Но кто получит доступ к инструментам, кто сможет зарегистрировать приложение и будут ли пользователи сидеть в одной очереди, решаете вы.
Эта проверка занимает десять минут. Пропустить её обычно дороже.