ГрамотаИБ
Начать бесплатно

BDU:2026-14512

высокий уровень опасности CVSS 8.0 · AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H

Уязвимость механизма автодополнения Python omni-completion модулей runtime/autoload/pythoncomplete.vim и runtime/autoload/python3complete.vim текстового редактора Vim, позволяющая нарушителю выполнить произвольный код

Срок устранения — не более 7 календарных дней с момента выявления (пункт 38 Требований, приказ ФСТЭК России от 11.04.2025 № 117). Вместо устранения допускается исключить возможность использования уязвимости компенсирующей мерой. Если уязвимости нет в банке данных угроз ФСТЭК России, сведения о ней направляются во ФСТЭК России в течение 5 рабочих дней со дня выявления.

Соответствие зарубежным идентификаторам

CVE-2026-52858

Отчёты сканеров говорят на языке CVE, требования регуляторов — на языке БДУ. Перевести список из отчёта →

Как эксплуатируется

Эксплуатируется по сети, но требуется учётная запись и действие пользователя. Снаружи достижима — приоритет высокий.

Способ доступа
по сети
Сложность эксплуатации
низкая
Нужны права
права обычного пользователя
Участие человека
требуется действие пользователя
Область воздействия
в пределах уязвимого компонента
Конфиденциальность
высокое
Целостность
высокое
Доступность
высокое

Расшифровка вектора CVSS 3.x из записи банка данных.

Описание

Уязвимость механизма автодополнения Python omni-completion модулей runtime/autoload/pythoncomplete.vim и runtime/autoload/python3complete.vim текстового редактора Vim связана с включением функциональности из ненадежной управляющей сферы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код

Способ устранения

В условиях отсутствия обновлений безопасности от производителя рекомендуется придерживаться "Рекомендаций по безопасной настройке операционных систем LINUX", изложенных в методическом документе ФСТЭК России, утверждённом 25 декабря 2022 года. Использование рекомендаций: Для Vim: https://github.com/vim/vim/commit/4b850457e12e1a678dd209f2868154f7553cbf8d https://github.com/vim/vim/releases/tag/v9.2.0561 https://github.com/vim/vim/security/advisories/GHSA-52mc-rq6p-rc7c Для Ред ОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/ http://repo.red-soft.ru/redos/8.0/x86_64/updates/ Для Debian GNU/Linux: https://security-tracker.debian.org/tracker/CVE-2026-52858 https://deb.freexian.com/extended-lts/tracker/CVE-2026-52858 Для программных продуктов Red Hat Inc.: https://access.redhat.com/security/cve/CVE-2026-52858 Для Ubuntu: https://ubuntu.com/security/CVE-2026-52858

Сведения записи

Дата публикации: 11.09.2026
Класс уязвимости: Уязвимость кода
Статус: Подтверждена производителем
Устранение: Уязвимость устранена
Эксплойт: Данные уточняются
Уровень опасности по записи: Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 8,5) Высокий уровень опасности (базовая оценка CVSS 3.1 составляет 8) Высокий уровень опасности (оценка CVSS 4.0 составляет 7,3)

Уязвимое программное обеспечение

ПроизводительНазваниеВерсияПлатформа
Canonical Ltd.Ubuntu14.04 LTSНе указана
Canonical Ltd.Ubuntu16.04 LTSНе указана
Canonical Ltd.Ubuntu18.04 LTSНе указана
Canonical Ltd.Ubuntu20.04 LTSНе указана
Canonical Ltd.Ubuntu22.04 LTSНе указана
Canonical Ltd.Ubuntu24.04 LTSНе указана
Canonical Ltd.Ubuntu25.10Не указана
Canonical Ltd.Ubuntu26.04 LTSНе указана
Red Hat, Inc.Red Hat Enterprise Linux10Не указана
Red Hat, Inc.Red Hat Enterprise Linux10.0 Extended Update SupportНе указана
Red Hat, Inc.Red Hat Enterprise Linux6Не указана
Red Hat, Inc.Red Hat Enterprise Linux7Не указана
Red Hat, Inc.Red Hat Enterprise Linux8Не указана
Red Hat, Inc.Red Hat Enterprise Linux9Не указана
Red Hat, Inc.Red Hat Insights proxy1.5Не указана
Red Hat, Inc.Red Hat OpenShift Container Platform4.22Не указана
Red Hat, Inc.Red Hat Update Infrastructure5Не указана
ООО «Ред Софт»РЕД ОС7.3Не указана
ООО «Ред Софт»РЕД ОС8.0Не указана
Сообщество свободного программного обеспеченияDebian GNU/Linux10Не указана
Сообщество свободного программного обеспеченияDebian GNU/Linux11Не указана
Сообщество свободного программного обеспеченияDebian GNU/Linux12Не указана
Сообщество свободного программного обеспеченияDebian GNU/Linux13Не указана
Сообщество свободного программного обеспеченияDebian GNU/Linux9Не указана
Сообщество свободного программного обеспеченияvimдо 9.2.0561Не указана

Что требуют по этой уязвимости

Уязвимости закрываются мерами анализа защищённости и управления уязвимостями. Название и код у каждого акта свои:

Для государственных систем методический документ требует внутренний регламент по управлению уязвимостями. В нём должны быть:

  • ответственные за организацию и контроль управления уязвимостями и участники процессов — с обязанностями и правами
  • операции мониторинга уязвимостей и оценки их применимости: исполнители, продолжительность, входные и выходные данные
  • операции оценки уязвимостей — так же по исполнителям, срокам и данным
  • операции определения методов и приоритетов устранения
  • операции устранения уязвимостей и контроля устранения
  • схемы взаимодействия подразделений при выполнении этих операций

Чем это оформляется:

В модели угроз уязвимость учитывается не сама по себе, а как способ реализации угрозы (методика оценки угроз безопасности информации ФСТЭК России от 05.02.2021). Угрозы по объекту воздействия:

Системное ПО и ОС (реестр, файловая система)Прикладное ПОСетевое ПО, узлы и трафик

Чтобы такие записи находились не вручную, ведите реестр программного обеспечения: в личном кабинете уязвимости сопоставляются с вашим ПО, а работы по устранению попадают в план. Завести кабинет →

Источник: Банк данных угроз безопасности информации ФСТЭК России. Данные выгружены 17.09.2026, записей в справочнике — 95745. Справочник не является официальным ресурсом ФСТЭК России: сверяйте сведения с первоисточником.