CVE-2026-87666· CVE.org (no NVD analysis yet)· CNA brocade

An OS command injection vulnerability exists in the time and zone management subsystem of Brocade Fabric OS versions before 9.2.2d and 10.0.

Оценка Noroxi

Приоритет: Наблюдать (оценка срочности 35/100)

В отслеживаемых источниках (CISA KEV, Exploit-DB, Metasploit, Nuclei, GitHub) нет публичного эксплойта или записей об эксплуатации.
Вероятность эксплуатации в ближайшие 30 дней: 2,5% (FIRST EPSS); выше, чем у 85% записей.
Может быть вызвана кем-либо из того же сегмента сети. Достаточно учётной записи с низкими привилегиями. Действия пользователя не требуются. Особые условия не требуются; воспроизводится стабильно.
Исправленная версия: Brocade Fabric OS 9.2.2d.

Пока низкий приоритет. Обновитесь до Brocade Fabric OS 9.2.2d или новее.

Формируется автоматически по данным записи: CVSS (NVD и CNA), CISA KEV и SSVC, FIRST EPSS, источники эксплойтов, исправленные версии. Как мы считаем

Первоисточники: NVD · CVE.org · FIRST EPSS

An OS command injection vulnerability exists in the time and zone management subsystem of Brocade Fabric OS versions before 9.2.2d and 10.0.0 through 10.0.0a1. When updating system timezone settings via the REST API or configuration download routines, the system fails to sanitize input values before processing them in underlying shell execution routines. An authenticated user with low-privilege administrative access can exploit this vulnerability by submitting a crafted timezone string containing shell metacharacters. Successful exploitation allows the attacker to escape the restricted management environment and execute arbitrary shell commands with elevated privileges.

ВысокаяCVSS 8.6 · v4.0—Эксплойта нет Есть исправление

EUVD-2026-94694

Опубликовано: 8 окт. 2026 г.
Обновлено: 14 окт. 2026 г.
EPSS: 2,5 % · 85-й процентиль
CWE: CWE-78

Инструменты для отчёта

JSON

Оценка срочности

Наблюдать

Пока низкий приоритет.

CVSS: 34 / 40 · 8.6 / 10
CISA KEV: 0 / 30 · Нет в списке
EPSS: 1 / 30 · 2,5 %

Решение CISA SSVC

Эксплуатация: нет
Автоматизируемо: нет
Техническое влияние: полное

Vulnrichment: входные данные дерева решений CISA.

Оценка CNA и NVD

NVD: —
CNA · brocade: 8,6; NVD ещё не выставил свою оценку; показана оценка CNA.

CVSS:4.0/AV:A/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Оценка присваивающего органа и независимая оценка NVD. Разрыв означает, что критичность спорна.

Узнайте, когда запись изменится

Нет в KEV: эксплуатация в реальных атаках не зафиксирована
Публичного эксплойта нет
Исправление выпущено

Если что-то из этого изменится, сообщим в ежедневной сводке.

У вас WordPress? Проверьте сайт бесплатно в WP Lens

Затронута ли ваша версия? Проверьте

Анализ Noroxi

Что это значит для вашей инфраструктуры?

Оценка выше формируется автоматически по данным записи и не знает вашей среды. Наша команда проверит на ваших системах, действительно ли уязвимость эксплуатируема и какой меры достаточно.

Мы используем этот продукт, нужна помощь

Затронутые системы

Затронута ли ваша версия?

Выберите продукт и введите свою версию. Она сравнивается с диапазонами этой записи прямо в браузере и никуда не отправляется.

Вендор	Продукт	CPE
broadcom	fabric operating system	cpe:2.3:o:broadcom:fabric_operating_system

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

broadcom fabric operating systemдо 9.2.2d
broadcom fabric operating system10.0.0 и новее · до 10.0.1

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (brocade). Не зависят от анализа CPE в NVD и обычно опережают его.

Brocade Fabric OS
- до 9.2.2dзатронута · Brocade FabricOS
- 10.0.0 и новее · до 10.0.0a1 включительнозатронута · Brocade FabricOS

Тот же продукт

broadcom: все записи

Другие записи с наивысшей оценкой для того же основного продукта.

CVE-2025-1976Code injection exposure in Fabric OS 9.1.0 through 9.1.1d6KEV
64На этой неделе
CVE-2020-15373Multiple buffer overflow vulnerabilities in REST API in Brocade Fabric OS versions v8.2.1 through v8.2.1d, and 8.2.2 versions before v8.2.2c
40В плане
CVE-2023-3454Remote code execution (RCE) vulnerability in Brocade Fabric OS after v9.0 and before v9.2.0 could allow an attacker to execute arbitrary cod
39Наблюдать

Опубликованы до и после этой записи в том же продукте

← РаньшеCVE-2026-945838 окт. 2026 г. · A race condition vulnerability exists in the request processing logic of the REST management interface on Brocade Fabric OS versions before
8Наблюдать
← РаньшеCVE-2026-876608 окт. 2026 г. · An improper file permission and missing authorization vulnerability exists in the diagnostic kernel module subsystem of Brocade Fabric OS ve
28Наблюдать
Позже →CVE-2026-876678 окт. 2026 г. · An argument injection vulnerability exists in the configuration management command-line utility of Brocade Fabric OS versions before 9.2.2d
33Наблюдать

Исправление

На какую версию обновиться

Версии с исправлением по данным вендора, реестров пакетов и Microsoft. Перед обновлением сверьтесь с бюллетенем вендора.

Продукт / пакет	Исправленная версия	Источник
Brocade Fabric OS	9.2.2d	Вендор (CNA)

Статус эксплойта

Публичный эксплойт неизвестен

Публичный эксплойт пока не обнаружен. Это не значит, что вы в безопасности, лишь что порог чуть выше.

Контекст для исследователя

Для пентестеров и исследователей: профиль атаки, расхождение оценок, хронология, коммиты исправлений, авторы, кандидаты в варианты и цепочки, охват bug bounty. Всё выводится из имеющихся данных; без кода эксплойтов.

Хронология

От публикации до сегодня: proof of concept, модуль Metasploit, CISA KEV и запись об исправлении. Даты — как сообщают источники.

Публикация8 окт. 2026 г.
Исправление8 окт. 2026 г.в тот же день
Сегодня25 окт. 2026 г.+17 дн.

EPSS за 120 дней+1 % за 7 дней

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Ссылки на патчи и коммиты

Коммиты, PR и diff среди источников. Отправная точка для patch-diff и поиска вариантов; это исправления, не эксплойты.

Среди источников нет ссылок на коммит или PR.

Авторы

Все исследователи

Нашедшие, сообщившие и аналитики, названные в записи CNA. Нажмите имя, чтобы увидеть другие записи исследователя.

В записи CNA нет авторов.

Кандидаты в варианты

Тот же продукт, тот же класс уязвимости, в пределах 18 месяцев. Если патч не закрыл первопричину, родственная ошибка здесь.

CVE-2026-87680с разницей 0 дн.A command injection vulnerability in the REST API management interface of Brocade Fabric OS versions before 10.0.1 allows an authenticated u
35Наблюдать
CVE-2026-87674с разницей 0 дн.A local privilege escalation vulnerability exists in the system logging daemon of Brocade Fabric OS versions before 9.2.2d and 10.0.0 throug
34Наблюдать
CVE-2026-87682с разницей 0 дн.Multiple OS Command Injection vulnerabilities exist in the management interface and session processing routines of Brocade Fabric OS version
34Наблюдать
CVE-2026-94581с разницей 0 дн.An OS command injection vulnerability exists in the REST API management interface of Brocade Fabric OS versions before 9.2.2d and 10.0.0 thr
34Наблюдать
CVE-2026-94586с разницей 0 дн.A command injection vulnerability exists in the WebTools administrative interface handling configuration download or file transfer operation
34Наблюдать
CVE-2026-0383с разницей 247 дн.Information disclosure in Brocade Fabric OS before 9.2.1c2, 9.2.2 through 9.2.2a and 10.0.0
32Наблюдать

Кандидаты в цепочки

Обход аутентификации и уязвимость, требующая привилегий, в одном продукте и близко по времени: вместе они могут дать путь без аутентификации.

CVE-2026-94585с разницей 0 дн.An authentication bypass vulnerability exists in the web management interface of Brocade Fabric OS versions before 9.2.2d running on the MXG
30Наблюдать

Охват bug bounty

Известной публичной программы нет.

Источник: bounty-targets-data (публичные списки HackerOne, Bugcrowd, Intigriti, YesWeHack).

Технические детали

Условия атаки

Может быть вызвана кем-либо из того же сегмента сети.
Достаточно учётной записи с низкими привилегиями.
Действия пользователя не требуются.
Особые условия не требуются; воспроизводится стабильно.

В случае успеха

Конфиденциальность
Целостность
Доступность

Вектор атаки: Смежная сеть
Сложность атаки: Низкая
Требуемые привилегии: Низкие
Взаимодействие с пользователем: Не требуется
Область действия: X

Класс уязвимости (CWE)

CWE-78 · Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection')

Вектор CVSS

CVSS:4.0/AV:A/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

nvd-secondary

Первопричина

Пользовательский ввод вставляется в команду оболочки как текст. Оболочка может интерпретировать специальные символы во вводе как часть команды.

Ошибка в коде

Весь класс CWE-78

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

Уязвимый код

1const host = req.body.host;
2exec("ping -c 1 " + host, onResult);

Исправленный код

1const host = req.body.host;
2if (!/^[a-z0-9.-]{1,253}$/i.test(host)) return res.sendStatus(400);
3execFile("ping", ["-c", "1", host], onResult);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

Шаблоны атак (CAPEC)

Техники ATT&CK

—

Журнал изменений

Эксплуатация SSVC— → none8 окт. 2026 г., 15:07 UTC
Зрелость эксплойта— → none8 окт. 2026 г., 05:07 UTC
Исправление✗ → ✓8 окт. 2026 г., 05:07 UTC

Для отслеживаемых записей эти изменения приходят и как уведомления. →

Источники

support.broadcom.com/external/content/SecurityAdvisories/0/39149

Рекомендации вендоров и официальные записи. Ссылки на эксплойты/PoC намеренно исключены.

Все записи

Анализ Noroxi

Что это значит для вашей инфраструктуры?

Мы используем этот продукт, нужна помощь

Источники данных и проверка

CNA: brocade

CVE.org (CNA)9 окт. 2026 г., 03:55 UTC
CISA ADP9 окт. 2026 г., 03:55 UTC
NVD14 окт. 2026 г., 19:14 UTC
FIRST EPSS24 окт. 2026 г., 00:00 UTC

Каждая строка — когда источник в последний раз обрабатывался для этой записи.