Мы видим происходящие прямо сейчас попытки эксплуатировать уязвимости Ghostscript CVE-2026-101258, FFmpeg MagicYUV CVE-2026-8461 и FFmpeg CVE-2026-65703 через KVS. Если эти уязвимости не исправлены в ваших серверных компонентах, ваши сайты под угрозой. Все уязвимости уже исправлены разработчиками, но ваши сервера могут не содержать нужных патчей.
Мы приготовили патч для KVS, который не позволит эксплуатировать эти уязвимости, путем разрешения использования только ограниченных форматов в ffmpeg / imagemagick.
Патч поддерживает PHP 7 - PHP 8 и версии KVS 6.3.0+. Распакуйте содержимое архива поверх проекта с заменой нескольких файлов. К сожалению, возможности предоставить патч для версия старше 6.3.0 нет. Вам нужно применить патч как можно скорее, попытки атак идут полным ходом.
https://kernel-scripts.com/updates/media-security-6.3.0-7.0.3_patch.zip
Базовые версии KVS, скорее всего, не затронуты, т.к. не содержат функциональности для публичной загрузки файлов. Если вы используете удаленные сервера конвертации, они могут быть заражены, если атака пройдет успешно.