CVE-2026-103406 (CVSS 9.8): Уязвимость ненадлежащей нейтрализации специальных элементов, используемых в команде ОС, в AutomatedProvisioner компании Juniper

По данным реестра CVE компании THREATINT, CVE-2026-103406 был опубликован 2026-10-28[2], компания Juniper является назначившей стороной, оценка CVSS составляет "CRITICAL: 9.8". По информации Strix, анализ NVD[3] оставался "в ожидании" на момент опубликования. Согласно VulDB, данная уязвимость затрагивает Juniper Session Smart Conductor до версии 7.0.4/7.1.6/7.2.2[4]. По данным сервиса, эксплуатируемость считается простой[4] и для эксплуатации не требуется никакой формы аутентификации[4]. Brandefense сообщает, что данный CVE входит в состав бюллетеня Juniper JSA112183[5], который охватывает 18 уязвимостей в Session Smart Router и Session Smart Conductor. По данным Brandefense, две уязвимости имеют оценку CVSS 9.8: CVE-2026-103409 (Router) и CVE-2026-103406 (Conductor)[5]. Brandefense также сообщает, что Juniper исправила все уязвимости в версиях 7.0.5, 7.1.7 и 7.2.3[5], и что в бюллетене не указаны известные обходные решения[5]. Brandefense добавляет, что Juniper сообщает, что проблемы были обнаружены в результате собственного тестирования безопасности продукта или исследований компании[5]. Brandefense сообщает, что команда Juniper SIRT не располагает информацией о вредоносной эксплуатации[5]. Издание также сообщает, что ни одна из 18 уязвимостей не включена в каталог CISA[5], на основе проверки, проведённой 28 октября. В каталоге Threat Radar компании OffSeq данная уязвимость указана как не являющаяся известной для эксплуатации[6]. Служба рекомендует операторам в приоритетном порядке установить обновления для Juniper Networks Session Smart Conductor[6].