19 октября 2026 года Mattermost выпустил версии 11.11.2, 11.10.3 и 11.7.13 с исправлениями безопасности средней степени опасности. В обновления вошли доработки обработки файлов и активных соединений, а для ветки длительной поддержки — устранение неполадок поиска и работы с базой данных. Подробности самих уязвимостей разработчики раскроют позднее.
Отзыв сессии в Mattermost теперь затрагивает уже открытые соединения
Корпоративный чат продолжает получать новые сообщения без постоянного обновления страницы благодаря WebSocket — соединению, через которое сервер отправляет события в реальном времени. Поэтому для безопасности имеет значение, как быстро уже открытое соединение узнаёт, что пользовательская сессия перестала действовать.
В версиях 11.11.2 и 11.10.3 исправлена ошибка, из-за которой аннулирование закешированной сессии в некоторых случаях не передавалось уже установленному WebSocket-соединению. В результате состояние соединения могло расходиться с актуальным состоянием сессии на сервере. Разработчики устранили эту несогласованность; конкретные способы её возможного использования в атаках пока не опубликованы.
В 11.11.2 уточнили ещё одно правило доставки событий. Теперь событие received_group через WebSocket получают только пользователи, которым разрешено читать соответствующую группу. Так сервер учитывает права доступа непосредственно при отправке уведомления.
Обработка ZIP-архивов и изображений получила дополнительные ограничения
В ветках 11.11 и 11.10 устранили проблему, при которой извлечение содержимого ZIP-архива могло расходовать чрезмерный объём оперативной памяти. Для сервера командного мессенджера такой сценарий чувствителен: обработка одного файла может затронуть ресурсы, необходимые для работы остальных пользователей. При этом в документации нет подтверждения, что ошибка уже применялась в реальных атаках.
Для пользовательских эмодзи изменили обработку изображений. Анимированные GIF теперь проходят через общий декодер, который учитывает заданный предел разрешения и ограничивает число одновременно выполняемых операций декодирования. В обеих версиях доработали определение ориентации изображений по метаданным EXIF и извлечение текста из PDF, в которых данные распределены между несколькими потоками.
Версия 11.10.3 дополнительно ограничивает объём входных данных для извлечения обычного текста. Эти изменения объединяет одна задача — сделать обработку загружаемых материалов более предсказуемой для серверных ресурсов.
В Mattermost 11.7.13 исправлены сбои OpenSearch и поиск вложений
Отдельное обновление получила ветка 11.7 ESR, рассчитанная на более длительную поддержку. Версия 11.7.13 устраняет ситуацию, когда пакетная индексация в OpenSearch могла зависнуть при остановке ответа от поискового сервера. Исправлен и аварийный сбой Mattermost, возникавший при неудачном первоначальном обнаружении узлов OpenSearch.
Администраторы получили более точную настройку поиска по файлам. Параметр ElasticsearchSettings.EnableFileIndexing позволяет отключать индексацию вложений в Elasticsearch или OpenSearch, сохраняя индексацию сообщений, каналов и пользователей. Если поиск файлов выключен, веб-интерфейс скрывает соответствующие точки входа, чтобы пользователь не попадал на страницу с пустыми результатами.
В этой же версии исправили периодические ошибки редактирования и удаления только что отправленных сообщений на серверах с репликами базы данных, используемыми для чтения. Затронуты и непрочитанные обсуждения: вкладка могла показывать пустой список при наличии счётчика непрочитанных веток.
Исправления 19 октября относятся к версиям 11.x, а Mattermost 12.0 вышел отдельно
Три пакета от 19 октября предназначены для разных веток Mattermost Server. Версии 11.11.2 и 11.10.3 получили пересекающиеся исправления обработки файлов и сессий, тогда как 11.7.13 включает изменения, характерные для линии длительной поддержки. Согласно официальному changelog, эти сервисные выпуски не содержат изменений схемы базы данных.
При этом основная версия Mattermost 12.0 появилась 16 октября 2026 года. Её обновление имеет собственные особенности: в частности, увеличивается допустимая длина сообщения и выполняется миграция столбцов базы данных. Поэтому оценка последствий перехода на 12.0 отличается от оценки небольших исправлений в ветках 11.x. Поддержка ветки 11.7 ESR, по официальному графику, запланирована до 15 мая 2027 года.
Подробности уязвимостей Mattermost опубликует через 30 дней
Разработчики обозначили уровень исправленных проблем безопасности как Medium — средний — для всех трёх выпусков от 19 октября. В рамках политики ответственного раскрытия Mattermost публикует подробные сведения о таких исправлениях через 30 дней после выхода обновления. Опубликованный changelog описывает исправленные сбои и изменения обработки данных. Связь этих изменений с конкретными уязвимостями, идентификаторами CVE и возможными способами эксплуатации пока не раскрыта.
Таким образом, 19 октября обновились сразу три поддерживаемые ветки Mattermost 11.x. Для пользователей заметнее изменения работы файлов и обсуждений; для администраторов — поведения серверных сессий, поисковой подсистемы и обработки вложений. Точная картина закрытых уязвимостей станет доступна после их официального раскрытия.
