20 октября 2026 года Oracle выпустила VirtualBox 7.2.22 с исправлениями безопасности. В октябрьском бюллетене компания описала шесть уязвимостей в компоненте Core, затрагивающих указанные в отчёте версии 7.2.16 и 7.2.20; две проблемы получили оценку 8,4 балла по CVSS 3.1. Разбираем условия возможных атак и различия между последними выпусками программы.
В VirtualBox обнаружили шесть уязвимостей внутреннего компонента Core
VirtualBox позволяет запускать дополнительную операционную систему внутри основного компьютера. Например, на ПК с Windows можно открыть виртуальную машину с Linux для тестирования программ. За создание и работу таких изолированных сред отвечают внутренние механизмы гипервизора, и уязвимости в них могут затрагивать безопасность всей конфигурации.
В опубликованном 20 октября бюллетене Critical Patch Update Oracle перечислила шесть проблем в компоненте Core. В матрице рисков они распределены по двум указанным версиям: 7.2.16 и 7.2.20. Наиболее высокую оценку — 8,4 балла по CVSS 3.1 — получили CVE-2026-87322 и CVE-2026-87301. Эта шкала отражает потенциальную серьёзность уязвимости с учётом условий атаки и возможных последствий.
При этом одинаковая оценка ещё не говорит об одинаковом сценарии эксплуатации. Уязвимости различаются по способу доступа к системе, требуемым привилегиям и необходимости участия пользователя.
Локальный доступ, смежная сеть и права пользователя — условия атак различаются
В описании CVE-2026-87322 Oracle указала протокол ICMP и вектор атаки Adjacent Network: потенциальному атакующему требуется доступ из смежной сети, а также высокий уровень привилегий. Уязвимость получила 8,4 балла из-за возможного серьёзного влияния на конфиденциальность, целостность и доступность данных.
У CVE-2026-87301, также оценённой в 8,4 балла, другой сценарий: локальный вектор атаки и требование низкого уровня привилегий. По оценке Oracle, последствия могут затронуть конфиденциальность и доступность. Из публичной таблицы нельзя установить точный способ эксплуатации или утверждать, что каждая из этих ошибок позволяет выйти за пределы виртуальной машины.
Полная картина октябрьского бюллетеня выглядит так:
| Уязвимость | CVSS 3.1 | Вектор атаки | Условия по данным Oracle | Затронутая версия в бюллетене |
| CVE-2026-87322 | 8,4 | Смежная сеть | Высокие привилегии | 7.2.20 |
| CVE-2026-87301 | 8,4 | Локальный | Низкие привилегии | 7.2.16 |
| CVE-2026-101598 | 7,8 | Локальный | Низкие привилегии | 7.2.20 |
| CVE-2026-101599 | 7,5 | Локальный | Низкие привилегии и участие пользователя | 7.2.20 |
| CVE-2026-87303 | 5,9 | Локальный | Низкие привилегии и участие пользователя | 7.2.16 |
| CVE-2026-87311 | 5,6 | Локальный | Низкие привилегии | 7.2.16 |
Oracle отдельно подчёркивает, что ни одна из шести уязвимостей не допускает удалённой эксплуатации по сети без аутентификации. Это уточнение существенно меняет оценку риска: наличие высокого балла CVSS само по себе не подтверждает возможность атаки на произвольный компьютер из интернета. В то же время локальные сценарии остаются актуальными для сред, где доступ к системе получают разные пользователи или запускается потенциально недоверенный код.
Версия 7.2.22 сосредоточена на безопасности после исправления ошибки запуска в Windows
История двух предыдущих выпусков помогает понять характер изменений. В VirtualBox 7.2.18 некоторые пользователи Windows столкнулись с ошибкой VERR_SUP_VP_FOUND_EXEC_MEMORY: после обновления виртуальные машины переставали запускаться. Сообщения с описанием проблемы появились в официальном GitHub-репозитории проекта, а 7.2.20, выпущенная в сентябре, исправила эту регрессию.
Для 7.2.22 опубликованное описание заметно короче: разработчики обозначили выпуск как обслуживающее обновление с исправлениями, связанными с безопасностью. Новых функций или отдельного списка функциональных доработок для этой версии в кратких примечаниях нет. Поэтому проблемы запуска, исправленные ещё в 7.2.20, нельзя выдавать за новшества октябрьского релиза.
Различие заметно и по характеру пользовательского эффекта. Исправление VERR_SUP_VP_FOUND_EXEC_MEMORY решало конкретную видимую неисправность: виртуальная машина не стартовала. Исправления безопасности могут никак не проявляться при повседневной работе VirtualBox, хотя устраняют потенциальные сценарии атак.
VirtualBox 7.2.22 доступен для Windows, Linux, macOS и Solaris
В официальном каталоге Oracle уже размещены установочные пакеты VirtualBox 7.2.22, сборка 175245. Среди них есть версии для Windows, Linux, macOS на Intel и Apple Silicon, а также Solaris. Для ряда дистрибутивов Linux доступны отдельные пакеты DEB и RPM.
В том же каталоге опубликованы Guest Additions 7.2.22 и соответствующий Extension Pack 7.2.22. Guest Additions — дополнительные компоненты внутри гостевой системы, которые обеспечивают, например, интеграцию мыши и общего буфера обмена с основным компьютером. Extension Pack расширяет возможности VirtualBox. Наличие файлов той же версии подтверждает, что Oracle подготовила сопутствующие компоненты одновременно с основным выпуском; конкретные исправления для них в кратком анонсе не детализированы.
Октябрьский выпуск устраняет задокументированные риски без раскрытия деталей каждой ошибки
Сочетание нового релиза VirtualBox и октябрьского бюллетеня Oracle позволяет оценить масштаб изменений точнее, чем одна строка в changelog. Компания указала шесть уязвимостей Core, оценки от 5,6 до 8,4 балла и условия, необходимые для атак. Это объясняет, почему обновление затрагивает безопасность даже при отсутствии заметных изменений интерфейса.
При этом опубликованные материалы не раскрывают технический механизм каждой ошибки и не приводят подробных сценариев её эксплуатации. Конкретные последствия зависят от конфигурации VirtualBox, уровня доступа и затронутой уязвимости.
