Vulnerpocalypse Containment — кросс-платформенный инструментарий для подтверждения обновлений безопасности

Поддерживаемый каталог, а не универсальный патчер zero-day. Этот проект отслеживает публично раскрытые исправления безопасности, связанные с исследованиями Anthropic/Claude, а также отдельно полученные октябрьские (2026) рекомендации производителей. Он содержит атрибутированный оригинальный патч для upstream Linux для CVE-2026-98432, ссылки на обновления производителей для проприетарных или подписанных продуктов, кросс-платформенную read-only проверку минимальных версий и опциональное временное управление средой выполнения только для Linux с явным откатом.

Никакого произвольного изменения ядра или бинарных файлов, никакой автоматической загрузки патчей, никаких тестов на эксплуатацию и никаких заявлений о том, что покрыта каждая ОС или каждая находка Anthropic. Опциональное, явно одобренное сдерживание MPTCP в среде выполнения Linux — это единственное исполняемое изменение, вносимое данным инструментарием. Если проверенного исправления от производителя или поддерживаемого релиза не существует, правильный результат — unknown / manual review, но никогда не «patched».

Начните здесь — выберите вашу операционную систему

Для самых простых инструкций откройте Easy install. Выберите своё устройство и следуйте пронумерованным шагам. Вам не нужно устанавливать Python на телефон. На компьютерах Python 3.11–3.15 нужен только для запуска опциональных офлайн-инструментов проверки из этого репозитория.

Устройство	Самый быстрый безопасный шаг	Опциональное сдерживание
Windows	Параметры → Центр обновления Windows → Проверить наличие обновлений → Перезагрузить	Проверка администраторами подверженности HTTP.sys HTTP/3; не бинарный патч
Mac	Системные настройки → Основные → Обновление ПО	Ограничение JavaScript в Safari; не полноценное исправление WebKit
iPhone / iPad	Настройки → Основные → Обновление ПО	Избегайте недоверенного просмотра до обновления от Apple
Android / Pixel	Настройки → Система → Обновления системы; также проверьте обновления системы Google Play	Избегайте недоверенных USB-хостов; не исправление экрана блокировки устройства
Linux	Используйте подписанные обновления безопасности вашего дистрибутива, затем перезагрузитесь	Опциональное контролируемое обратимое переключение функции MPTCP (только Linux)
Chrome	Chrome → Справка → О Chrome → Перезапустить	Ограничьте оптимизацию V8 или прекратите использовать устаревший Chrome
Другое / неподдерживаемое	Используйте опубликованное обновление безопасности от оригинального производителя устройства	Универсального кросс-ОС бинарного патча не существует

Инструкция с ноутбука/настольного компьютера (права root/администратора не нужны):

python scripts/quickstart.py guide --os linux
python scripts/quickstart.py guide --os windows
python scripts/quickstart.py guide --os macos
python scripts/quickstart.py guide --os android

Каждое руководство содержит: прежде чем что-либо менять → простые шаги → как проверить временную меру контроля → как заменить её исправлением от производителя. Если профиль невозможно обосновать, команда возвращает no verified profile.

Одна исполняемая временная мера контроля: отключение MPTCP во время работы в Linux. Она изменяет только текущее пространство имён после отдельной явной команды администратора, создаёт ограниченное состояние для отката и НЕ патчит ядро и не сохраняется после перезагрузки. См. Emergency containment. Все остальные временные действия — это ручные рекомендации, а не неподписанные бинарные файлы.

Как понять, что настоящее исправление применено и работает

Не считайте успешную команду установки доказательством. Фиксируйте следующее по отдельности:

1. Официальное уведомление производителя указывает CVE и вашу точную ОС/устройство.
2. Было установлено подписанное обновление; устройство или затронутый сервис был перезапущен.
3. Работающий продукт или пакет ядра соответствует исправленной версии, подтверждённой производителем.
4. Успешно проходит безопасная проверка при обычном использовании, например посещение доверенной страницы или тестирование авторизованных сетевых подключений; проверьте журналы сервиса.
5. Только после этого рассмотрите удаление временной меры контроля и снова проверьте работу.

В docs/VALIDATION.md приведены точные команды и рабочий лист для сбора доказательств. Для некоторых продуктов (включая несопоставленную цепочку Android и ядра с обратным портированием исправлений от производителя) результат должен оставаться unknown / manual review без подтверждения от производителя.

Помощь в передаче производителю, для продуктов с опубликованным сопоставимым минимальным порогом версии (в примере используется существующее уведомление MSRC):

python scripts/vendor_handoff.py CVE-2026-33096 --os windows --version 10.0.22631.6936 --vendor-advisory-reviewed --active-version-confirmed --smoke-test-passed

Флаги — это подтверждения оператора, а не автоматическое обнаружение. Наиболее сильный результат — READY_FOR_CHANGE_REVIEW, но никогда не автоматический откат или заявление об устойчивости к эксплойтам. Версии ОС без проверенного минимального порога удерживаются для ручного подтверждения у поставщика.

А как насчёт уязвимостей без патча от поставщика?

Никакой патч кода не выдумывается для нераскрытой уязвимости. Большинство записей в панели раскрытия Anthropic не содержат достаточно технических данных, чтобы написать или проверить легитимное исправление. «Универсальный хотфикс» для ядра/устройства невозможно безопасно синтезировать из имени CVE или хешированного раскрытия. Используйте подкреплённое источниками обратимое сдерживание, где это доступно; в противном случае изолируйте или прекратите использование затронутого сервиса.

Каталог data/containments.json содержит десять условных, ограниченных руководств по снижению экспозиции. Они не обеспечивают устранение CVE. Новый автоматический патч принимается только после того, как установлены исходный код, воспроизводимая уязвимость, поддерживаемые версии, регрессионные тесты, откат и проверка. См. Правила внесения вклада.

Распространение, язык и обнаружение устройств

Необязательная инвентаризация платформы только для чтения определяет семейства дистрибутивов (включая Debian/Ubuntu, Fedora/RHEL, SUSE, Arch, Alpine, Void, Gentoo, NixOS и Fedora Atomic), архитектуру, ограниченный контекст прошивки и наличие распространённых наборов инструментов для языков программирования. Она не выполняет наборы инструментов или менеджеры пакетов, не устанавливает патчи и не сертифицирует прошивку.

python3 scripts/platform_inventory.py --json
python3 scripts/catalog.py inventory

Если дистрибутив неизвестен или сообщает только о родительском дистрибутиве через ID_LIKE, инструмент отказывается рекомендовать команду обновления родительского дистрибутива. Android, WSL, контейнеры, серверы Linux, встраиваемое оборудование и облачные сервисы имеют разных поставщиков обновлений. Прочитайте руководство по покрытию Linux, языков и оборудования, чтобы узнать точные возможности, неподдерживаемые цели и безопасную передачу поставщику.

Текущий охват — проверено 30 октября 2026 г.