Исправления доступны в Tailscale 1.104.4. Разработчики рекомендуют пользователям Tailscale SSH установить эту или более новую версию.
Что исправили
В разборе от 28 октября 2026 года Tailscale сообщил об ошибках в обработке Unix-привилегий и перенаправлении соединений SSH — forwarding. Разрешённая сессия могла выполнять операции за пределами прав выбранной локальной учётной записи.
Подтверждённым проблемам посвящены четыре бюллетеня: TS-2026-014—TS-2026-017. Они охватывают Tailscale SSH и другие функции продукта; исправления включены в версию 1.104.4.
Какие условия требовались для атаки
Злоумышленник должен был сначала получить доступ к авторизованному устройству в tailnet — сети Tailscale. Кроме того, её политика должна была разрешать SSH-соединение с целевым сервером. Ошибки возникали уже после этого допуска, при выполнении действий внутри разрешённой сессии.
Поэтому название Tailworm не следует понимать как сообщение об обнаруженном самораспространяющемся черве. Речь идёт о возможности перемещения между узлами по уже разрешённым связям и о нарушении границ локальных прав.
Обновление и проверка SSH-политик
Администраторам стоит проверить не только установку пакета, но и версию, которую действительно используют работающие узлы:
- Найти серверы с включённым Tailscale SSH, установить исправление и убедиться, что запущена версия 1.104.4 или новее.
- Проверить, каким пользователям и устройствам разрешён SSH-доступ к важным серверам. Удалить широкие правила, оставшиеся после разовых работ.
- Для чувствительных систем рассмотреть SSH check mode — дополнительную проверку аутентификации перед выдачей сессии. Она не отменяет необходимость обновления.
Что остаётся после установки исправления
Полезно отдельно проверить доступ с ноутбуков подрядчиков и других устройств, которыми организация управляет лишь частично. Если такое устройство будет захвачено, именно его разрешённые соединения определят, куда злоумышленник сможет обратиться дальше.
Установка исправления устраняет описанные ошибки. Пересмотр SSH-политик решает другую задачу: сокращает число серверов, доступных с одного скомпрометированного узла.
Редакция EALP · Обновлено