7 августа 2026 года разработчики ClamAV выпустили версии 1.5.4 и 1.4.6 с исправлениями безопасности. Уязвимости затрагивают обработку архивов, исполняемых файлов, образов дисков и PDF. Если ClamAV проверяет пользовательские загрузки или почтовые вложения, обновлять нужно сам движок, а не только антивирусные базы.
Эта заметка относится к августовским исправлениям. При обновлении рабочего сервера выбирайте актуальную поддерживаемую сборку своей системы, в которой устранены перечисленные ошибки. Более старый номер пакета дистрибутива иногда означает перенос исправления без смены основной версии, поэтому важен и его журнал изменений.
В ветке 1.5 исправили отдельные ошибки ZIP
CVE-2026-20337 затрагивает версии с 1.5.0 по 1.5.3: ошибка учёта ёмкости каталога ZIP могла приводить к записи за пределами выделенной памяти. CVE-2026-20338 касается того же диапазона и связана с неправильным освобождением памяти при объединении записей каталога повреждённого архива. Обе ошибки исправлены в 1.5.4.
Для эксплуатации подобных ошибок антивирусу достаточно начать разбор специально подготовленного файла. Пользователю не обязательно запускать вложенную программу. Именно поэтому серверный сканер нужно рассматривать как программу, которая постоянно обрабатывает недоверенные данные, а не как безусловно безопасную прослойку.
Общие исправления получили обе ветки
В 1.4.6 и 1.5.4 устранены CVE-2026-20345 в обработке имён разделов GPT и CVE-2026-20339 в распаковщике PESpin. Первая связана с чтением или записью за пределами элемента в стеке, вторая с целочисленным переполнением, из-за которого выделялся слишком маленький буфер при восстановлении PE-файла.
CVE-2026-20346 относится к разбору шестнадцатеричной строки в PDF, CVE-2026-20347 к Mach-O. В анонсе для этих ошибок описана возможность аварийного завершения сканера. CVE-2026-20348 касается обработки размеров в XAR: повреждённое содержимое могло вызвать чрезмерное выделение памяти или выход за ограничения сканирования.
Отдельно включено исправление CVE-2025-8088 из UnRAR. В Windows обработчик должен отвергать разделители пути в именах альтернативных потоков NTFS, чтобы распаковка не выходила за временный каталог проверки. Это конкретный сценарий для Windows, а не основание объявлять одинаковые последствия для любой системы.
Кроме CVE есть исправления clamd и FreeBSD
Разработчики исправили проблемы потокобезопасности команды STATS в clamd. При одновременных запросах статистики и проверке файлов они могли приводить к раскрытию памяти процесса или падению службы. Также исправлена обработка неполной записи больших ответов в сокет.
На FreeBSD восстановлена безопасная работа перемещения в карантин и удаления с сохранением защиты от подмены исходного пути. Обе ветки получили обновление зависимости crossbeam-epoch. В 1.5.4 дополнительно устранена утечка контекста OpenSSL в старых вспомогательных функциях хеширования.
После установки пакета проверьте работающую службу
Сначала выясните, какой ClamAV реально используется: системный пакет, контейнер или отдельная установка приложения. Наличие обновлённого бинарного файла на диске ещё не доказывает, что служба уже работает с ним. После обновления действуйте по инструкции пакета и проверьте версию запущенного сканера, состояние службы и журнал ошибок.
Если антивирус обслуживает почту или загрузки на сайте, проверьте весь путь передачи файла: приложение, очередь проверки, ответ сканера и обработку отказа. Важно понимать, что произойдёт при недоступном clamd: запрос остановится, попадёт в очередь или продолжит работу без проверки. Такой режим должен быть осознанным решением администратора.
Не давайте сканеру лишних прав и не открывайте его служебный интерфейс всем желающим. Изоляция, ограничения ресурсов и контроль ошибок не заменяют обновление, но уменьшают последствия сбоя при обработке чужого файла. Это тот же подход к недоверенным данным, который важен при установке зависимостей npm.
Главное в релизах 1.5.4 и 1.4.6: исправления затрагивают саму обработку файлов и работу службы. Обновление сигнатур не меняет код парсеров. После установки безопасной сборки нужно убедиться, что её действительно использует рабочая система и проверка файлов продолжает работать.
