Польский CERT не смог достучаться до Dayforce и всё равно опубликовал три уязвимости в системе расчёта зарплаты
28 сентября национальный CERT Польши опубликовал данные о трёх уязвимостях Dayforce Payroll, для эксплуатации которых не требуется аутентификация: попытки связаться с разработчиком провалились. Это произошло через неделю после того, как та же продуктовая линейка прошла аккредитацию FedRAMP и получила доступ к федеральным заказчикам в США, — тогда как сотрудники Sydney Water вступают в третий месяц невыплат зарплаты. Кредит на $5,5 млрд, стоящий за выкупом со стороны Thoma Bravo, оценён исходя из того, что уходить со своей зарплатной платформы слишком рискованно.
Vincent Jiang · 3 min read
28 сентября 2026 года национальный CERT Польши (CERT Polska) опубликовал рекомендации по трём уязвимостям, не требующим аутентификации, в системе Dayforce Payroll — после того как, по его собственным словам, попытки связаться с разработчиком не увенчались успехом 5.
Зарплата, которая так и не приходит
С июля та же продуктовая линейка в сиднейском водоканале Sydney Water платит сотрудникам с опозданием либо не начисляет повышенные доплаты и сверхурочные, за счёт которых сотни из них платят за аренду жилья и алименты 1. Как минимум половина из 3 тыс. сотрудников предприятия присоединилась к запретам на выполнение отдельных обязанностей и череде остановок работы, а профсоюзы передали спор в Комиссию по справедливому труду (Fair Work Commission) и Комиссию по трудовым отношениям штата Новый Южный Уэльс 1. «На носу октябрь, а систему так и не починили», — заявил секретарь профсоюза ASU Энгус Макфарленд 1. Система обошлась в A$40 млн и уже привела к четырём судебным разбирательствам 8.
Платный пункт с долгом в придачу
Фонд Thoma Bravo вывел Dayforce с биржи в рамках поглощения на $12,3 млрд, одобренного акционерами, выкупив акции у держателей по $70 за штуку 23. За сделкой стоит срочный кредит первого приоритета (first-lien term loan) на $5,5 млрд с рейтингом B+, в основе которого — 85% регулярной выручки и валовое удержание клиентов (gross retention) выше 95% 4. Fitch ожидает долговую нагрузку 7,6x EBITDA в текущем финансовом году и снижение ниже 7,0x в течение 12–18 месяцев 4. 26 сентября издание The Inference связало эту забастовку с этим долгом; минувшая неделя добавила к истории ещё два витка.
Аргумент Fitch в пользу рейтинга B для Dayforce: долговая нагрузка снижается с уровня выше 8x к 7x
- Скорректированная долговая нагрузка (x EBITDA)
- Estimate
Data
| Скорректированная долговая нагрузка (x EBITDA) | |
|---|---|
| Ранняя оценка на 2026 фин. год (estimate) | 8x |
| Прогноз на 2026 фин. год (estimate) | 7.6x |
| Перспектива до конца 2027 года (estimate) | 7x |
Три отмычки, ни одного ответа
Рекомендации касаются релиза R2026.2.0. В них — слепая SQL-инъекция с временной задержкой (time-based blind SQL injection), доступная через функцию восстановления пароля, межсайтовый скриптинг (XSS) сразу на нескольких конечных точках и обход пути (path traversal), позволяющий злоумышленнику без аутентификации считать любой локальный файл 5. Наличие уязвимостей подтверждено только в этом релизе, но те же бреши могут быть и в других версиях 5.
Вашингтон дал добро неделей раньше
21 сентября Dayforce объявила о получении статуса начального внедрения (Initial Implementation) в маркетплейсе FedRAMP: платформа расчёта зарплат попала в перечень, по которому могут закупаться федеральные ведомства США, и размещается в выделенном правительственном облаке 67. Fitch в обосновании рейтинга прямо называет «ров» вокруг бизнеса: требования к аудитируемости и юридические риски, связанные с ошибками в зарплате, должны ограничить угрозу вытеснения со стороны ИИ-инструментов 4. Юридический риск ошибок в расчёте зарплат — это ровно то, что сейчас несут на себе работники Sydney Water.
Позиция сторон
Sydney Water извинилась, усилила штат расчётного отдела и выплачивает компенсации, а также авансы на доверии сотрудникам, оказавшимся в тяжёлом положении 1. Dayforce ссылается на продолжающиеся инвестиции в механизмы безопасности и на свой опыт работы с регулируемыми организациями госсектора 6. Цифры удержания клиентов у Fitch не дрогнули 4.
Что сломается первым
Три сценария: как поступит Комиссия по справедливому труду с трудовым спором на Sydney Water 1; ответит ли Dayforce CERT Polska и устранит ли уязвимости в релизе R2026.2.0 5; и сохранится ли снижение долговой нагрузки при любом вызванном этим оттоке клиентов 4. «Ров» и сбой — одна и та же машина: пока уходить от зарплатной системы слишком больно, кредит обслуживают раньше, чем работников.
Deepdive
AI-generated from this story and its cited sources. Not investment advice.
