DIAMATIX Cybersecurity Weekly Digest: Активна експлоатация, пропуски в откриването и човешкият фактор

Тази седмица няколко различни събития поставиха един и същ оперативен въпрос: достатъчно бързо ли организациите разбират, че вече са засегнати?

От девет месеца неоторизиран достъп до система на Пентагона до активно експлоатирани уязвимости в Citrix NetScaler и твърдение за ransomware атака срещу българска организация. Подбрахме развитията, които са най-важни за организациите, управляващи критични системи, чувствителни данни и регулаторни изисквания.

Пентагонът: девет месеца неоторизиран достъп преди откриването

Пробивът, засегнал Defense Manpower Data Center (DMDC) на САЩ, показва един от най-трудните проблеми в киберсигурността. Неоторизираният достъп е останал незабелязан в продължение на приблизително девет месеца.

Важният въпрос тук не е само как атакуващият е получил първоначален достъп. По-съществено е как подобна активност може да остане незабелязана толкова дълго в среда, съдържаща чувствителна информация.

За организациите това поставя фокус върху непрекъснатото наблюдение, видимостта върху идентичностите и способността за откриване на необичайно поведение след първоначалния пробив.

Прочетете анализа ни:
„Девет месеца неоторизиран достъп: какво разкрива пробивът в системата за персонала на Пентагона за пропуските в откриването“
Прочетете анализа

Citrix NetScaler: пачването и проверката за компрометиране трябва да вървят заедно

Две критични уязвимости в Citrix NetScaler ADC и NetScaler Gateway, CVE-2026-88771 и CVE-2026-88772, вече се използват в реални атаки. И двете са с оценка CVSS 9.5.

NetScaler устройствата често се намират на границата между интернет и вътрешната корпоративна среда и обслужват VPN достъп, автентикация и отдалечена свързаност. Това ги прави особено ценна цел.

Прилагането на корекциите е приоритет, но при активно експлоатирана уязвимост то трябва да бъде последвано от проверка дали компрометиране не е настъпило преди пачването.

Практическият ред е: идентифициране на засегнатите системи → пачване → проверка за компрометиране → последващо наблюдение.

Прочетете анализа ни:
„Citrix NetScaler под активна атака: пачът не е достатъчен без проверка за компрометиране“
Прочетете анализа

CISA променя подхода към управлението на уязвимости

Същият принцип се вижда и в по-широка промяна от CISA (Cybersecurity and Infrastructure Security Agency. Агенция за киберсигурност и сигурност на инфраструктурата на САЩ).

На 28 септември агенцията прекрати традиционния си Weekly Vulnerability Bulletin като част от преминаването към управление на уязвимостите според реалния риск. По-голяма тежест получават фактори като активна експлоатация и действителна експозиция, а каталогът Known Exploited Vulnerabilities продължава да бъде важен ориентир при приоритизацията.

За екипите по сигурността изводът е практичен: високата CVSS оценка сама по себе си не определя кое трябва да бъде отстранено първо.

Oracle PeopleSoft: атаките обхващат организации от различни сектори

Друга важна тема идва от Oracle PeopleSoft.

Според Google Mandiant мащабната експлоатация, свързвана с ShinyHunters, се разширява отвъд университетите и засяга организации в здравеопазването, държавния сектор и технологичната индустрия.

Reuters съобщава, че в някои случаи атакуващите са успели да заобиколят защитата на web application firewall при организации, които не са приложили корекцията на Oracle.

Тук отново виждаме защо приоритизацията трябва да отчита реалната експозиция и наблюдаваната активност, а не само броя на публикуваните уязвимости.

Трима от четирима служители в ЕС се сблъскват с киберзаплахи на работното място

Технологиите са само една част от атакуваната повърхност.

Последните данни на Eurobarometer показват, че трима от четирима служители в Европейския съюз се сблъскват с киберзаплахи на работното място, като фишингът остава водещ риск.

Това е особено важно в контекста на компрометирането на идентичности. Социалното инженерство продължава да дава на атакуващите възможност да заобиколят иначе добре изградени технически защити.

Прочетете анализа ни:
„Трима от четирима служители в ЕС се сблъскват с киберзаплахи на работното място: фишингът остава водещ риск“
Прочетете анализа

Темата съвпада и с началото на Европейския месец на киберсигурността. Данните на ENISA (European Union Agency for Cybersecurity. Агенция на Европейския съюз за киберсигурност) продължават да показват значението на социалното инженерство и натиска върху организациите, попадащи в обхвата на NIS2.

България: MedusaLocker посочва ABV.BG като предполагаема жертва

По-близо до нас, ransomware групата MedusaLocker е посочила българския доставчик на електронна поща ABV.BG като предполагаема жертва.

На този етап е важно твърдението на групата да бъде разграничено от независимо потвърдените факти. Публикуването на организация в leak site само по себе си не доказва мащаба на инцидента, кои системи са засегнати или дали данни действително са били изнесени.

Какво е потвърдено и какво все още не знаем:
„MedusaLocker посочва ABV.BG като предполагаема жертва: какво е потвърдено и какво остава неясно“
Прочетете анализа

От DIAMATIX: бягане с кауза

Тази седмица имахме и новина извън ежедневната ни работа в киберсигурността.

Кирил Брамбаров, Channel Sales Account Manager в DIAMATIX, се включи в благотворителното нощно бягане „Светулки RUN“.

Инициативата обединява участниците около подкрепата за хора със зрителни и двигателни затруднения. Бягането се провежда на тъмно с челници и фенерчета, а средствата от инициативата се насочват към партньорски организации, работещи с хора с увреждания.

За екипа ни подобни инициативи са още един начин да участваме активно в общността и извън професионалната ни работа.

Повече за „Светулки RUN“

DIAMATIX Weekly Signal

Общият сигнал тази седмица е времето на експозиция.

Една уязвимост може да бъде пачната. Компрометирани идентификационни данни могат да бъдат сменени. Фишинг съобщение може да бъде блокирано.

Но остава по-трудният въпрос:

Какво се е случило, преди да разберем, че има проблем?

Деветте месеца неоторизиран достъп в системата на Пентагона, активната експлоатация на NetScaler и текущата ransomware активност показват защо откриването, проверката за компрометиране и готовността за реакция трябва да работят като един процес.

Следете DIAMATIX Cybersecurity Weekly Digest за важните сигнали от седмицата, без излишния шум.

Какво предстои в DIAMATIX

Следващата седмица е наситена със събития за екипа на DIAMATIX.

На 6–7 октомври ще участваме в Malta Partner Days на interworks.cloud, където ще се срещнем с местната партньорска общност и ще представим как MSP доставчиците могат да разширят услугите си за киберсигурност с MDR 360° powered by DIAMATIX SOC.

На 7 октомври DIAMATIX ще бъде и на Acronis Tech Community Day Balkans 2026 в София, заедно с представители на регионалната технологична и кибер общност.

Ако ще бъдете на някое от събитията, ще се радваме да се срещнем на място.

Източници: CISA, Reuters, ENISA, Citrix, European Commission/Eurobarometer.