ThreatScope

Критични уязвимости и рискове за уеб инфраструктурата (26 май – 2 юни 2026)

🎧 Чуйте аудио брифа на доклада за уязвимостите за седмицата

Последният анализ на ThreatScope откроява продължаващ натиск върху уеб инфраструктурата, hosting платформите, системите за защита на крайни устройства, обучителните среди и инструментите от веригата за разработка на софтуер.

В периода 26 май – 2 юни 2026 най-съществените рискове бяха концентрирани около активно експлоатирани уязвимости, засягащи LiteSpeed hosting инфраструктура, Ghost CMS, KnowledgeDeliver обучителни платформи и вече известни Microsoft Defender уязвимости, свързани с наближаващ критичен срок за remediation.

Тази седмица потвърждава ясна оперативна реалност.

Атакуващите все по-често таргетират системите, отговорни за hosting услуги, съдържание, потребителски достъп и управление на софтуера. Когато тези платформи станат уязвими, въздействието надхвърля отделните устройства и засяга непрекъсваемостта на бизнеса, доверието на клиентите и оперативната устойчивост.

Тази седмица се характеризира с пет пресичащи се рискови области:

• компрометиране на hosting и cPanel среди
• експлоатация на публични системи за управление на съдържание
• компрометиране на обучителни платформи и уеб портали
• отслабване на защитата на крайните устройства и повишаване на привилегиите
• рискове във веригата за разработка и инструментите за програмиране

Основни уязвимости

Анализ на уязвимостите

LiteSpeed User-End cPanel Plugin (CVE-2026-48172)

Критична уязвимост в LiteSpeed User-End cPanel Plugin позволява на всеки cPanel потребител, включително компрометиран акаунт, да изпълнява скриптове с root права.

Уязвимостта засяга версии 2.3 до 2.4.4 и е добавена в каталога CISA Known Exploited Vulnerabilities.

Влияние:

• пълно компрометиране на hosting сървъра
• превземане на уебсайтове
• внедряване на ransomware или botnet
• експозиция на MSP и клиентски среди

Тъй като hosting системите често обслужват множество клиенти и публични услуги, успешната експлоатация създава широк оперативен риск.

Организациите трябва незабавно да обновят LiteSpeed WHM Plugin, да наблюдават логовете за признаци на експлоатация и да премахнат user-end plugin-а, когато незабавното обновяване не е възможно.

Ghost CMS SQL Injection (CVE-2026-26980)

Критична SQL injection уязвимост в Ghost CMS се експлоатира активно чрез ClickFix кампании, засягащи над 700 уебсайта.

Уязвимостта позволява неавтентикиран достъп до съдържание в базата данни и може да разкрие административни API ключове.

Ghost адресира проблема във версия 6.19.1.

Влияние:

• подмяна и компрометиране на съдържание
• фалшиви CAPTCHA и ClickFix зловредни кампании
• експозиция на идентификационни данни и API ключове
• увреждане на репутацията и доверието на клиентите

Организациите, използващи Ghost, трябва незабавно да обновят платформата, да ротират административните идентификационни данни и да прегледат JavaScript и API активността за подозрително поведение.

KnowledgeDeliver LMS Remote Code Execution (CVE-2026-5426)

Zero-day уязвимост в KnowledgeDeliver обучителните системи позволява неавтентикирано Remote Code Execution чрез слабости в десериализацията и използване на споделени hardcoded ASP.NET machine keys.

Атакуващите използват злонамерени ViewState payloads за внедряване на Godzilla web shell и постигане на компрометиране на ниво операционна система.

Влияние:

• компрометиране на LMS сървъри
• устойчивост чрез web shell
• кражба на идентификационни данни
• странично придвижване към вътрешни системи

Тази уязвимост показва как слабостите в обучителни и портал системи могат да се превърнат във входна точка към по-широка корпоративна среда.

Организациите трябва незабавно да приложат vendor remediation, да ротират machine keys и да проверят системите за ViewState злоупотреба и неизвестни web shell компоненти.

Microsoft Defender Vulnerabilities (CVE-2026-41091 / CVE-2026-45498)

По-рано разкрити Microsoft Defender уязвимости продължават да бъдат оперативно значими поради активна експлоатация и наближаващия CISA remediation срок – 3 юни 2026.

CVE-2026-41091 позволява локално повишаване на привилегиите до SYSTEM ниво, докато CVE-2026-45498 може да предизвика отказ на услуга в Defender защитните механизми.

Microsoft адресира и двата проблема чрез обновени Defender engine и platform версии.

Влияние:

• заобикаляне на защитата на крайните устройства
• повишаване на привилегиите след първоначален достъп
• намалени възможности за откриване на заплахи

Организациите трябва да проверят Defender engine и platform версиите, да валидират обновяването и да прегледат EDR телеметрията за tampering или изключени услуги.

Supply-Chain KEV Additions – Developer Tooling

Нови KEV добавяния, засягащи Daemon Tools Lite, TanStack и Nx Console, подчертават продължаващите рискове във веригата за разработка.

Тези уязвимости показват как доверени инструменти за разработка могат да се превърнат в канал за внедряване на злонамерен код.

Влияние:

• компрометиране на работни станции за разработка
• замърсяване на CI/CD процеси
• backdoored software builds
• експозиция на source code и секрети

Организациите трябва да одитират използваните разширения и пакети, да прегледат CI/CD идентификационните данни и достъпа до repositories и да възстановят доверени developer образи при съмнение за компрометиране.

Оценка на корпоративната експозиция

Оперативни рискове

Най-рискови сценарии

1. Пълно компрометиране на hosting среди
2. Подмяна на сайтове и разпространение на зловреден код
3. Устойчивост в LMS и портали чрез web shell
4. Намалена видимост и повишаване на привилегиите
5. Компрометиране на веригата за разработка и developer средите

Препоръчителни управленски действия

Незабавно (0–7 дни)

1. Пачване на LiteSpeed cPanel Plugin и Ghost CMS
2. Преглед на hosting логовете за признаци на експлоатация
3. Remediation на KnowledgeDeliver LMS и ротация на machine keys
4. Проверка на Microsoft Defender версиите преди 3 юни
5. Одит на developer tooling, extensions и CI/CD secrets

Краткосрочно (30 дни)

1. Завършване на инвентаризацията на външно достъпните уеб платформи
2. Валидиране на remediation чрез vulnerability scans
3. Преглед на административна и API активност в CMS и LMS системите
4. Укрепване на hosting панелите и ограничаване на управленския достъп
5. Създаване на approval controls за developer extensions и supply-chain инструменти

ISO 27001 / ISO 9001 Evidence Areas

ISO 27001 доказателства

• patch записи
• KEV review доказателства
• инвентаризация на уеб платформите
• Defender health отчети
• резултати от log review
• записи за ротация на идентификационни данни и API ключове

ISO 9001 процесни доказателства

• corrective action записи
• approvals за промени
• remediation SLA проследяване
• root-cause analysis при забавено обновяване

Основни изводи

Тази седмица потвърждава, че уеб инфраструктурата и доверените оперативни платформи остават високостойностни повърхности за атака. Hosting средите, системите за управление на съдържание, обучителните платформи, защитните технологии и инструментите за разработка все по-често се пресичат в рамките на корпоративните операции. Когато тези системи станат уязвими едновременно, атакуващите получават възможности не само за компрометиране, но и за устойчивост, разпространение на зловреден код и оперативни прекъсвания.

Продължаващата експлоатация на публично достъпни платформи показва, че атакуващите приоритизират системи, които осигуряват мащаб, злоупотреба с доверие и дългосрочен достъп.

Заключение

Периодът 26 май – 2 юни показва как корпоративният кибер риск все по-често се концентрира около доверената цифрова инфраструктура.

Най-високоприоритетните рискове тази седмица включват компрометиране на LiteSpeed hosting среди, експлоатация на Ghost CMS, KnowledgeDeliver zero-day експозиция, спешното обновяване на Microsoft Defender и рисковете във веригата за разработка.

Организациите трябва да приоритизират бързо прилагане на обновяванията, валидиране чрез оперативни доказателства и по-силен контрол върху уеб и developer инфраструктурата.

ThreatScope се фокусира върху това как тези рискове се проявяват в реални оперативни среди.

Източник: ThreatScope Weekly Research

Свържете се с DIAMATIX

Trusted · Innovative · Vigilant