ThreatScope

Месечен обзор на киберсигурността – Юни 2026

🎧 Слушайте месечния доклад за юни

Юни 2026 се характеризира с активна експлоатация на системите, които управляват, наблюдават или свързват корпоративната инфраструктура.

През месеца основните рискове бяха свързани с платформите за отдалечен достъп, браузърите, корпоративните системи на Microsoft, платформите за управление на мрежи и комуникации, системите за наблюдение на сигурността, AI инфраструктурата, индустриалните среди и платформите за управление на жизнения цикъл на продуктите.

Основният риск на ниво ръководство е ясен.

Атакуващите все по-често насочват усилията си към инфраструктурата, която управлява достъпа, наблюдението и администрацията на корпоративната среда. Сред най-засегнатите технологии през месеца са VPN решенията, Cisco SD-WAN, Cisco Unified Communications Manager, Splunk, UniFi OS, LiteLLM, индустриалните устройства Lantronix и платформите PTC Windchill и FlexPLM.

Това не са второстепенни системи.

Те осигуряват достъп, видимост, управление, производствени процеси, инженерна дейност и операции по информационна сигурност. Компрометирането им може да засегне едновременно множество критични бизнес функции.

Юни 2026 се характеризира с пет основни рискови направления:

• рекорден брой корекции за сигурност от Microsoft
• активно използване на Zero-Day уязвимости в браузъри
• компрометиране на платформи за управление на мрежи и комуникации
• експозиция на системите за наблюдение на сигурността и AI шлюзовете
• повишен риск за индустриални среди, мрежово управление и инженерни платформи

Основни уязвимости през юни 2026

Анализ на основните рискове

Рекорден брой корекции за сигурност от Microsoft

През юни Microsoft публикува корекции за повече от 200 уязвимости, включително десетки критични проблема и три публично известни Zero-Day уязвимости.

Засегнати бяха Windows, Exchange, Office, Hyper-V, Kerberos, DHCP, BitLocker, HTTP.sys, Microsoft 365 и други ключови корпоративни компоненти.

Това постави сериозно натоварване върху екипите по информационна сигурност и ИТ поддръжка. При подобен обем корекции най-голямото предизвикателство е приоритизирането, валидирането и добрата видимост върху всички засегнати активи.

Рискът не е само в наличието на уязвимости, а и в забавянето при тяхното отстраняване.

Организациите трябва да дадат приоритет на критичните Windows системи, Exchange, SharePoint, Hyper-V, сървърите и административните работни станции.

Zero-Day уязвимости в браузърите

Google отстрани CVE-2026-11645 – активно експлоатирана Zero-Day уязвимост в Chrome и Chromium V8.

Проблемът позволява изпълнение на произволен код чрез специално подготвено HTML съдържание.

Браузърите продължават да бъдат една от най-често използваните входни точки към корпоративната среда, тъй като ежедневно обработват съдържание от външни източници.

Последствията могат да включват компрометиране на крайни устройства, кражба на активни сесии, изтичане на идентификационни данни и автоматизирани атаки чрез посещение на злонамерени сайтове.

Организациите трябва да потвърдят, че всички Chrome, Edge, Brave и останали Chromium-базирани браузъри са актуализирани.

Компрометиране на платформи за управление на мрежи и комуникации

Уязвимостите в продуктите на Cisco бяха сред най-сериозните теми през целия месец.

CVE-2026-20245 засяга Cisco Catalyst SD-WAN Manager и позволява изпълнение на команди и повишаване на привилегиите след качване на специално подготвен файл.

CVE-2026-20230 засяга Cisco Unified Communications Manager и Unified CM SME. Уязвимостта позволява SSRF атаки, запис на файлове и потенциално компрометиране на системата с root права.

Тези платформи управляват корпоративната свързаност, комуникациите и административните функции.

Успешната експлоатация не осигурява само достъп до отделна система, а възможност за контрол върху критични инфраструктурни компоненти.

Последствията могат да включват прекъсване на мрежови услуги, неоторизирани конфигурационни промени, компрометиране на корпоративната телефония и кражба на идентификационни данни.

Организациите трябва да изолират системите за управление, да приложат актуализациите, да прегледат административните логове и да проверят целостта на конфигурациите.

Експозиция на системите за наблюдение на сигурността и AI шлюзовете

През юни особено внимание привлякоха Splunk Enterprise и LiteLLM.

CVE-2026-20253 засяга Splunk Enterprise и позволява неавтентикирани операции с файлове чрез PostgreSQL помощната услуга. Тъй като Splunk често е в основата на процесите по откриване, анализ и реакция при инциденти, компрометирането му може да повлияе върху надеждността на цялата система за наблюдение.

LiteLLM CVE-2026-42271 беше включена в каталога CISA KEV като уязвимост за изпълнение на команди в AI шлюзове.

Рискът не се ограничава до изпълнение на код. Засегнати могат да бъдат API ключове, облачни идентификационни данни, вътрешни инструкции към моделите и други чувствителни данни.

Организациите трябва да обновят Splunk, да ограничат достъпа до административните услуги, да актуализират LiteLLM, да сменят изложените ключове и да включат AI инфраструктурата в процесите по управление на уязвимостите.

Повишен риск за индустриални среди, мрежово управление и инженерни платформи

В края на юни рискът значително се увеличи за индустриалните среди, платформите за управление на мрежи и инженерните системи.

На 23 юни CISA добави уязвимостите в UniFi OS и Lantronix EDS5000 към каталога KEV. PTC потвърди и критичната CVE-2026-12569 в Windchill и FlexPLM.

Lantronix EDS5000 се използва широко в индустриални среди за свързване на серийни устройства към Ethernet мрежи. Компрометирането му може да осигури достъп до индустриалната инфраструктура.

PTC Windchill и FlexPLM се използват за управление на инженерна документация, жизнения цикъл на продуктите и производствени процеси.

Успешната атака може да доведе до изтичане на инженерни разработки, интелектуална собственост, документация и информация за веригата на доставки.

Организациите трябва незабавно да приложат наличните корекции или да изолират засегнатите системи, да ограничат публичния достъп, да сменят идентификационните данни, да прегледат логовете и да включат OT устройствата и PLM платформите в официалните процеси по управление на риска.

Оценка на въздействието върху бизнеса

Препоръчителни управленски действия

Незабавно (0–7 дни)

1. Потвърдете, че Chrome, Edge и всички Chromium-базирани браузъри са актуализирани.
2. Приложете актуализациите за Cisco Unified Communications Manager и Cisco Catalyst SD-WAN Manager.
3. Обновете Splunk Enterprise и ограничете достъпа до административните му услуги.
4. Обновете LiteLLM и сменете API ключовете или идентификационните данни, ако има съмнение за компрометиране.
5. Приложете корекциите за UniFi OS, Lantronix EDS5000 и PTC Windchill/FlexPLM.
6. Внедрете юнските актуализации на Microsoft върху критичните Windows системи, Exchange, SharePoint, Hyper-V и останалите сървъри.

Действия до 30 дни

1. Изолирайте платформите за управление на VPN, SD-WAN, SIEM, AI шлюзовете, системите за корпоративни комуникации, индустриалните среди и инженерните платформи.
2. Потвърдете прилагането на всички корекции чрез удостоверено сканиране за уязвимости.
3. Прегледайте административните и конфигурационните логове на Cisco, UniFi, Splunk, PTC и OT устройствата.
4. Сменете идентификационните данни на всички системи, които са били изложени на риск или компрометирани.
5. Добавете AI шлюзовете и индустриалните устройства към официалната инвентаризация на критичните активи.

Стратегически действия (до 90 дни)

1. Въведете процес за управление на уязвимостите от каталога CISA Known Exploited Vulnerabilities с целеви срок за реакция до 72 часа.
2. Определете SIEM платформите, SD-WAN системите, корпоративната телефония, AI шлюзовете и платформите за управление като активи от най-високо ниво на критичност.
3. Изградете процес за непрекъснато наблюдение на интернет достъпните услуги.
4. Формализирайте управлението на уязвимостите в индустриалните среди и засилете сегментацията между мрежите.
5. Интегрирайте доказателствата за приложените корекции в документацията по ISO 27001 и ISO 9001.

Доказателства по ISO 27001 / ISO 9001

Доказателства по ISO 27001

• записи за приложените актуализации
• документирани проверки на уязвимостите от каталога KEV
• резултати от сканиране за уязвимости
• отчети за актуалното състояние на браузърите
• доказателства за укрепване на Splunk
• инвентаризация на индустриалните активи
• записи за смяна на идентификационни данни
• логове от преглед на административния достъп

Доказателства по ISO 9001

• записи за коригиращи действия
• одобрени заявки за промени
• проследяване на сроковете за отстраняване на уязвимости
• анализ на причините при забавено прилагане на корекции
• матрица с определени отговорници за всяка дейност по отстраняване

Въпроси към ръководството

1. Отстраняват ли се всички активно експлоатирани уязвимости в рамките на 72 часа?
2. Инвентаризирани ли са всички Cisco, Splunk, UniFi, PTC, LiteLLM и индустриални активи?
3. Разглеждат ли се SIEM платформите, SD-WAN системите, корпоративната телефония и AI шлюзовете като активи с най-висок приоритет?
4. Може ли организацията да докаже, че приложените корекции са успешни чрез резултати от сканиране и системни логове?
5. Включени ли са индустриалните устройства и PLM платформите в процесите по управление на киберриска?

Основни изводи

Юни 2026 показва, че корпоративният риск все по-силно се концентрира около системите, които осигуряват управление, наблюдение и контрол върху инфраструктурата.

Засегнатите технологии вече не се ограничават до крайните устройства. Все по-често обект на атаки стават платформите, които управляват достъпа, наблюдават сигурността, контролират мрежите, подпомагат индустриалните процеси и съхраняват инженерна информация.

Това променя начина, по който организациите трябва да определят приоритетите си при управлението на уязвимостите.

Платформи като Splunk, Cisco SD-WAN, Cisco Unified Communications Manager, LiteLLM, UniFi OS, Lantronix и PTC Windchill не трябва да се разглеждат като обикновени инфраструктурни компоненти.

Те изискват по-строг контрол на достъпа, по-бързо прилагане на корекции, по-добра сегментация и доказателства, че всички мерки са приложени успешно.

Включването на AI шлюзовете и индустриалните устройства сред активно експлоатираните технологии показва също, че управлението на уязвимостите вече трябва да обхваща не само традиционните ИТ системи, но и новите технологични среди.

Заключение

Юни 2026 беше месец, през който активната експлоатация се разшири отвъд крайните устройства и засегна системите за управление на инфраструктурата, платформите за наблюдение на сигурността, AI шлюзовете, индустриалните устройства и инженерните среди.

Приоритетът вече не е само бързото прилагане на корекции.

Организациите трябва да могат да докажат, че уязвимостите са действително отстранени, че платформите за управление са изолирани, че активно експлоатираните уязвимости се проследяват своевременно и че целият процес се управлява с ясни доказателства и проследимост.

Особено внимание трябва да бъде отделено на системите, които управляват, наблюдават и свързват корпоративната инфраструктура, тъй като компрометирането им може да засегне едновременно множество критични бизнес процеси.

ThreatScope by ДИАМАТИКС се фокусира върху това как тези рискове се проявяват в реални оперативни среди и подпомага организациите да определят приоритетите си според реалния оперативен риск.

Източник: ThreatScope Monthly Research

Свържете се с DIAMATIX

Trusted · Innovative · Vigilant