ThreatScope

Критични уязвимости в Cisco, Ivanti, BeyondTrust и корпоративната инфраструктура | 14–20 октомври 2026 г.

Период на наблюдение: 14–20 октомври 2026 г.
Ниво на заплаха: Високо за засегнатите и изложени системи

🎧 Чуйте седмичния аудио обзор на ThreatScope

Основни акценти

Отнася ли се този доклад до вашата организация?

Обобщение за ръководството

През периода 13–20 октомври вниманието е насочено към уязвимости в системи с разширени права за достъп до корпоративната инфраструктура. Потвърдената експлоатация при Cisco, Ivanti, BeyondTrust и Windows изисква приоритетна проверка от организациите, които използват засегнатите версии.

Рискът не се ограничава до първоначалното проникване. Компрометирано устройство за защита или отдалечена поддръжка може да изложи идентификационни данни, да позволи неоторизирани административни действия и да засегне други системи. Затова актуализацията трябва да бъде придружена от проверка за евентуален предходен достъп.

Основни уязвимости

Анализ на основните уязвимости

Cisco Secure Email Gateway: Компрометиране с най-високи системни права

Cisco потвърждава експлоатацията на CVE-2026-76519. Уязвимостта позволява изпълнение на команди с най-високи системни права чрез специално създаден прикачен файл. Засягането зависи от версията на AsyncOS, активираната функция File Reputation, включена в правилата за обработка на пощата, и версията на Content Scanner Tools.

Администраторите трябва да проверят дали използват Content Scanner Tools 25.3.0.5525 или по-нова версия и да приложат съответните указания за AsyncOS. При съмнение за компрометиране актуализацията не е достатъчна. Атакуващ с най-високи права може да премахне доказателства, а при свързани устройства е възможно да бъдат изложени общите ключове за защитен достъп. Cisco препоръчва компрометираните виртуални устройства да се инсталират наново, без да се пренася предишната конфигурация.

Ivanti Connect Secure: Кражба на идентификационни данни и затруднено откриване

CVE-2026-104935 е експлоатирана срещу устройства с версия 22.8R2.4, която е била актуална към началото на атаките. Наблюдаваните действия включват заобикаляне на удостоверяването, отдалечено изпълнение на код и повишаване на привилегиите. Установена е кражба на LDAP идентификационни данни, информация от Active Directory, пароли от LAPS и ключове за възстановяване на BitLocker.

Част от злонамерените действия се изпълняват в оперативната памет и възстановяват промененото състояние на системата. Следователно успешната проверка за целостта не е достатъчна, за да изключи компрометиране. Организациите трябва да приложат корекцията за съответната версия, да изолират подозрителните устройства и да разследват свързаните системи за управление на идентичности. Потенциално изложените данни за достъп, сертификати и ключове за възстановяване трябва да бъдат подменени след ограничаване на атаката.

BeyondTrust Remote Support: Проверете и привилегирования достъп

CVE-2026-102764 може да позволи операции с файлове без удостоверяване поради неправилна проверка на произхода на вътрешните съобщения. BeyondTrust потвърждава експлоатация в две клиентски среди през август, преди публичното оповестяване през октомври. Това доказва предходни атаки, но не означава, че през разглежданата седмица е наблюдавана масова кампания.

Корекцията BT26-05-RS е приложима за поддържаните версии от 24.3.1 до 26.2.3, а по-старите инсталации първо трябва да бъдат актуализирани. Средите, управлявани от производителя, са коригирани до 9 октомври. Организациите със собствени инсталации трябва да потвърдят прилагането на корекцията и да проверят привилегированите сесии, административните промени, данните за достъп до интегрирани системи и управляваните устройства.

Други важни развития

Microsoft Windows: CVE-2026-96951 е експлоатирана уязвимост в Windows Shell, която позволява заобикаляне на защитен механизъм чрез внедряване на команди. Приоритетни са октомврийските актуализации за административните работни станции и устройствата, обработващи външно съдържание. Проверете за подозрителни изтегляния, необичайни команди и неочаквани процеси.

AhsayCBS: След съобщения за неоторизиран достъп Ahsay публикува указания за CVE-2026-105133 и CVE-2026-105134. Коригираните версии включват 10.3.4.45 и 9.15.2.70 за съответните продуктови версии. Проверете за неоторизирани администратори, непознати файлове и необичайни местоназначения за копиране на данни. При потвърдено компрометиране възстановете средата от надеждна конфигурация и проверете резервните копия чрез пробно възстановяване.

Palo Alto Networks и Fortinet: За PAN-OS CVE-2026-0322 е докладвана силно ограничена експлоатация, която изисква високи административни права и достъп до интерфейса за управление. Експлоатация е докладвана и за Fortinet CVE-2025-61624, която изисква привилегирован достъп и може да позволи промяна или изтриване на файлове. Проверете версиите и административната активност.

SAP: Октомврийските актуализации отстраняват няколко критични уязвимости, включително CVE-2026-89111 в SAP Cloud SDK for Python с оценка 10.0. Тя може да изложи идентификационни данни на приложения. Корекцията е налична във версия 0.45.2 или по-нова. В разгледаните предупреждения няма потвърдена експлоатация на уязвимостите в SAP.

Препоръчителни действия

Незабавни приоритети — 0–7 дни: Установете засегнатите продукти и конфигурации. Приоритизирайте системите с потвърдена експлоатация, приложете корекциите и запазете доказателствата при съмнение за компрометиране. Проверете привилегированата активност и потенциално изложените данни за достъп.

В рамките на 30 дни: Потвърдете обхвата на актуализациите, прегледайте административния достъп до защитните устройства и платформите за поддръжка, проверете свързаните системи за управление на идентичности и тествайте възстановяването от надеждни резервни копия.

Стратегически приоритети — 90 дни: Усъвършенствайте контрола върху привилегирования достъп, наблюдението на защитната инфраструктура и процедурите за реакция при инциденти. Включете подмяна на изложени идентификационни данни, чисто възстановяване и проверка след отстраняване на уязвимостите.

Заключение

Уязвимостите от тази седмица показват защо инсталирането на корекция и приключването на инцидент са различни дейности. При системи с разширени права организацията трябва да потвърди не само че уязвимостта е отстранена, но и че идентификационните данни, конфигурациите и свързаните системи остават надеждни.

DIAMATIX подпомага организациите чрез непрекъснато наблюдение на сигурността, разследване на заплахи и координирана реакция при инциденти.

Trusted · Innovative · Vigilant

Източници: Предупреждения за сигурност на Cisco, Ivanti, Volexity, CISA, BeyondTrust, Microsoft, Ahsay, Palo Alto Networks, Fortinet, HKCERT, SAP и CERT-FR.

Методология: Обзорът приоритизира официалните предупреждения, наблюдаваната експлоатация и въздействието върху организациите. Статусът на експлоатация се разглежда отделно от оценката за критичност, а препоръчаните срокове са оперативни приоритети, не регулаторни изисквания.