ThreatScope

Месечен обзор за киберсигурност – март 2026

🎧 Чуйте кратък обзор на месечния доклад

Март 2026 показва промяна, която намалява времето за реакция.

Комбинацията от лесни за експлоатация уязвимости и бърза weaponization променя скоростта, с която се развиват инцидентите. Експлоатацията вече не се случва със закъснение. В някои случаи тя започва в рамките на часове след публикуване.

Паралелно с това атакуващите таргетират identity системи, AI инфраструктура, мобилни устройства и supply chain.

Всеки от тях дава възможност за контрол, а не просто начален достъп.

Основни уязвимости

Анализ на уязвимостите

Langflow RCE (CVE-2026-33017)

Експлоатирана в рамките на ~20 часа след публикуване.

Наблюдавано поведение:

• автоматизирано сканиране в интернет
• бърза интеграция в scanning инструменти

Влияние:

• начален достъп до AI pipeline-и
• извличане на креденшъли
• странично придвижване в cloud среди

Това показва модел. Новите технологии се включват в атакуващите вериги веднага след публикуване.

Oracle Identity Manager (CVE-2026-21992)

Уязвимост в identity слоя с висока стойност.

Влияние:

• административен достъп
• ескалация на привилегии
• потенциален пълен контрол върху домейн

Identity системите остават централен риск. При компрометиране те елиминират нуждата от допълнителни стъпки.

Qualcomm / Android (CVE-2026-21385)

Уязвимост в паметта с признаци за таргетирана експлоатация.

Влияние:

• компрометиране на устройство
• възможност за наблюдение

Това не е масова експлоатация, a съответства на таргетирани операции.

Microsoft Office екосистема

March Patch Tuesday адресира над 80 уязвимости.

Няма потвърдена експлоатация при публикуване.

Въпреки това:

• съществуват low-interaction сценарии
• документите остават надежден входен вектор

Исторически тези уязвимости се използват бързо в phishing кампании.

Реални модели на атаки

Таргетиране на AI инфраструктура

AI платформите вече са част от attack surface-а.

Наблюдения:

• бързо сканиране след публикуване
• атаки към публични API

Това създава нов оперативен риск- често липсва видимост върху тези среди.

Експлоатация на identity системи

Верига на атака:

неаутентифициран достъп → ескалация → контрол върху домейн

Този модел намалява сложността за атакуващите.

Mobile експлоатация

Таргетирани операции.

Използват се за:

• наблюдение
• компрометиране на конкретни устройства

Supply chain атаки

Засилен фокус върху:

• open-source зависимости
• CI/CD pipeline-и

Един вход, множество засегнати организации.

Атрибуция на заплахите

Публичната атрибуция остава ограничена, няма потвърдени конкретни APT групи.

Наблюдаваната активност съответства на класове оператори:

Моделът е ясен. По-важно е поведението, не конкретното име на група.

Стратегически препоръки

Незабавно (0–7 дни)

• пачване на интернет-достъпни системи
• приоритет: identity и AI инфраструктура
• при нужда – virtual patching (WAF / API защита)

Краткосрочно (1–4 седмици)

• сканиране на външната attack surface
• одит на API експозиции
• преглед на authentication механизми

Средносрочно (1–3 месеца)

• укрепване на IAM контроли
• подобряване на mobile endpoint видимост
• dependency tracking

Дългосрочно

• интеграция на threat intelligence в SOC
• мониторинг на exploit публикации
• намаляване на експозицията чрез сегментация и Zero Trust

Основни изводи

• времето за експлоатация се съкращава значително
• identity системите дават най-висок impact
• AI инфраструктурата вече е реална повърхност за атака
• mobile атаките са таргетирани
• supply chain рискът се разпространява между организации

Заключение

Март 2026 показва ясна промяна в темпото на атаките. Наблюдава се съкращаване на времето между публикуване на уязвимост и реалната ѝ експлоатация, като в някои случаи атаките започват в рамките на часове. Паралелно с това фокусът се измества към системи, които дават оперативен контрол върху средата, като identity инфраструктура, AI платформи и ключови интеграционни слоеве.

Това намалява времето за реакция и променя начина, по който трябва да се приоритизират защитните мерки. В този контекст сигурността зависи от способността за видимост, правилна оценка на риска и навременни действия.

ThreatScope се фокусира върху това как тези модели се проявяват в реални среди.

Източник: ThreatScope Monthly Research

Свържете се с DIAMATIX

Trusted · Innovative · Vigilant