ThreatScope

Месечен обзор по киберсигурност – май 2026

🎧 Чуйте нашия месечен обзор за месец май

Последният месечен анализ откроява ясна и устойчива тенденция в корпоративните среди.

Май 2026 беше доминиран от уязвимости, засягащи пощенски системи, управляваща мрежова инфраструктура, защитни технологии, Linux и cloud среди, хостинг платформи, системи за управление на съдържание, GPU драйвери и инструменти за разработка на софтуер.

Основният оперативен риск през този месец не се свежда до отделни уязвимости.

Атакуващите продължават да приоритизират доверената инфраструктура.

Microsoft Exchange, Microsoft Defender, Cisco SD-WAN, Fortinet платформите за сигурност, Linux системите и хостинг панелите все по-често се превръщат във високостойностни цели, защото осигуряват видимост, административна власт и централизирано управление в корпоративните среди.

Този месец потвърждава по-широка стратегическа промяна.

Атакуващите вече не се фокусират единствено върху крайни устройства или изолирани системи. Те все по-често таргетират управленските слоеве, защитните механизми, системите за идентичност и публичната цифрова инфраструктура, които могат да осигурят устойчивост и оперативни прекъсвания.

Май 2026 се характеризира с пет пресичащи се рискови теми:

• атаки срещу системи за сигурност и идентичност
• експозиция на Microsoft среди и експлоатация на пощенски системи
• компрометиране на управляващата мрежова инфраструктура
• повишаване на привилегиите в Linux и cloud среди
• компрометиране на публична уеб и хостинг инфраструктура

Приоритетни уязвимости – май 2026

Анализ на рисковите теми

Системите за сигурност и идентичност под атака

Критичните уязвимости във Fortinet FortiAuthenticator и FortiSandbox потвърждават продължаваща тенденция.

Самите защитни и identity технологии все по-често се превръщат в цел.

Fortinet посочва, че CVE-2026-44277 може да позволи на неавтентикирани атакуващи да изпълняват неоторизиран код или команди, докато CVE-2026-26083 засяга контрола за достъп в уеб интерфейсите на FortiSandbox.

Влияние:

• компрометиране на процесите по автентикация
• експозиция на VPN и MFA среди
• намалена видимост върху сигурността
• компрометиране на инфраструктурата за анализ на зловреден код

Когато защитните системи се превърнат в повърхност за атака, оперативното доверие отслабва отвътре.

Експозиция на Microsoft средите

Microsoft средите останаха една от най-сериозните области на риск през май.

Уязвимостта в Microsoft Exchange CVE-2026-42897 беше добавена в каталога CISA Known Exploited Vulnerabilities на 15 май, потвърждавайки активна експлоатация.

Паралелно с това Microsoft Defender уязвимостите CVE-2026-41091 и CVE-2026-45498 бяха добавени към KEV на 20 май.

Влияние:

• компрометиране на пощенски кутии и сесии
• повишаване на привилегиите след първоначален достъп
• намалени възможности за откриване на заплахи
• оперативни прекъсвания в доверени защитни технологии

Това показва продължаващия фокус на атакуващите върху комуникационната и защитната инфраструктура.

Компрометиране на управляващата мрежова инфраструктура

Уязвимостта Cisco Catalyst SD-WAN Controller CVE-2026-20182 представлява един от най-сериозните рискове през този месец.

Публичните анализи и NVD данните показват, че успешната експлоатация може да позволи на атакуващите да се автентикират като силно привилегировани вътрешни потребители.

Уязвимостта има CVSS 10.0 и присъства в CISA KEV.

Влияние:

• административно компрометиране
• експозиция на мрежовото управление
• манипулиране на трафика
• по-широк контрол върху инфраструктурата

Системите за централизирано управление все по-често се превръщат в основни оперативни цели.

Повишаване на привилегиите в Linux и cloud среди

Уязвимостта Linux kernel CVE-2026-46333, разкрита от Qualys през май, засяга Linux сървъри, CI/CD среди, cloud натоварвания и споделена инфраструктура.

Пачът беше публикуван на 14 май.

Влияние:

• изтичане на идентификационни данни
• локално повишаване на привилегиите
• риск от устойчивост след проникване
• компрометиране на cloud и споделени среди

Linux и cloud инфраструктурата остават привлекателни цели, защото поддържат критични натоварвания и привилегировани операции.

Публична уеб и хостинг инфраструктура

Публично достъпната инфраструктура остана силно таргетирана през целия май.

LiteSpeed User-End cPanel Plugin уязвимостта CVE-2026-48172 позволяваше на автентикирани cPanel потребители да изпълняват скриптове с root права и беше експлоатирана активно.

Ghost CMS уязвимостта CVE-2026-26980 беше използвана за компрометиране на над 700 уебсайта чрез ClickFix кампании.

Влияние:

• компрометиране на хостинг среда
• превземане на уебсайтове
• внедряване на зловреден код
• увреждане на репутацията и доверието на клиентите

Тези случаи потвърждават, че публичната уеб инфраструктура продължава да осигурява мащаб и видимост за атакуващите.

Оценка на бизнес въздействието

Препоръчителни управленски действия

Незабавно (0–7 дни)

1. Пачване на Cisco SD-WAN Controller за CVE-2026-20182
2. Прилагане на Microsoft Exchange mitigations за CVE-2026-42897
3. Пачване на FortiAuthenticator и FortiSandbox
4. Проверка на Microsoft Defender версиите
5. Пачване на LiteSpeed cPanel Plugin и Ghost CMS
6. Пачване на Linux системите, засегнати от CVE-2026-46333

Действия до 30 дни

1. Валидиране чрез vulnerability scans
2. Преглед на публично достъпните управленски интерфейси
3. Ротация на идентификационни данни и API ключове при съмнение за компрометиране
4. Преглед на административните логове в Exchange, Cisco, Fortinet, cPanel и Ghost
5. Обновяване на NVIDIA драйверите в GPU, VDI, AI/ML и инженерни среди

Стратегически действия до 90 дни

1. Внедряване на KEV-базиран процес за управление на уязвимостите
2. Изискване активно експлоатирани CVE да се отстраняват до 72 часа
3. Изолиране на управленските системи от потребителски и интернет мрежи
4. Одобрителен контрол върху инструменти и разширения за разработка
5. Интегриране на доказателства за уязвимости в ISO 27001 процесите

ISO 27001 / ISO 9001 области за доказателства

ISO 27001 доказателства

• записи за пачване
• резултати от vulnerability scans
• KEV прегледи
• административни логове
• Defender health отчети
• доказателства за Exchange mitigation
• планове за обработка на риска

ISO 9001 процесни доказателства

• corrective-action записи
• approvals за промени
• remediation SLA проследяване
• root-cause analysis при забавено обновяване
• remediation ownership matrix

Основни изводи

Май 2026 потвърждава ясен модел.

Атакуващите продължават да приоритизират управленски системи, защитни технологии, identity и пощенски платформи и публична уеб инфраструктура.

Тези системи все по-често представляват слоеве на оперативно доверие.

Когато бъдат компрометирани, атакуващите получават не само достъп, а и видимост, устойчивост и по-широк контрол.

Продължаващото таргетиране на доверената инфраструктура показва, че самата оперативна власт се превръща в основна цел.

Заключение

Май 2026 показва как корпоративният кибер риск все по-често се концентрира около доверената оперативна инфраструктура.

Месечната оценка на риска остава High, със стратегически приоритет върху проверката на пачовете, изолацията на управленските системи, наблюдението на KEV и отстраняването на проблемите, подкрепено с оперативни доказателства.

Организациите трябва да приоритизират видимостта, управлението и бързата реакция около системите, които поддържат бизнес операциите.

ThreatScope се фокусира върху това как тези рискове се проявяват в реални оперативни среди.

Източник: ThreatScope Monthly Research

Свържете се с DIAMATIX

Trusted · Innovative · Vigilant