ThreatScope

Месечен обзор на киберзаплахите

Август 2026

Период на наблюдение: 1 – 31 август 2026 г.
Ниво на заплаха: Критично

🎧 Чуйте месечния аудио обзор за август

Обобщение за ръководството

През август кибератаките се концентрираха около платформи, които управляват достъп, администриране, разпространение на софтуер и множество свързани системи. Вместо да се фокусират основно върху отделни крайни устройства, атакуващите многократно насочваха усилията си към технологии, чрез които едно компрометиране може да засегне множество потребители, системи и бизнес услуги.

През месеца CISA добави 31 потвърдено активно експлоатирани уязвимости към каталога за известни експлоатирани уязвимости (KEV). Сред най-значимите развития бяха атаките срещу N-able N-central, PaperCut NG/MF, NetScaler ADC/Gateway, Metabase, TrueConf, Zimbra, Oracle HTTP/WebLogic Proxy и няколко платформи за разработка и разпространение на софтуер.

Една от най-ясните тенденции беше насочването към централизирана инфраструктура за управление и сигурност. N-central беше използван за получаване на отдалечен административен достъп до управлявани крайни устройства, докато уязвимости в NetScaler и FortiWeb засегнаха технологии, разположени директно на границата между външните мрежи и вътрешната инфраструктура.

През август се засили и натискът върху разработката и веригата за доставка на софтуер. TeamCity, Gitea, JFrog Artifactory, Ray и други платформи разкриха пътища за атака към изходен код, инфраструктура за изграждане на софтуер, доверени пакети и последващи внедрявания.

Платформите за идентичност, съвместна работа и данни също останаха важни цели. Активна експлоатация засегна Metabase, Zimbra и ownCloud, докато критична уязвимост в Keycloak показа потенциалните последствия от слабости в процесите за възстановяване на пароли и управление на идентичности.

Оперативните технологии също останаха под натиск. Държавни агенции предупредиха за активно насочване към програмируеми логически контролери (PLC) Siemens S7, а допълнителни предупреждения засегнаха индустриални шлюзове, системи за управление на автопаркове и други оперативни устройства.

По-широкият извод от август е, че приоритетът на една уязвимост все повече зависи от това какво контролира засегнатата система и докъде може да достигне атакуващият след нейното компрометиране.

При интернет-достъпни системи с потвърдена активна експлоатация актуализацията остава задължителна, но трябва да бъде последвана от проверка за компрометиране, преглед и подмяна на идентификационните данни и проверка на свързаните системи.

Август накратко

Основни тенденции при заплахите

Централизираните системи за управление се превръщат във високостойностна цел

Една от най-ясните тенденции през август беше насочването към платформи, способни да управляват други системи.

Компрометирането на N-able N-central показа особено ясно потенциалното въздействие. Атакуващите заобиколиха удостоверяването, получиха отдалечен административен достъп и използваха легитимните функции за дистанционно управление срещу управлявани крайни устройства. Наблюдаваните механизми за запазване на достъпа включваха Cloudflare тунели, неоторизирани акаунти и подозрителни сесии за дистанционно управление.

PaperCut NG/MF показа сходна концентрация на риск. Две уязвимости бяха комбинирани във верига за отдалечено изпълнение на код преди удостоверяване. Наблюдаваната активност включваше разузнаване на системата, инсталиране на софтуер за отдалечен достъп и опити за установяване на постоянен привилегирован достъп.

Тези инциденти показват защо централизираните платформи трябва да получават по-висок приоритет при отстраняване на уязвимости. Компрометиран сървър за управление може да се превърне в доверен път към множество свързани системи.

Инфраструктурата за сигурност и отдалечен достъп остава под натиск

Самите технологии за сигурност бяха сред активно експлоатираните цели през месеца.

NetScaler ADC/Gateway, Fortinet FortiWeb и Cisco ASA/FTD бяха засегнати от потвърдена активна експлоатация.

Тези системи заемат особено чувствителна позиция, защото управляват VPN достъп, приложен трафик, политики за сигурност и връзките между външната и вътрешната инфраструктура.

Затова проверката след потенциално компрометиране на защитно устройство не трябва да приключва със самото устройство. Необходимо е да бъдат проверени администраторските акаунти, съхраняваните идентификационни данни, сертификатите, VPN сесиите, промените в конфигурацията и свързаните системи.

Платформите за идентичност, съвместна работа и данни остават привлекателни цели

Август показа продължаващо насочване към платформи, които съхраняват идентичности, комуникации и организационни данни.

Metabase CVE-2026-72898 позволява внедряване на SQL заявки без предварително удостоверяване. Потенциалните последствия включват превземане на администраторски акаунт, създаване на сесии или API ключове, кражба на идентификационни данни за свързани бази данни и достъп до бизнес информация.

Zimbra Collaboration беше засегната от активно експлоатирана уязвимост, която при определени конфигурации позволява изпълнение на команди на операционната система чрез специално създадени SMTP заявки.

ownCloud беше обект на активна експлоатация, позволяваща неавтентикиран достъп, промяна или изтриване на файлове.

Междувременно критична уязвимост в Keycloak показа потенциалното въздействие на слабостите в процесите за възстановяване на пароли, въпреки че към края на отчетния период не беше потвърдена активна експлоатация.

Тези проблеми отново показват необходимостта платформите за идентичност, съвместна работа и данни да бъдат третирани като инфраструктура с високо ниво на доверие, а не като обикновени приложения.

Инфраструктурата за разработка на софтуер вече е част от основната повърхност за атака

Август донесе значителна активност срещу среди за разработка и доставка на софтуер.

Активно експлоатирани уязвимости засегнаха JetBrains TeamCity, Gitea, JFrog Artifactory и Ray, докато Jenkins отстрани по-широка група от слабости.

Рискът не приключва с компрометирането на самия сървър за разработка.

Успешна атака срещу хранилища за изходен код, системи за изграждане на софтуер или хранилища за артефакти може да позволи злонамерени промени да достигнат до софтуерни пакети, контейнерни образи и производствени среди.

Уязвимостта в Artifactory е особено показателна. Нейната CVSS оценка е едва 5.3, но потвърдената активна експлоатация и ролята на Artifactory в разпространението на доверени софтуерни артефакти значително увеличават реалния оперативен риск.

Това потвърждава един по-широк принцип: техническата критичност и реалният оперативен риск невинаги са едно и също.

Операционните системи остават важна стъпка към по-високи привилегии

Месечният пакет за сигурност на Microsoft за август отстрани приблизително 415 уязвимости, включително една активно експлоатирана уязвимост от тип „нулев ден“ и 62 критични уязвимости.

Активно експлоатираната Windows AFD CVE-2026-68820 може да позволи локално повишаване на привилегиите до SYSTEM, докато допълнителни критични уязвимости засегнаха Windows DNS Server, Deployment Services, QUIC, iSCSI Target и DHCP Server.

Linux инфраструктурата също изискваше внимание. CVE-2026-53362, засягаща IPv6 мрежовата подсистема, може да позволи повишаване на привилегиите и при определени конфигурации — излизане от контейнер.

Тези уязвимости са особено важни за споделени сървъри, контейнерни хостове, инфраструктура за разработка и други среди, в които атакуващият може вече да разполага с ограничен достъп и да се стреми към по-високи права.

Автоматизацията увеличава мащаба на експлоатацията

Август предостави допълнителни доказателства, че автоматизацията променя начина, по който се експлоатират уязвимости.

Наблюдавани кампании срещу Windows и Linux сървъри използваха мащабни списъци с цели, публично достъпни експлойти, автоматизирано разузнаване и агентен изкуствен интелект за подпомагане на усъвършенстването на експлоитите и действията след компрометиране.

Един от наблюдаваните списъци съдържаше приблизително 170 000 URL адреса.

Това не означава, че всяка атака става напълно автономна. По-важният извод е, че автоматизацията позволява известни уязвимости и публично достъпни услуги да бъдат откривани и проверявани в значително по-голям мащаб.

Затова ограничаването на ненужния интернет достъп става все по-важно дори при уязвимости, които не са нови.

Оперативните технологии са обект на активно насочване

Оперативните технологии и индустриалните системи за управление (OT/ICS) останаха важна част от картината на заплахите през август.

CISA, NSA, FBI, Министерството на енергетиката и Агенцията за опазване на околната среда на САЩ предупредиха за активно насочване към програмируеми логически контролери Siemens S7, включително S7-200, S7-300, S7-400, S7-1200 и S7-1500.

Наблюдавани бяха интернет сканиране и генерирани с изкуствен интелект скриптове за взаимодействие с публично достъпни индустриални протоколи.

Допълнителни предупреждения през август засегнаха технологии на ABB, AVEVA, Johnson Controls, Rockwell Automation, Ebyte, Fuel-Boss и други производители.

За оперативните среди приоритетът остава комбинация от контролирано прилагане на актуализации, мрежово сегментиране, ограничен инженерен достъп, наблюдение и проверени процедури за възстановяване.

Рансъмуер атаките продължават да използват инфраструктурата за сигурност

През август беше публикувано и съвместно предупреждение на държавни агенции относно рансъмуера Gunra.

Наблюдаваният първоначален достъп включваше експлоатация на интернет-достъпни устройства на Fortinet. Свързаните с Gunra атакуващи комбинират криптиране на системите с предварителна кражба на данни, създавайки едновременно оперативно прекъсване и натиск чрез изнудване.

Кампанията потвърждава повтарящ се модел: публично достъпната VPN, защитна и инфраструктура за отдалечен достъп остава привлекателен път за първоначално проникване.

Затова организациите трябва да проверяват уязвимите устройства не само за наличие на актуализация, но и за предходно компрометиране, подозрителни VPN сесии, административни промени и признаци за изнасяне на данни.

Ключови уязвимости

Изложеност по индустрии

Заплахите през август засегнаха широк кръг организации, но няколко сектора са изложени на по-висок риск заради използването на централизирани системи за управление, инфраструктура за отдалечен достъп, среди за разработка и оперативни технологии.

Най-висок е рискът в среди, в които компрометирана платформа може да осигури достъп до множество клиенти, идентичности, крайни устройства, приложения или софтуерни компоненти.

При тези системи обхватът на потенциалното последващо компрометиране трябва да бъде пряк фактор при определянето на приоритета за отстраняване.

Оперативни приоритети

Незабавни действия (0–7 дни)

Организациите трябва първо да установят системите, засегнати от потвърдена активна експлоатация, и да определят дали те са били достъпни от интернет през периода, в който са били уязвими.

Препоръчителните действия включват:

• Приложете извънредните актуализации за интернет-достъпните системи с KEV уязвимости.
• Приоритизирайте N-central, PaperCut, NetScaler, FortiWeb, Metabase, TrueConf, Zimbra и Oracle proxy инфраструктурата.
• Премахнете ненужно достъпните от интернет административни интерфейси.
• Запазете необходимите журнали и доказателства, преди да възстановявате потенциално компрометирани системи.
• Проверете за неоторизирани акаунти, уеб обвивки, инструменти за отдалечен достъп, тунели и подозрителна административна активност.
• Подменете идентификационните данни, съхранявани или обработвани от системи, при които компрометиране не може да бъде изключено.
• Проверете свързаните крайни устройства и системи, когато има вероятност платформата за централизирано управление да е била компрометирана.
• Проверете целостта на резервните копия преди значителни действия по възстановяване.

Действия до 30 дни

След овладяване на най-непосредствената изложеност организациите трябва:

• да актуализират засегнатата Windows, Linux и macOS инфраструктура;
• да обновят TeamCity, Gitea, Artifactory, Ray и Jenkins;
• да проверят софтуерните артефакти и контейнерните образи, създадени през потенциалния период на изложеност;
• да прегледат привилегированите сесии, служебните акаунти, API токените и тайните за приложения;
• да оценят външната достъпност на системите за управление и отдалечен достъп;
• да проверят покритието на наблюдението върху инфраструктурата с висок риск;
• да прегледат външната достъпност на OT системите и пътищата за програмиране на индустриалните устройства;
• да завършат документирана проверка за компрометиране на интернет-достъпните системи с KEV уязвимости.

Стратегически приоритети (до 90 дни)

Дългосрочните подобрения трябва да бъдат насочени не само към намаляване на броя на уязвимостите, а и към ограничаване на въздействието при евентуално компрометиране.

Организациите трябва:

• да включат статуса в CISA KEV при определяне на приоритета на уязвимостите;
• да комбинират активната експлоатация, интернет достъпността, нивото на привилегии и обхвата към свързаните системи при определяне на приоритета;
• да изискват многофакторно удостоверяване и строг контрол на привилегирования достъп до системите за управление;
• да сегментират инфраструктурата за разработка и внедряване, хранилищата за артефакти и административните услуги;
• да поддържат надежден и актуален инвентар на всички външно достъпни активи;
• да въведат подписване на софтуерните артефакти и проверка на техния произход;
• да подобрят регистрирането и наблюдението върху критичните системи за управление;
• редовно да тестват сценарии за компрометиране на централизирани платформи;
• да подобрят сегментацията и контролирания административен достъп в OT средите.

Въпроси за ръководството

Ръководството и екипите по сигурност трябва да могат да отговорят на следните въпроси:

• Кои наши системи бяха засегнати от потвърдена активна експлоатация през август?
• Кои платформи за управление, VPN, сигурност и съвместна работа все още са достъпни от интернет?
• Съпоставени ли са всички 31 нови KEV уязвимости от август с нашия инвентар?
• Имала ли е някоя от засегнатите платформи привилегирован достъп до други системи?
• Извършени ли са проверки за компрометиране след извънредните актуализации?
• Подменени ли са идентификационните данни и сертификатите, когато компрометиране не може да бъде изключено?
• Възможно ли е компрометирана инфраструктура за разработка да е засегнала доверени софтуерни артефакти?
• Достатъчно изолирани и наблюдавани ли са платформите за отдалечено управление?
• Достъпни ли са индустриални контролери или техните интерфейси за управление извън специализираните OT мрежи?
• Можем ли да възстановим критичните платформи от доказано чисти резервни копия?
• Документирани ли са нерешените изключения и ясно ли е кой носи отговорност за свързания риск?

Тези въпроси превръщат управлението на уязвимостите от списък с технически проблеми в оценка на реалната организационна изложеност и потенциалното въздействие върху бизнеса.

Какво означава това за организациите?

Август подчертава важна промяна в начина, по който трябва да оценяваме риска от уязвимости.

Първо, ролята на системата има значение. Уязвимост в платформа, която управлява стотици крайни устройства, контролира отдалечен достъп или разпространява доверен софтуер, може да създаде значително по-голям организационен риск от технически по-критична уязвимост в изолирана система.

Второ, успешното актуализиране не възстановява автоматично доверието. Когато интернет-достъпна система е била уязвима през период на потвърдена активна експлоатация, организацията трябва да установи дали достъпът е бил осъществен преди отстраняването.

Трето, проверката на свързаните системи става все по-важна. Компрометирането на N-central може да засегне управляваните крайни устройства. Компрометирането на Artifactory или TeamCity може да засегне софтуерните компилации. Компрометирането на инфраструктура за идентичност или отдалечен достъп може да изложи идентификационни данни и свързани приложения.

Накрая, автоматизацията съкращава времето за реакция. Мащабното сканиране, публично достъпните техники за експлоатация и подпомаганите от изкуствен интелект процеси позволяват известни слабости да бъдат проверявани срещу огромен брой цели.

Практическият отговор следователно не е просто по-бързо актуализиране. Необходима е по-добра приоритизация според изложеността, активната експлоатация, привилегиите и обхвата към свързаните системи.

Прогноза за риска

На база наблюдаваната през август активност няколко риска вероятно ще останат актуални и през следващите седмици:

• продължаващо насочване към централизирани платформи за управление и отдалечен достъп;
• активна експлоатация на интернет-достъпни защитни устройства;
• засилен интерес към инфраструктурата за разработка и веригата за доставка на софтуер;
• продължаващо насочване към платформи за идентичност, електронна поща и съвместна работа;
• експлоатация на по-стари уязвимости там, където остарели системи остават публично достъпни;
• по-широко използване на автоматизация за откриване и експлоатация на уязвими услуги в голям мащаб;
• продължаващо насочване към оперативни технологии и индустриални системи за управление;
• използване на уязвими защитни устройства като първоначална точка за достъп при рансъмуер атаки.

Можем да очакваме атакуващите да продължат да предпочитат системи, които осигуряват високи привилегии и широк достъп до свързана инфраструктура, особено когато тези системи остават директно достъпни от интернет.

Заключение

Август 2026 г. потвърди една значима тенденция: атакуващите все по-често се насочват към платформи, които управляват други системи.

Компрометирано крайно устройство може да засегне един потребител. Компрометиран N-central сървър може да осигури достъп до множество управлявани устройства. Компрометиран NetScaler или FortiWeb може да засегне доверения достъп до вътрешни услуги. Компрометирана среда на TeamCity, Gitea или Artifactory може да повлияе върху софтуер, който впоследствие достига далеч отвъд първоначално засегнатия сървър.

Това променя начина, по който трябва да определяме приоритета за отстраняване.

Числовата оценка на една уязвимост е само част от решението. Активната експлоатация, външната достъпност, нивото на привилегии и обхватът към свързаните системи определят реалния оперативен риск.

Август показа и защо инсталирането на актуализация не трябва автоматично да означава, че проблемът е приключен. Ако уязвима интернет-достъпна система е била изложена през период на потвърдена активна експлоатация, организацията трябва да установи дали атакуващите са получили достъп преди инсталирането на корекцията.

Затова подходящата последователност за реакция е:

Ограничаване → Актуализиране → Проверка за компрометиране → Подмяна на идентификационните данни → Проверка на свързаните системи → Документирано приключване

Целта не е просто да бъде премахната уязвимостта.

Целта е да бъде потвърдено, че организацията отново може безопасно да се довери както на засегнатата система, така и на системите, които зависят от нея.

Съответствие с ISO 27001

Приоритетите, установени през август, подкрепят няколко области от Системата за управление на информационната сигурност (СУИС), съобразена с ISO/IEC 27001, включително:

• управление на активите;
• управление на уязвимостите и изложеността;
• управление на идентичностите и достъпа;
• контрол на привилегирования достъп;
• сигурна конфигурация;
• мрежова сигурност и сегментация;
• регистриране и наблюдение;
• откриване и реакция при инциденти;
• сигурност на доставчиците и веригата за доставка на софтуер;
• резервно копиране и възстановяване;
• сигурност на оперативните технологии;
• непрекъсваемост на дейността;
• оценка и третиране на риска.

Организациите трябва да съхраняват доказателства не само за успешно приложените актуализации, но и за проверката на резултата и извършените оценки за компрометиране, когато това е необходимо.

Съответствие с ISO 9001

Препоръките подкрепят и принципите за управление на качеството, определени в ISO 9001, включително:

• вземане на решения въз основа на риска;
• контролирано управление на промените;
• документирани коригиращи действия;
• проверка на резултатите от отстраняването;
• решения, основани на доказателства;
• преглед от ръководството;
• непрекъснато подобрение.

Интегрирането на управлението на уязвимостите и реакцията при инциденти в установените оперативни процеси подобрява последователността, отчетността и устойчивостта.

Нуждаете се от помощ при оценката на изложеността на вашата компания?

Откриването на засегната технология е само първата стъпка.

Организациите трябва да установят още:

• присъства ли засегнатата технология в средата;
• била ли е уязвимата система достъпна отвън;
• възможно ли е да е настъпила експлоатация преди отстраняването;
• били ли са изложени привилегировани идентификационни данни или административен достъп;
• необходимо ли е да бъдат проверени свързани системи или софтуерни артефакти;
• възможно ли е възстановяване от доказано чисто състояние.

DIAMATIX помага на организациите да преминат от откриването на уязвимости към непрекъсната видимост, проверка и оперативна устойчивост чрез:

• Център за операции по сигурността като услуга (SOCaaS);
• Управлявано откриване и реакция като услуга (MDRaaS);
• реакция при инциденти;
• управление на уязвимостите;
• дигитална криминалистика;
• виртуален директор по информационна сигурност (vCISO).

Свържете се с DIAMATIX

Източници

Този обзор се основава на публично достъпна информация, публикувана през август 2026 г., включително:

• каталог на CISA за известни експлоатирани уязвимости (KEV);
• предупреждения за сигурност от N-able, PaperCut, NetScaler, Fortinet, Microsoft, ownCloud, JFrog и други засегнати производители;
• Microsoft Security Response Center;
• Cisco Talos;
• предупреждения на CISA за индустриални системи за управление;
• съвместни предупреждения на държавни агенции за киберсигурност;
• публично достъпни технически анализи, публикувани през отчетния период.

Методология

ThreatScope от ДИАМАТИКС предоставя месечен оперативен обзор на уязвимостите, активността на заплахите и развитията в киберсигурността с най-голям потенциален ефект върху корпоративните среди.

Целта не е да бъдат повторени всички уязвимости, публикувани през месеца. ThreatScope приоритизира проблемите според фактори като:

• потвърдена активна експлоатация;
• включване в каталога на CISA за известни експлоатирани уязвимости (KEV);
• достъпност от интернет;
• оперативна значимост на засегнатата технология;
• нивото на привилегии, което може да бъде получено след експлоатация;
• потенциалният обхват към свързаните системи;
• възможностите за запазване на постоянен достъп;
• въздействието върху бизнеса и операциите.

За август тези фактори могат да бъдат обобщени в един практически принцип за приоритизация:

Изложеност × Активна експлоатация × Привилегии × Обхват към свързаните системи = Приоритет за отстраняване

Целта е екипите по сигурност и ръководството да приоритизират действията според реалния оперативен риск, а не само според техническата оценка за критичност.

Trusted · Innovative · Vigilant