ThreatScope

Критични уязвимости в PHP, NetScaler, VeloCloud и компрометирано издание на LiteLLM

Седмичен обзор на киберсигурността | 21–27 октомври 2026 г.

Ниво на заплаха: ВИСОКО за засегнатите и изложени системи

🎧 Чуйте нашия кратък аудио обзор

Основни акценти

Отнася ли се този доклад до вашата организация?

Обобщение за ръководството

Основното развитие през периода 21–27 октомври е PHP2Shell — две критични уязвимости в PHP, които могат да позволят отдалечено изпълнение на код без удостоверяване. Amazon наблюдава опити за експлоатация още от 17 октомври, преди публичното оповестяване. Това доказва опити за атаки, но не означава, че всички са били успешни.

Рискът обхваща не само уебсайтове. Citrix потвърждава засягане на интерфейсите за управление на NetScaler, а отделна уязвимост в PHP изисква допълнителни мерки. Същевременно Arista потвърждава експлоатация на уязвимост във VeloCloud Orchestrator, а компрометирано издание на LiteLLM разпространява зловреден код чрез легитимни канали за доставка на софтуер.

Основни уязвимости

Анализ на основните уязвимости

PHP2Shell: Критичен риск за уеб приложения и вградени PHP компоненти

CVE-2026-109618 и CVE-2026-109619 засягат обработката на заявки в PHP и могат да позволят отдалечено изпълнение на код без удостоверяване. Потенциално засегнати са среди с PHP-FPM, Apache mod_php, CGI, FrankenPHP и LiteSpeed, като mod_php е определен като особено рисков. Amazon наблюдава опити за експлоатация от 17 октомври, затова проверките трябва да обхванат и периода преди публичното оповестяване.

Коригираните версии са PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Организациите трябва да проверят версията на PHP, която действително обработва уеб заявките, а не само тази, която се показва в командния ред. При пакети от доставчици на операционни системи трябва да се проверят и специфичните корекции. След актуализацията е необходимо рестартиране на засегнатите процеси и преглед на подозрителни заявки, променени файлове, необичайни процеси и изходящи връзки от 17 октомври насам.

Отделната уязвимост CVE-2026-115560 не се отстранява с първоначалните корекции за PHP2Shell. Тя изисква специфична комбинация от настройки на сесиите и поведение на приложението. При засегнатите конфигурации временната защитна мярка е session.upload_progress.enabled=0, последвана от рестартиране на съответните процеси.

Citrix NetScaler: Рискът достига до административната инфраструктура

Citrix потвърждава, че поддържаните версии на NetScaler ADC и Gateway са засегнати, тъй като интерфейсите им за управление използват PHP. Рискът обхваща основния административен интерфейс, допълнителните мрежови интерфейси с разрешено управление и управлението на групи от устройства. NetScaler Console и SVM не са засегнати от този конкретен проблем.

Необходимо е административният достъп незабавно да се ограничи до одобрени устройства или специализирани мрежи за управление, без да се прекъсва необходимата оперативна свързаност. Разгледаното съобщение на Citrix предвижда корекции за 27 октомври, но не потвърждава конкретни коригирани версии или тяхното инсталиране при клиентите. Затова организациите трябва да проверят актуалните указания и действителното състояние на собствените си устройства.

Arista VeloCloud Orchestrator: Потвърдена експлоатация за повишаване на привилегиите

CVE-2026-114625 представлява уязвимост чрез внедряване на SQL заявки, която позволява на удостоверен потребител да получи операторски права и достъп до ограничени функции. Arista потвърждава активна експлоатация. Дори потребител с роля Enterprise Read Only може да изпълни първоначалното условие, ако има достъп до уеб интерфейса на Orchestrator.

Коригираните версии са 5.2.3.18, 6.1.3.10 и 6.4.2.12 за съответните продуктови линии. Според Arista услугите, управлявани от производителя, вече са актуализирани, докато собствените инсталации изискват действия от клиентите. Освен прилагането на корекцията трябва да се проверят операторските сесии, промените в конфигурацията и необичайните изходящи връзки. Тъй като платформата управлява мрежова инфраструктура, проверката трябва да обхване и конфигурациите на свързаните устройства.

LiteLLM: Злонамерен код чрез доверен канал за доставка на софтуер

На 21 октомври през компрометиран процес за публикуване е разпространена версия 1.107.0 на LiteLLM. Засегнатите Python пакети и образи за контейнери съдържат зловреден код за кражба на идентификационни данни и отдалечено изпълнение на команди. Инцидентът обхваща конкретни периоди на разпространение и обозначения на образи, включително latest, main-latest и main-stable. Според производителя частните корпоративни издания не са засегнати.

Организациите трябва да проверят използваните зависимости, записите от изграждането на приложенията, съхранените пакети и действително внедрените образи. При установено използване на засегнати компоненти е необходимо изолиране, запазване на доказателствата и възстановяване от проверени източници. Потенциално изложените ключове и данни за достъп до доставчици на изкуствен интелект, облачни услуги, хранилища и вътрешни системи трябва да бъдат отменени и подменени. Проверката трябва да обхване и разработчиците, както и автоматизираните среди за изграждане на софтуер.

Други важни развития

Nextcloud / Collabora: CVE-2026-110447 засяга вграденото приложение richdocumentscode във версии преди 26.4.303. При спрян вграден CODE сървър може да се изпълнят команди без удостоверяване. Необходимо е приложението да се актуализира до 26.4.303 или да се премахне. Само деактивирането му не е достатъчно. Самостоятелните сървъри Collabora Online не са засегнати.

Node.js и Brotli: CVE-2026-111497 засяга обработката на компресирани данни и може да доведе до срив, разкриване на информация от паметта или изпълнение на код. Коригираните версии на Node.js са 22.23.4, 24.22.1 и 26.12.1. На 26 октомври са публикувани и обновени пакети на PHP за Windows с корекция за Brotli. Необходимо е да се провери конкретната версия на инсталирания пакет, а не само версията на PHP.

Oracle: Октомврийският пакет съдържа 1295 нови корекции за сигурност в различни продуктови семейства. Това е броят на корекциите, а не на отделните уязвимости. Организациите трябва да определят приложимите актуализации според използваните продукти и да приоритизират изложените услуги и критичните бази данни.

Препоръчителни действия

Незабавни приоритети — 0–7 дни: Актуализирайте изложените PHP среди, ограничете административния достъп до NetScaler, отстранете уязвимостта във VeloCloud и установете дали са използвани компрометирани издания на LiteLLM. При съмнение за проникване запазете доказателствата, разследвайте активността и отменете изложените данни за достъп преди подмяната им.

В рамките на 30 дни: Потвърдете останалите актуализации за Collabora, Node.js, PHP за Windows и приложимите продукти на Oracle. Проверете потвържденията от доставчиците на хостинг, привилегирования достъп и произхода на внедрените софтуерни компоненти.

Стратегически приоритети — 90 дни: Подобрете проверките за произхода на софтуера, наблюдението на вградените компоненти и управлението на зависимостите. Включете в процедурите за реакция при инциденти подмяна на компрометирани идентификационни данни, възстановяване от проверени източници и потвърждаване на сигурността на свързаните системи.

Заключение

Случаите от тази седмица показват два различни пътя за компрометиране: уязвими компоненти, вградени в доверена инфраструктура, и злонамерен код, разпространен чрез легитимни канали за доставка на софтуер. Ефективното отстраняване на риска изисква проверка на реално работещите версии, разследване на възможно проникване и потвърждение, че изложените данни за достъп и свързаните системи са защитени.

DIAMATIX подпомага организациите чрез непрекъснато наблюдение на сигурността, разследване на заплахи и координирана реакция при инциденти.

Свържете се с DIAMATIX

Trusted · Innovative · Vigilant

Източници: Предупреждения за сигурност на PHP, AWS Security Blog, Citrix, Arista, LiteLLM, Nextcloud/GitHub, Node.js, Oracle, Red Hat и Канадския център за киберсигурност.

Методология: Информацията е приоритизирана според наблюдаваната експлоатация, условията за засягане и въздействието върху организациите. Опитите за атаки се разграничават от потвърденото компрометиране, а препоръчаните срокове са оперативни приоритети, не регулаторни изисквания.