ThreatScope

Обобщение за ръководството

Тази седмица ThreatScope разглежда три активно експлоатирани уязвимости, засягащи контрола на мрежовия достъп, инфраструктурата за защита на електронната поща и конкретни интеграции за архивиране в хостинг среди. Засегнатите технологии имат доверена роля в корпоративната инфраструктура, затова проверката трябва да обхване не само уязвимата система, но и услугите, идентификационните данни и свързаните системи, до които тя има достъп.

Най-висок оперативен приоритет има Cisco Identity Services Engine (ISE) / ISE-PIC CVE-2026-76460. Уязвимостта може да позволи на атакуващ без идентификационни данни, но с мрежов достъп до засегнатия интерфейс за програмна комуникация (API), да заобиколи удостоверяването и потенциално да изпълнява команди с root права.

Cisco Secure Email Gateway CVE-2026-76461 също се експлоатира активно. Компрометирането може да засегне обработката на електронната поща, а при клъстерни среди изложени SSH ключове могат да разширят обхвата към други устройства в същия клъстер.

Третата активно експлоатирана уязвимост, CVE-2026-87886, засяга конкретни Acronis интеграции за архивиране за cPanel & WHM и Plesk. Тя изисква предварително придобит локален достъп с ниски привилегии и не трябва да се обобщава като уязвимост във всички продукти на Acronis.

Има ли отношение този доклад към вашата организация?

Докладът е особено релевантен, ако организацията ви използва:

Основният въпрос тази седмица е какво управлява засегнатата система и до какво има достъп. Cisco ISE участва в решенията за мрежов достъп, Secure Email Gateway обработва служебната електронна поща, а интеграциите за архивиране работят с повишени привилегии върху хостинг системите.

Обобщение

Три активно експлоатирани уязвимости определят основните оперативни приоритети за периода.

Cisco ISE / ISE-PIC CVE-2026-76460 е с оценка CVSS 10.0. Недостатъчно защитена API функционалност може да позволи заобикаляне на удостоверяването и потенциално изпълнение на команди с root права. Не са необходими идентификационни данни, но атакуващият трябва да има мрежов достъп до засегнатия API. Cisco посочва, че засегнатите инсталации са уязвими независимо от конфигурацията.

Cisco Secure Email Gateway CVE-2026-76461, с оценка CVSS 9.8, позволява внедряване на SQL команди при обработката на електронна поща, което може да доведе до изпълнение на команди в операционната система с root права. Актуализацията на Cisco от 17 септември добавя и важно условие при възстановяването на клъстерни среди: изложени SSH ключове могат да позволят компрометиране и на други устройства в клъстера.

CVE-2026-87886 при Acronis интеграции за архивиране в хостинг среди, с оценка CVSS 7.8, е свързана с неправилни права върху файлове. Локален атакуващ с ниски привилегии може да променя файлове или пътища, използвани от привилегирована услуга за архивиране, и потенциално да достигне до изпълнение с root права. CSIRT Italia съобщава за активна експлоатация.

Периодът включва и по-широк пакет за укрепване на Cisco ISE, който отстранява допълнителни класове уязвимости, свързани с внедряване на команди, контрол на достъпа, защита на идентификационни данни, проверка на входните данни и управление на привилегиите. Тези слабости не трябва да се представят като отделни потвърдени кампании за експлоатация.

Ключови уязвимости

Трите уязвимости имат различни условия за експлоатация. Cisco ISE може да бъде атакуван отдалечено, когато засегнатият API е достижим. Secure Email Gateway може да бъде атакуван чрез специално подготвено електронно писмо, а уязвимостта в Acronis изисква предварително придобит локален достъп с ниски привилегии до Linux хоста.

Анализ на уязвимостите

Cisco ISE / ISE-PIC – CVE-2026-76460

Статус: Активно експлоатирана / CVSS 10.0

CVE-2026-76460 засяга Cisco Identity Services Engine (ISE) и ISE Passive Identity Connector (ISE-PIC).

Недостатъчната защита на API функционалността може да позволи на атакуващ да заобиколи удостоверяването и потенциално да изпълнява команди с root права. Не са необходими идентификационни данни, но е необходим мрежов достъп до засегнатия API.

Cisco посочва, че засегнатите инсталации са уязвими независимо от конфигурацията.

Коригираните версии включват:

Cisco не предоставя пълно временно решение. Като временна мярка може да се ограничи трафикът към интерфейсите за управление и контрол чрез списъци за контрол на достъпа в инфраструктурата.

Необходимо действие

Актуализирайте засегнатите системи до съответната коригирана версия и ограничете административния достъп, докато отстраняването приключи.

Прегледайте записите за API достъп на всеки възел, включително за подозрителни потребителски имена и неочаквана административна активност. Съпоставете локалните данни с независимо събрани мрежови записи и данни от системите за сигурност, тъй като информацията върху засегнатата система може да е непълна или изтрита.

Проверете за промени в правилата за оторизация, новодобавени администратори, API интеграции и доверени крайни устройства. Сравнете промените в конфигурацията с одобрените заявки за промяна.

При съмнение за злонамерена активност запазете необходимите доказателства и следвайте указанията на Cisco за възстановяване, които могат да включват повторно изграждане на засегнатите възли.

Cisco ISE – допълнително укрепване

Изданието на Cisco от 16 септември отстранява и други класове уязвимости с оценки до CVSS 10.0.

Те включват слабости, свързани с внедряване на команди, неправилен контрол на достъпа, неправилно прехвърляне на ресурси между защитени зони, недостатъчна защита на идентификационните данни, неправилна проверка на входните данни и управление на привилегиите.

Тези записи представляват групирани класове уязвимости и не трябва да се тълкуват като шест отделни наблюдавани кампании за експлоатация.

Има и важен аспект, свързан с жизнения цикъл на продукта. ISE 3.1 и 3.2 получават само корекции за уязвимости с критична тежест в тези издания, затова по-цялостното укрепване изисква миграция. Последната поддържана версия на ISE-PIC е 3.4, а версиите 3.0 и по-стари също изискват миграция.

Необходимо действие

Проследявайте отделно два резултата:

1. Отстраняване на активно експлоатираната уязвимост.
2. Завършване на необходимото допълнително укрепване или миграция.

Общ статус „актуализирано“ може да прикрие оставаща работа по сигурността.

Cisco Secure Email Gateway – CVE-2026-76461

Статус: Активно експлоатирана / CVSS 9.8

CVE-2026-76461 засяга Cisco Secure Email Gateway. Внедряването на SQL команди при обработката на електронна поща може да доведе до изпълнение на команди в операционната система с root права.

Коригираните версии включват:

Cisco препоръчва миграция към 16.5.0-780 и посочва, че устройствата в Secure Email Cloud са актуализирани.

Актуализацията от 17 септември добавя важно уточнение за клъстерните среди. Ако SSH ключовете на клъстера са били изложени чрез компрометирано устройство, може да се наложи проверка и възстановяване и на останалите устройства в него.

Необходимо действие

Актуализирайте засегнатите устройства и прегледайте записите за електронната поща и външния мрежов трафик за подозрителни SQL заявки и свързана активност.

Проверете за промени в маршрутизирането на електронната поща, препращането, филтрирането и правилата за карантина. Прегледайте администраторските акаунти и неочакваните промени в административния достъп.

При съмнение за компрометиране запазете данните, необходими за техническо разследване, преди възстановяването. Cisco препоръчва повторно изграждане на компрометираните виртуални устройства и подмяна на засегнатите идентификационни данни и криптографски материали.

При клъстерни среди установете дали компрометирането засяга и други устройства в клъстера, преди да считате възстановяването за приключено.

Acronis интеграции за архивиране в хостинг среди – CVE-2026-87886

Статус: Съобщена активна експлоатация / CVSS 7.8

CVE-2026-87886 е свързана с неправилни права върху файлове в конкретни Acronis интеграции за архивиране в Linux хостинг среди.

Засегнати са:

Локален атакуващ, който вече разполага с достъп с ниски привилегии до Linux хоста, може да променя файлове или пътища, използвани от привилегирована услуга за архивиране, и потенциално да достигне до изпълнение с root права.

В предупреждението се съобщава за активна експлоатация. Уязвимостта засяга конкретно тези интеграции и не трябва да се обобщава към всички продукти на Acronis.

Необходимо действие

Установете кои хостинг сървъри използват засегнатите интеграции и проверете точните инсталирани версии чрез административния инвентар.

Актуализирайте засегнатите инсталации до коригираните версии.

Проверете за неочаквани процеси с повишени права, промени в задачите за архивиране, променени файлове на услугите и неоторизиран достъп до идентификационни данни за архивиране.

Ако е установено предходно компрометиране на хоста, проверете независимо и средата за възстановяване. Успешният статус на задача за архивиране сам по себе си не доказва, че средата за възстановяване е надеждна.

Какво изисква внимание тази седмица?

Контрол на мрежовия достъп

Приоритет: Cisco ISE / ISE-PIC
Фокус: достъпност на API, заобикаляне на удостоверяването, изпълнение с root права, цялост на правилата за достъп и данни за компрометиране.

Сигурност на електронната поща

Приоритет: Cisco Secure Email Gateway
Фокус: експлоатация при обработката на електронна поща, административен достъп, надеждност на маршрутизирането, идентификационни данни, криптографски материали и връзки между устройствата в клъстера.

Хостинг и архивиране

Приоритет: Acronis интеграциите за cPanel & WHM и Plesk
Фокус: инсталирани версии, предходно компрометиране на хоста, процеси с повишени права, конфигурация на архивирането и надеждност на възстановяването.

Укрепване на инфраструктурата

Приоритет: жизнен цикъл и укрепване на Cisco ISE
Фокус: отделно проследяване на активно експлоатираната уязвимост и по-широките изисквания за миграция и укрепване.

Препоръчителни управленски действия

Незабавни действия (0–7 дни)

• Установете засегнатите инсталации на Cisco ISE / ISE-PIC, Secure Email Gateway и Acronis интеграциите за хостинг.
• Проверете точните инсталирани версии и реалната мрежова достъпност.
• Приложете съответните корекции, поддържани от производителя.
• Ограничете ненужния достъп до интерфейсите за управление и контрол на Cisco ISE.
• Започнете проверка за компрометиране на достижимите от потенциален атакуващ Cisco ISE системи.
• Прегледайте записите, административната активност и промените в правилата за електронна поща при Cisco Secure Email Gateway.
• Установете дали компрометирани Email Gateway устройства са част от клъстер и дали останалите устройства също трябва да бъдат проверени.
• Проверете засегнатите хостинг сървъри за неочаквана активност с повишени права и промени в услугите за архивиране.
• Запазете необходимите доказателства преди повторно изграждане или възстановяване на подозрителни системи.
• При установено или основателно предполагаемо компрометиране подменете изложените идентификационни данни, ключове и криптографски материали след ограничаване на инцидента.

Действия до 30 дни

• Завършете документираните проверки за компрометиране на засегнатите и достъпни системи.
• Потвърдете независимо, че са внедрени коригираните версии на софтуера и интеграциите.
• Прегледайте правилата за оторизация, администраторите, API интеграциите и доверените крайни устройства в Cisco ISE.
• Завършете необходимото укрепване на Cisco ISE или документирайте оставащите изисквания за миграция.
• Проверете маршрутизирането, филтрирането и правилата за карантина на електронната поща спрямо одобрените конфигурации.
• Проверете връзките между устройствата в клъстерите на Cisco Secure Email Gateway и състоянието на възстановяването.
• Потвърдете конфигурацията за архивиране, идентификационните данни и възможността за възстановяване на засегнатите хостинг системи.
• Прегледайте централното съхранение на журнали, така че разследването да не зависи единствено от информация, намираща се върху потенциално компрометирани системи.

Стратегически действия (до 90 дни)

• Подобрете сегментирането на административните интерфейси и услугите за управление на инфраструктурата.
• Намалете ненужната мрежова достъпност на административните API.
• Разделете спешното отстраняване на уязвимости от по-дългосрочната работа по жизнения цикъл и укрепването на платформите.
• Подобрете независимото събиране и съхранение на данни за сигурността.
• Прегледайте начина, по който идентификационни данни, ключове и доверени връзки се споделят между устройства в клъстер.
• Подобрете наблюдението за изпълнение с повишени права, произлизащо от процеси с ниски привилегии в хостинг средите.
• Включете проверката на надеждността на средата за възстановяване в оценките на сигурността на архивирането.
• Тествайте процедурите за реакция при компрометиране на инфраструктура за мрежов достъп и защита на електронната поща.

Оценка на корпоративната изложеност

Тази седмица приоритетите трябва да бъдат оценени чрез четири въпроса.

1. Може ли атакуващ да достигне до уязвимия компонент?

При Cisco ISE установете дали засегнатият API е бил достъпен от интернет, потребителски мрежи, VPN връзки, външни доставчици или други потенциално недоверени мрежови пътища.

При Acronis интеграциите за хостинг външната достъпност сама по себе си не означава, че уязвимостта може да бъде експлоатирана. Необходим е предварително придобит локален достъп с ниски привилегии до Linux хоста.

2. Какво управлява системата?

Cisco ISE може да влияе върху достъпа на служители, административния достъп, връзките на външни партньори и достъпа до оперативни мрежи.

Secure Email Gateway управлява обработката и маршрутизирането на служебната електронна поща.

Интеграциите за архивиране взаимодействат със средата за възстановяване и използват услуги с повишени права.

Затова оперативното въздействие трябва да се оценява според ролята на системата и доверените ѝ връзки, а не само според оценката CVSS.

3. Възможно ли е експлоатацията да е настъпила преди отстраняването?

При активно експлоатирани системи инсталирането на коригираната версия не доказва, че преди това не е имало компрометиране.

Прегледайте предходния достъп, промените в конфигурацията, административната активност и независимо събраните данни за периода на изложеност.

Ако записите са непълни, документирайте това ограничение, вместо липсата на доказателства да се приема като потвърждение, че системата не е била засегната.

4. Трябва ли възстановяването да обхване и други системи?

При компрометиран Cisco ISE възел може да е необходима проверка на правилата за достъп, администраторите и доверените крайни устройства.

Компрометиран Secure Email Gateway може да изложи идентификационни данни, криптографски материали и — при клъстерни среди — SSH ключове, използвани за комуникация с останалите устройства.

Компрометиран хостинг сървър може да постави под въпрос и надеждността на средата му за архивиране и възстановяване.

Затова обхватът на отстраняването трябва да следва тези връзки.

Постоянни мерки за сигурност

Екипите по сигурност трябва да продължат да:

• поддържат проверен инвентар на платформите за сигурност и инфраструктура;
• записват точните инсталирани версии и историята на актуализациите;
• ограничават административните интерфейси до одобрени мрежи;
• събират централизирано журналите за сигурност и да ги съхраняват за подходящ период;
• съпоставят локалната активност на устройствата с независимо събрани мрежови данни;
• наблюдават привилегированата административна и API активност;
• поддържат одобрени базови конфигурации;
• наблюдават за неочаквани промени в правилата за достъп и електронна поща;
• защитават идентификационните данни, сертификатите и криптографските материали;
• тестват независимо възможността за възстановяване от резервни копия;
• документират отговорниците за услугите, зависимостите и процедурите за възстановяване.

Въпроси за ръководството

Ръководството и управителните органи трябва да зададат следните въпроси:

• Използваме ли засегнати версии на Cisco ISE, ISE-PIC или Cisco Secure Email Gateway?
• Кои засегнати интерфейси са били достъпни през периода на изложеност?
• Проверени ли са достъпните Cisco ISE системи за компрометиране, а не само актуализирани?
• Има ли неочаквани промени в правилата за мрежов достъп или доверените крайни устройства?
• Може ли компрометирането на Email Gateway да засегне други устройства от същия клъстер?
• Проверени ли са идентификационните данни, сертификатите и криптографските материали, до които засегнатите устройства са имали достъп?
• Използват ли наши хостинг среди засегнатите Acronis интеграции за cPanel или Plesk?
• Ако хостинг сървър е бил компрометиран, проверена ли е независимо надеждността на средата за архивиране и възстановяване?
• Проследяват ли се по-широките изисквания за миграция на Cisco ISE отделно от спешната корекция?
• Кои изключения от отстраняването остават отворени и кой отговаря за свързания риск?

Съответствие с ISO 27001

Действията в този доклад подкрепят ключови области от Системата за управление на информационната сигурност (СУИС), включително:

• управление на активите и уязвимостите;
• управление на идентичностите и привилегирования достъп;
• контрол на мрежовия достъп;
• сигурна конфигурация;
• регистриране и наблюдение;
• разследване и реакция при инциденти;
• защита на криптографските материали;
• архивиране и възстановяване;
• управление на промените;
• управление на жизнения цикъл на технологиите;
• третиране на риска и преглед от ръководството.

При активно експлоатирани системи доказателствата за отстраняване трябва да включват както техническата корекция, така и подходяща проверка за евентуално предходно компрометиране.

Съответствие с ISO 9001

Препоръчаните действия подкрепят и принципите за управление на качеството чрез:

• ясно определена отговорност;
• контролирано управление на промените;
• документирани коригиращи действия;
• независима проверка на отстраняването;
• вземане на решения въз основа на доказателства;
• проверка на възстановяването;
• преглед от ръководството;
• непрекъснато подобрение.

Документацията за отстраняването трябва ясно да разграничава спешната корекция за сигурност от оставащата работа по миграция, укрепване или възстановяване.

Нуждаете се от помощ при оценката на изложеността?

Ако организацията ви използва някоя от технологиите, разгледани тази седмица, започнете с потвърждаване на точния продукт и версия, мрежовата достъпност, периода на изложеност и наличните данни за разследване.

При съмнение за компрометиране оценката трябва да обхване и свързаните системи, идентификационните данни, ключовете, промените в конфигурацията и зависимостите при възстановяване.

ДИАМАТИКС подпомага организациите с оценка на изложеността, непрекъснато наблюдение на сигурността, управлявано откриване и реакция като услуга (MDRaaS), Център за операции по сигурността като услуга (SOCaaS) и реакция при инциденти.

Свържете се с нашия екип, за да обсъдим вашата среда.

Заключение

Приоритетите тази седмица включват три различни условия за атака и тази разлика е важна за правилното отстраняване.

Cisco ISE CVE-2026-76460 може да бъде експлоатирана отдалечено без идентификационни данни, когато засегнатият API е достижим. Тъй като платформата участва пряко в решенията за мрежов достъп, проверката трябва да включва целостта на правилата, административните промени и доверените крайни устройства.

Cisco Secure Email Gateway CVE-2026-76461 изисква внимание както към самото устройство, така и към възстановяването. В клъстерни среди изложени SSH ключове могат да разширят необходимата проверка отвъд първоначално компрометираното устройство.

При Acronis CVE-2026-87886 условието е различно: атакуващият трябва вече да разполага с локален достъп с ниски привилегии до Linux хоста. След това уязвимостта може да осигури път към повишаване на привилегиите чрез засегнатата интеграция за архивиране за cPanel или Plesk.

За активно експлоатирани системи, до които атакуващ може да достигне, практическият ред е:

Установяване на изложеността → Ограничаване → Отстраняване → Проверка за компрометиране → Възстановяване → Потвърждаване

Целта не е само да се потвърди, че уязвимият софтуер е коригиран, а че засегнатата система и доверените връзки около нея могат безопасно да се върнат към нормална работа.

Източници

• Cisco – предупреждение за сигурност за ISE
• Cisco – указания за укрепване на ISE
• Cisco – предупреждение за сигурност за Secure Email Gateway
• Cisco – указания за възстановяване на Secure Email Gateway
• CSIRT Italia – предупреждение за сигурност
• CSIRT Toscana – предупреждение за сигурност
• Acronis SEC-10986

Методология

ThreatScope от ДИАМАТИКС се основава на проверена информация за уязвимости и киберзаплахи, като приоритизира потвърдената активна експлоатация, реалната достижимост за атакуващ, привилегиите на засегнатата система и оперативната ѝ роля.

Приложимостта трябва да бъде проверена спрямо действителния инвентар на активите, инсталираните версии, мрежовата достъпност и конфигурацията на организацията.

Наличието на уязвима версия само по себе си не потвърждава компрометиране. По същия начин успешното отстраняване не доказва, че експлоатация не е настъпила през предходния период на изложеност.

Предположенията при разследване трябва да бъдат проверени спрямо локалните журнали и обичайното административно поведение, преди да се използват като признаци за компрометиране или като основание за автоматизирано ограничаване.

Trusted · Innovative · Vigilant