ThreatScope

Рискове при Citrix NetScaler, F5 BIG-IP, WordPress и PeopleSoft | 23–29 септември 2026 г.

Период на наблюдение: 23–29 септември 2026 г.
Ниво на заплаха: Критично за засегнати системи, до които атакуващ може да достигне

🎧 Чуйте седмичния аудио обзор на ThreatScope

Обобщение за ръководството

Тази седмица ThreatScope разглежда уязвимости, засягащи интернет-достъпни шлюзове, инфраструктура за отдалечен достъп, публични уебсайтове и корпоративни приложения.

Най-спешните проблеми засягат Citrix NetScaler ADC / Gateway, където експлоатацията на две уязвимости е потвърдена. F5 BIG-IP APM също изисква незабавно внимание при наличие на конкретните условия в OAuth конфигурацията. При WordPress Core вече се наблюдават опити за експлоатация, а Oracle PeopleSoft CVE-2026-35273 отново изисква внимание, след като атакуващи адаптират техниките си, за да заобикалят част от използваните досега правила на защитните стени за уеб приложения (WAF). 

Има ли отношение този доклад към вашата организация?

Докладът е особено релевантен, ако организацията ви използва:

Основният въпрос не е само дали даденият продукт присъства в средата. Екипите трябва да установят точната версия, необходимите условия за експлоатация, външната достъпност и периода на изложеност.

Обобщение

Пет приоритетни уязвимости определят основните задачи за периода.

Citrix NetScaler CVE-2026-88771, с оценка CVSS 9.5 по CVSS v4.0, позволява изпълнение на команди без удостоверяване и не изисква активиране на допълнителна функция.

CVE-2026-88772, също с оценка 9.5, засяга NetScaler среди с активиран Datagram Transport Layer Security (DTLS). DTLS е включен по подразбиране при VPN виртуалните сървъри, освен ако не е изрично изключен. Citrix потвърждава експлоатацията и на двете уязвимости. 

F5 BIG-IP APM CVE-2026-94127 е препълване на буфер в динамичната памет, което може да позволи отдалечено изпълнение на код без удостоверяване. Уязвимостта е приложима при конкретна конфигурация. Политика за достъп на Access Policy Manager (APM) и OAuth профил трябва да са настроени на един и същ виртуален сървър. 

WordPress Core CVE-2026-87902 може да позволи включване на локален PHP файл без удостоверяване. Отдалеченото изпълнение на код е възможно само при наличие на допълнителни условия в средата. Patchstack наблюдава първоначално сканиране на 22 септември, а на 23 септември вече са отчетени заявки с опити за записване на PHP файлове. 

Oracle PeopleSoft CVE-2026-35273 не е новооткрита уязвимост. На 25 септември Mandiant и Google Threat Intelligence Group съобщават за подновена експлоатация, включително техники за заобикаляне на част от правилата на WAF. Наблюдаваната активност включва уеб обвивки, изпълнение на команди без записване на файлове на диска и инструменти за отдалечено управление. 

Ключови уязвимости

Оценките CVSS в използваните източници са по различни версии на системата и не трябва да се сравняват директно само като числа. Оперативният приоритет зависи от потвърдената експлоатация, достижимостта, конфигурацията и потенциалното въздействие върху бизнеса. 

Анализ на уязвимостите

Citrix NetScaler ADC / Gateway

CVE-2026-88771 и CVE-2026-88772

Статус: Потвърдена активна експлоатация

На 27 септември Citrix публикува информация за осем уязвимости в NetScaler. Две от тях изискват незабавно внимание поради потвърдена експлоатация.

CVE-2026-88771 позволява изпълнение на команди без удостоверяване и без необходимост от активиране на допълнителна функция.

CVE-2026-88772 представлява препълване на паметта и засяга среди с активиран DTLS. Тъй като DTLS е включен по подразбиране при VPN виртуалните сървъри, е необходимо да се провери реалната конфигурация.

Коригираните версии включват:

CERT-EU препоръчва незабавно актуализиране и проверка за компрометиране на засегнатите устройства, достъпни от интернет. 

Необходимо действие

Направете инвентаризация на всички NetScaler възли, включително резервните и тези за аварийно възстановяване. Приложете коригираната версия и проверете административната активност, промените в конфигурацията и необичайния изходящ трафик.

При съмнение за компрометиране установете кои услуги за удостоверяване, публикувани приложения, идентификационни данни и свързани системи също може да са били изложени, преди да считате възстановяването за приключено.

F5 BIG-IP APM – CVE-2026-94127

Статус: Потвърдена активна експлоатация

CVE-2026-94127 представлява препълване на буфер в динамичната памет и може да позволи отдалечено изпълнение на код без удостоверяване.

Уязвимостта е приложима, когато политика за достъп на APM и OAuth профил са конфигурирани на един и същ виртуален сървър. Това условие трябва да бъде проверено, преди системата да бъде определена като изложена.

F5 е публикувала коригиращи пакети за засегнатите версии. Когато незабавното им прилагане не е възможно, производителят предоставя и временно решение чрез iRule. 

Необходимо действие

Приоритизирайте достъпните отвън виртуални сървъри, които отговарят на условията за експлоатация.

Приложете подходящата корекция и проверете за повтарящи се OAuth грешки, подозрителна активност в административните журнали и свързани системни събития. Наличието на TMM core файл само по себе си не доказва експлоатация. Подозрителните събития трябва да бъдат потвърдени чрез съпоставяне на няколко източника на данни.

След отстраняването проверете удостоверяването, обработката на токени и достъпа до приложенията, както и действително работещата версия на всеки засегнат възел.

WordPress Core – CVE-2026-87902

Статус: Наблюдавани опити за експлоатация

CVE-2026-87902 засяга начина, по който WordPress обработва шаблоните на страниците, и може да позволи включване на локален PHP файл без удостоверяване.

Отдалеченото изпълнение на код е възможно само при допълнителни условия. То зависи от структурата на използваната тема и наличието на подходящ PHP компонент, който атакуващият може да използва.

Patchstack наблюдава първоначално сканиране от 22 септември и опити за записване на PHP файлове от 23 септември.

Коригираните версии включват WordPress 7.1.2, 7.0.6, 6.9.9 и 6.8.10, като има корекции и за други поддържани версии. 

Необходимо действие

Проверете директно инсталираната версия на WordPress Core, включително при корпоративни сайтове, маркетингови сайтове, временни кампанийни страници, тестови среди и сайтове, управлявани от външни доставчици.

Проверете целостта на файловете, потребителите с повишени права и последните промени по приложението. При системи, управлявани от външна страна, изискайте доказателство, че коригираната версия действително работи, вместо да разчитате само на потвърждение, че актуализацията е планирана.

При съмнение за компрометиране проверете правата, идентификационните данни и мрежовия достъп, с които разполага акаунтът на уеб услугата.

Oracle PeopleSoft – CVE-2026-35273

Статус: Подновена кампания за експлоатация

CVE-2026-35273 е по-ранна уязвимост в PeopleTools, която позволява отдалечено изпълнение на код без удостоверяване. Настоящият риск е свързан с ново развитие в активната експлоатация, а не с новооткрита уязвимост.

На 25 септември Mandiant и Google Threat Intelligence Group съобщават за подновена активност, свързана с ShinyHunters / UNC6240. Атакуващите използват кодирани пътища в заявките, за да заобикалят част от правилата на WAF, защитаващи Environment Management Hub.

Наблюдаваната активност включва уеб обвивки, изпълнение на команди без записване на файлове и инструменти за отдалечено управление. 

Необходимо действие

Проверете дали корекцията за сигурност на Oracle действително е инсталирана. Предишна задача, приключена само след добавяне на правило в WAF, не трябва да се счита за равностойна на отстраняване на уязвимостта в самия продукт.

Когато PeopleSoft се използва за човешки ресурси, заплати или други чувствителни процеси, в проверката трябва да участват собственикът на приложението, екипът за бази данни и екипът за реакция при инциденти.

При установен подозрителен достъп проверете както самата система, така и евентуалния достъп до чувствителни данни и идентификационни данни.

Какво изисква внимание тази седмица?

Интернет-достъпни шлюзове

Приоритет: Citrix NetScaler и F5 BIG-IP APM
Фокус: точни версии, условия в конфигурацията, външна достъпност, състояние на актуализациите и данни за евентуално компрометиране.

Публични уебсайтове

Приоритет: WordPress Core
Фокус: версия на ядрото, целостта на файловете, потребители с повишени права и сайтове, управлявани от външни доставчици.

Корпоративни приложения

Приоритет: Oracle PeopleSoft
Фокус: реално инсталиране на корекцията, случаи с приложена само WAF защита, уеб обвивки, изпълнение на команди и възможно излагане на данни.

Надеждност на разследването

Приоритет: Налични доказателства
Фокус: важно е да се прави разлика между „не са открити признаци“ и „компрометирането е изключено“. Надеждността на заключението зависи от наличните данни и периода, за който се съхраняват. 

Препоръчителни управленски действия

Незабавни действия: 0–7 дни

• Установете всички засегнати инсталации на Citrix, F5, WordPress и PeopleSoft.
• Потвърдете точните версии, необходимите условия в конфигурацията и външната достъпност.
• Приложете корекциите на производителите или одобрените временни мерки, когато са необходими.
• Проверете изложените NetScaler и BIG-IP системи за компрометиране.
• Проверете версиите на WordPress при корпоративни, маркетингови, тестови и управлявани от външни доставчици сайтове.
• Потвърдете, че при PeopleSoft е инсталирана корекцията на Oracle, а защитата не разчита само на WAF правила.
• Запазете необходимите данни за разследване преди повторно изграждане на подозрителни системи.
• При съмнение за компрометиране проверете потенциално изложените идентификационни данни, тайни и свързани системи.

Действия до 30 дни

• Потвърдете независимо отстраняването на уязвимостите на всички засегнати възли.
• Завършете и документирайте проверките за компрометиране на изложените системи.
• Проверете удостоверяването, достъпа до приложения и превключването към резервни системи след актуализиране на шлюзовете.
• Отстранете оставащите рискове при WordPress сайтове, управлявани от външни доставчици или хостинг компании.
• Прегледайте обхвата и срока за съхранение на журналите за засегнатите услуги.
• Подменете идентификационни данни и други тайни, когато разследването показва възможно излагане.
• Документирайте оставащите изключения, отговорниците за тях и сроковете за приключване.

Стратегически действия: до 90 дни

• Подобрете инвентаризацията на интернет-достъпните шлюзове и уебсайтовете, управлявани от външни доставчици.
• Намалете ненужната достъпност на административни интерфейси и услуги.
• Подобрете централизираното събиране и съхранение на журнали от устройства за сигурност и бизнес приложения.
• Прегледайте дали WAF правилата не се използват като заместител на налични корекции от производителя.
• Включете резервните, клъстерните и системите за аварийно възстановяване в процеса за управление на уязвимостите.
• Тествайте алтернативни начини за достъп преди спешна поддръжка на критична инфраструктура за отдалечен достъп.
• Определете ясни критерии за приключване, които обхващат отстраняването на уязвимостта, проверката за компрометиране и оперативното възстановяване.

Оценка на изложеността

Четири въпроса могат да помогнат за определяне на реалния приоритет тази седмица.

1. Била ли е уязвимата услуга достижима за атакуващ?
Проверете правилата на защитните стени, разпределителите на натоварване, настройките за отдалечен достъп и историческата достъпност.

2. Преминала ли е активността отвъд обикновено сканиране?
Съпоставете журналите на приложенията, активността на процесите, промените по файловете и мрежовите данни. Една злонамерена заявка сама по себе си не доказва успешно компрометиране.

3. До какво е имала достъп засегнатата система?
Проверете идентификационните данни, публикуваните приложения, базите данни, вътрешните услуги и административните пътища за достъп.

4. Има ли достатъчно данни за надеждно заключение?
Липсващи журнали или кратки срокове за съхранение могат да ограничат разследването. Тези пропуски трябва да бъдат документирани, вместо липсата на признаци да се приема като доказателство, че компрометиране не е имало. DIAMATIX_Weekly_Vulnerability_R…

Въпроси за ръководството

Ръководството и отговорниците за услугите трябва да установят:

• Използваме ли засегнати Citrix NetScaler или F5 BIG-IP системи, които са били достъпни отвън?
• Проверени ли са всички основни, резервни и предназначени за аварийно възстановяване възли?
• Управляват ли външни доставчици корпоративни или маркетингови WordPress сайтове и разполагаме ли с доказателство за актуализирането им?
• Действително ли е актуализиран Oracle PeopleSoft, или предишните мерки са били ограничени до WAF правила?
• При съмнение за компрометиране до кои идентификационни данни, приложения или набори от данни е можело да се достигне?
• Проследяват ли се отделно отстраняването на уязвимостта, проверката за компрометиране и оперативното възстановяване?

Случаят трябва да се счита за приключен едва когато коригираната версия е потвърдена в работещата среда, резултатите от проверката са документирани, подозрителната активност е изяснена и всяко оставащо изключение има определен отговорник. DIAMATIX_Weekly_Vulnerability_R…

Съответствие с ISO 27001 и ISO 9001

Действията в този доклад подпомагат основни практики за управление на информационната сигурност и качеството, включително:

• управление на активите и уязвимостите;
• сигурна конфигурация и управление на промените;
• регистриране и наблюдение;
• разследване и реакция при инциденти;
• управление на достъпа и идентификационните данни;
• коригиращи действия и независима проверка;
• ясно определена отговорност и управление на остатъчния риск.

При активно експлоатирани системи доказателството за отстраняване трябва да обхваща както техническата корекция, така и проверката за евентуално предходно компрометиране.

Нуждаете се от помощ при оценката на изложеността?

Ако организацията ви използва някоя от технологиите, разгледани тази седмица, започнете с проверка на точната версия на продукта, приложимата конфигурация, външната достъпност и периода на изложеност.

При съмнение за компрометиране проверката трябва да обхване и свързаните системи, идентификационните данни, промените в конфигурацията и наличните исторически данни.

ДИАМАТИКС подпомага организациите с оценка на изложеността, непрекъснато наблюдение на сигурността, управлявано откриване и реакция като услуга (MDRaaS), Център за операции по сигурността като услуга (SOCaaS) и реакция при инциденти.

Свържете се с нашия екип, за да обсъдим вашата среда.

Заключение

Приоритетите тази седмица засягат технологии, които често се намират директно между външните потребители и вътрешните услуги на организацията.

При Citrix NetScaler потвърдената експлоатация изисква бързо актуализиране и проверка за компрометиране на изложените устройства.

При F5 BIG-IP APM приложимостта зависи от конфигурацията. Екипите трябва да проверят конкретните условия за APM и OAuth, вместо да определят приоритета само според наличието на продукта.

При WordPress се наблюдават опити за експлоатация, но отдалеченото изпълнение на код изисква допълнителни условия. Трябва да бъдат проверени както версията, така и целостта на приложението.

При Oracle PeopleSoft подновената експлоатация показва защо WAF правило не трябва да замества налична корекция на самия продукт. Предишните действия по отстраняване трябва да бъдат проверени спрямо това, което действително е внедрено.

За засегнати системи, до които атакуващ може да достигне, практическият ред е:

Установяване на изложеността → Отстраняване → Проверка за компрометиране → Възстановяване → Потвърждаване

Източници

• Citrix. Предупреждение за сигурност
• CERT-EU
• F5. Предупреждение за сигурност
• Канадски център за киберсигурност
• Patchstack
• Oracle. Предупреждение за сигурност
• Google Threat Intelligence Group / Mandiant

Методология

ThreatScope от ДИАМАТИКС приоритизира потвърдената експлоатация, достижимостта за атакуващ, конкретната конфигурация и потенциалното оперативно въздействие. Приложимостта винаги трябва да се проверява спрямо реалните активи и средата на организацията.

Наличието на уязвима версия само по себе си не доказва компрометиране. По същия начин успешното отстраняване не доказва, че експлоатация не е настъпила преди прилагането на корекцията. 

Trusted · Innovative · Vigilant