Cisco Secure Firewall Management Center, VMware vCenter и рискове за критичната инфраструктура (29 юли – 4 август 2026 г.)

Период на доклада: 29 юли – 4 август 2026 г.
Ниво на заплаха: Критично

🎧 Чуйте аудио обзора на ThreatScope за тази седмица

Обобщение за ръководството

Настоящото издание на ThreatScope е доминирано от уязвимости, засягащи платформи за управление на сигурността, инфраструктура за виртуализация, рамки за разработка на уеб приложения, криптографски библиотеки и индустриални системи за управление (Operational Technology / Industrial Control Systems).

Голяма част от засегнатите технологии изпълняват централна роля в корпоративната инфраструктура. Поради това успешната им експлоатация може да засегне множество системи и бизнес процеси, а не само отделен сървър или приложение.

Най-висок оперативен приоритет тази седмица е CVE-2026-20316, засягаща Cisco Secure Firewall Management Center (FMC). Въпреки че официалната оценка по CVSS е 5.3, Cisco и CISA потвърждават активна експлоатация, а уязвимостта вече е включена в каталога Known Exploited Vulnerabilities (KEV). Наличието на вградени статични идентификационни данни може да предостави първоначален достъп, който впоследствие да бъде комбиниран с други уязвимости за разширяване на компрометирането.

Broadcom също публикува няколко критични уязвимости, засягащи VMware vCenter и VMware ESX, включително заобикаляне на удостоверяването и неавтентикирано отдалечено изпълнение на код.

Сериозни рискове тази седмица засягат още Ruby on Rails, OpenWrt, Bouncy Castle и Node.js, което отново поставя акцент върху управлението на зависимости и сигурността на веригата за доставка на софтуер.

Докладът включва и няколко нови предупреждения на CISA за индустриални системи (OT/ICS), които подчертават необходимостта от внимателно управление на уязвимостите в среди, където незабавното актуализиране невинаги е възможно поради производствени ограничения.

Отнася ли се този доклад за Вашата организация?

Настоящият доклад е особено важен, ако Вашата организация използва някоя от следните технологии или среди.

Ако използвате някоя от тези технологии, препоръчително е описаните тази седмица уязвимости да бъдат сравнени с Вашия регистър на активите и с текущия план за управление на уязвимостите.

Няколко от разгледаните проблеми засягат централизирани платформи за управление или софтуерни компоненти, които могат да присъстват едновременно в множество бизнес услуги.

Обобщение

През разглеждания период основният фокус беше насочен към уязвимости в платформи за централизирано управление, инфраструктура за виртуализация и широко използвани софтуерни компоненти, които присъстват в голям брой корпоративни приложения.

Най-висок оперативен приоритет е Cisco Secure Firewall Management Center.

Въпреки сравнително ниската оценка по CVSS, потвърдената активна експлоатация и включването в каталога CISA Known Exploited Vulnerabilities (KEV) превръщат тази уязвимост в най-спешния проблем за седмицата.

Това е още едно напомняне, че организациите не трябва да определят приоритетите си единствено въз основа на оценката по CVSS.

Broadcom публикува две критични уязвимости, засягащи VMware vCenter, които позволяват заобикаляне на удостоверяването и неавтентикирано отдалечено изпълнение на код. Допълнително беше публикувана и уязвимост за VMware ESX, която позволява изпълнение на код от виртуална машина към физическия хост.

Особено внимание заслужава и Ruby on Rails, когато се използва Active Storage заедно с графичната библиотека libvips. При успешна експлоатация могат да бъдат разкрити конфигурационни файлове, чувствителни идентификационни данни, облачни ключове и информация за базите данни, което впоследствие може да доведе до разширяване на компрометирането.

Допълнителни рискове тази седмица засягат OpenWrt, Bouncy Castle и Node.js, което още веднъж подчертава необходимостта организациите да поддържат актуална информация за използваните библиотеки и външни зависимости.

В края на седмицата CISA публикува и няколко нови предупреждения за индустриални системи за управление (OT/ICS). Макар подобни среди често да изискват планирани прозорци за поддръжка преди актуализиране, организациите трябва още сега да оценят степента на изложеност и при необходимост да приложат временни компенсиращи мерки.

Основни уязвимости

Анализ на уязвимостите

Cisco Secure Firewall Management Center — CVE-2026-20316

CVE-2026-20316 засяга Cisco Secure Firewall Management Center (FMC) и представлява най-високият оперативен приоритет тази седмица.

Уязвимостта се дължи на наличието на вградени статични идентификационни данни в засегнатите версии на продукта. Атакуващ, който има достъп до интерфейса за управление, може да използва тези идентификационни данни, за да получи достъп до чувствителна информация без валидни административни права.

Въпреки че официалната оценка по CVSS е едва 5.3, Cisco класифицира проблема като високорисков, тъй като той може да бъде комбиниран с други уязвимости във FMC за получаване на по-високи привилегии. Потвърдена е активна експлоатация, а уязвимостта вече е включена в каталога Known Exploited Vulnerabilities (KEV) на CISA.

Най-релевантно за

• големи предприятия;
• държавна администрация;
• финансов сектор;
• критична инфраструктура;
• организации, използващи Cisco Secure Firewall.

Как да проверите дали сте засегнати

Потвърдете следното:

• Използвате ли Cisco Secure Firewall Management Center?
• Достъпен ли е интерфейсът за управление от интернет?
• Инсталирана ли е публикуваната от Cisco корекция?
• Прегледани ли са журналите за дейност, свързана с package_info или /var/tmp/license.tmp?
• Има ли необичайни сесии с ниски привилегии или необясними административни промени?

Необходима реакция

Инсталирайте публикуваната от Cisco корекция възможно най-скоро.

Ограничете достъпа до системата за управление само чрез административни мрежи или VPN, проверете за индикатори за компрометиране и подменете идентификационни данни, API ключове и сертификати, ако не може да бъде изключен неоторизиран достъп.

VMware vCenter и VMware ESX

Broadcom публикува няколко критични актуализации за сигурност, засягащи платформите за виртуализация VMware vCenter и VMware ESX.

Сред тях са:

• CVE-2026-59309, позволяваща заобикаляне на удостоверяването в VMware Directory Service;
• CVE-2026-59310, позволяваща неавтентикирано отдалечено изпълнение на код чрез услугата Syslog на vCenter;
• CVE-2026-47876, позволяваща изпълнение на код от виртуална машина към физическия ESX хост чрез виртуалния мрежов адаптер VMXNET3.

Тъй като vCenter управлява централно виртуалната инфраструктура, успешното компрометиране може да засегне виртуални машини, административни акаунти, моментни снимки (snapshots) и операциите по управление на цялата среда.

Най-релевантно за

• центрове за данни;
• доставчици на облачни услуги;
• финансов сектор;
• здравеопазване;
• организации, използващи VMware.

Как да проверите дали сте засегнати

Потвърдете следното:

• Използвате ли VMware vCenter или VMware ESX?
• Инсталирани ли са последните актуализации на Broadcom?
• Ограничен ли е достъпът до vCenter само до административни мрежи?
• Прегледани ли са журналите за SSO удостоверяване, промени в ролите и активност на служебните акаунти?
• Има ли необичайно създаване на виртуални машини или експортиране на snapshots?

Необходима реакция

Незабавно актуализирайте VMware vCenter и всички засегнати ESX хостове.

Приоритетно актуализирайте системите, използващи VMXNET3, проверете целостта на резервните копия и потвърдете, че разполагате с работещ сценарий за възстановяване на критичната виртуална инфраструктура.

Ruby on Rails — CVE-2026-66066

CVE-2026-66066 засяга приложения, разработени с Ruby on Rails, които използват Active Storage заедно с библиотеката libvips.

Успешната експлоатация може да позволи на неавтентикиран атакуващ да прочете файлове, достъпни за Rails процеса, включително променливи на средата, конфигурационни тайни, идентификационни данни за бази данни, облачни токени и други чувствителни параметри.

Разкриването на тази информация може впоследствие да доведе до фалшифициране на потребителски сесии, ескалация на привилегии или изпълнение на код.

Най-релевантно за

• софтуерни компании;
• SaaS доставчици;
• платформи за електронна търговия;
• организации с публично достъпни приложения, разработени с Ruby on Rails.

Как да проверите дали сте засегнати

Потвърдете следното:

• Използвате ли Ruby on Rails?
• Използва ли приложението Active Storage с libvips?
• Разрешено ли е качването и обработката на изображения?
• Прегледани ли са журналите за необичайна активност при качване на файлове?
• Има ли вероятност да са разкрити конфигурационни тайни или идентификационни данни?

Необходима реакция

Актуализирайте до последната поддържана версия на Ruby on Rails.

Подменете всички потенциално компрометирани конфигурационни тайни, прегледайте журналите на хранилищата за файлове и ограничете достъпа на приложението до файловата система.

OpenWrt odhcpd — CVE-2026-53921

CVE-2026-53921 засяга компонента odhcpd DHCPv6 в OpenWrt.

Специално подготвена DHCPv6 заявка може да предизвика препълване на буфера в стека и да позволи неавтентикирано изпълнение на код с права на системния администратор.

Макар че експлоатацията изисква достъп до локалната мрежа, засегнатите устройства могат да представляват сериозен риск в корпоративни и индустриални среди.

Най-релевантно за

• телекомуникационни оператори;
• организации, използващи устройства с OpenWrt;
• индустриални среди;
• IoT инфраструктура.

Как да проверите дали сте засегнати

Потвърдете следното:

• Използвате ли устройства с OpenWrt?
• Налице ли са уязвими версии?
• Активиран ли е DHCPv6 там, където не е необходим?
• Прегледани ли са журналите за необичайна DHCPv6 активност?
• Има ли необясними рестартирания или сривове на устройствата?

Необходима реакция

Актуализирайте всички засегнати устройства.

Изключете ненужните DHCPv6 услуги, сегментирайте IoT и гост мрежите и наблюдавайте за необичайна DHCPv6 активност.

Bouncy Castle

Две нови уязвимости засягат широко използваната криптографска библиотека Bouncy Castle.

CVE-2026-58061 може да позволи обработване на декриптирани данни преди успешното удостоверяване при използване на режима CCM.

CVE-2026-59649 може да доведе до прекомерно използване на памет при обработване на злонамерени OpenPGP атрибути и съответно до отказ на услуга.

Тъй като Bouncy Castle често присъства като зависимост в други приложения, организациите трябва да проверят както директно използваните библиотеки, така и косвените зависимости.

Най-релевантно за

• финансов сектор;
• PKI инфраструктура;
• системи за цифров подпис;
• корпоративни Java приложения.

Как да проверите дали сте засегнати

Потвърдете следното:

• Използват ли се библиотеки Bouncy Castle?
• Установени ли са уязвими версии чрез инструментите за анализ на софтуерните зависимости?
• Засегнати ли са приложения за плащания, PKI или криптирана комуникация?
• Валидират ли приложенията удостоверяването преди обработване на декриптираните данни?

Необходима реакция

Актуализирайте всички засегнати версии на библиотеката.

Прегледайте използваните зависимости, обновете библиотеките и валидирайте начина, по който приложенията обработват криптографските операции.

Node.js

Node.js публикува актуализации за сигурност за поддържаните версии 22.x, 24.x и 26.x.

Корекциите отстраняват множество проблеми, включително уязвимости при HTTP/2, заобикаляне на модела за разрешения, проблеми при проверката на TLS сертификати и повторно използване на HTTPS идентичности.

Макар към момента да няма потвърдена активна експлоатация, организациите, използващи Node.js в производствена среда, трябва да включат тези актуализации в стандартния си процес за управление на уязвимостите.

Най-релевантно за

• софтуерни компании;
• SaaS доставчици;
• API платформи;
• облачни среди.

Как да проверите дали сте засегнати

Потвърдете следното:

• Кои версии на Node.js използвате?
• Инсталирани ли са последните актуализации за сигурност?
• Рестартирани ли са услугите след актуализирането?
• Прегледани ли са използваните зависимости?

Необходима реакция

Актуализирайте до последната поддържана версия на Node.js и рестартирайте всички засегнати услуги след приключване на актуализацията.

Активни кампании и използвани техники

Платформите за управление на сигурността остават сред основните цели

Докладът тази седмица потвърждава тенденция, която наблюдаваме през цялата 2026 година.

Вместо да атакуват отделни работни станции, атакуващите все по-често се насочват към централизирани платформи за управление, които им осигуряват широк контрол върху корпоративната инфраструктура.

Cisco Secure Firewall Management Center и VMware vCenter са типични примери.

Компрометирането на подобни системи може да предостави значително по-широк достъп в сравнение с компрометирането на единичен сървър или потребителско устройство.

Рискове във веригата за доставка на софтуер

Уязвимостите в Ruby on Rails, Bouncy Castle и Node.js още веднъж показват колко важно е организациите да познават всички софтуерни компоненти, които използват.

Необходимо е да се поддържа актуален регистър както на директно използваните библиотеки, така и на косвените зависимости, включени чрез външни пакети.

Индустриални системи (OT/ICS)

През изминалата седмица CISA публикува няколко предупреждения за уязвимости в индустриални системи, използвани в производството, енергетиката и критичната инфраструктура.

Когато незабавното актуализиране не е възможно поради производствени ограничения, организациите трябва да приложат временни компенсиращи мерки, включително сегментиране на мрежата, ограничаване на достъпа и засилено наблюдение до следващия планиран прозорец за поддръжка.

Какво заслужава внимание тази седмица?

Инфраструктура за управление на сигурността

Най-високият оперативен приоритет тази седмица е Cisco Secure Firewall Management Center.

Въпреки сравнително ниската оценка по CVSS, потвърдената активна експлоатация и възможността уязвимостта да бъде комбинирана с други слабости значително увеличават риска.

Организациите трябва да проверят интерфейсите за управление, да потвърдят, че корекциите са приложени успешно, и да анализират административната активност, преди да приемат, че рискът е отстранен.

Платформи за виртуализация

Организациите, използващи VMware vCenter и VMware ESX, трябва да дадат приоритет на актуализирането и да прегледат административната активност в средата за виртуализация.

Тъй като vCenter управлява централно виртуалната инфраструктура, успешното компрометиране може едновременно да засегне множество бизнес услуги.

Преди извършване на критични актуализации е препоръчително да бъдат проверени резервните копия и да бъде потвърдено, че процедурите за възстановяване са тествани.

Уеб приложения и софтуерни зависимости

Критичните уязвимости в Ruby on Rails, Node.js и Bouncy Castle подчертават значението на управлението на софтуерните зависимости.

Екипите по разработка и информационна сигурност трябва да потвърдят, че използваните инструменти за анализ на софтуерните компоненти и Software Bill of Materials (SBOM) идентифицират както преките, така и косвените зависимости.

Индустриални системи (OT)

Новите предупреждения на CISA обхващат технологии, използвани в производството, енергетиката и критичната инфраструктура.

Когато незабавното актуализиране не е възможно, трябва да бъдат приложени временни компенсиращи мерки като сегментиране на мрежата, ограничаване на публичния достъп, използване на списъци с разрешени приложения и засилено наблюдение до следващия прозорец за поддръжка.

Препоръчителни действия

Незабавни действия (0–7 дни)

• Инсталирайте публикуваните от Cisco корекции за засегнатите версии на Secure Firewall Management Center.
• Актуализирайте VMware vCenter и всички приоритетни ESX сървъри.
• Проверете кои приложения с Ruby on Rails са достъпни от интернет и актуализирайте уязвимите версии.
• Потвърдете, че административните интерфейси не са публично достъпни.
• Проверете за индикатори за компрометиране в Cisco FMC и VMware средите.
• Установете дали във Вашата инфраструктура се използват устройства с OpenWrt.

Действия до 30 дни

• Прегледайте използваните зависимости за уязвими версии на Bouncy Castle и Node.js.
• Подменете конфигурационни тайни, API ключове и идентификационни данни, ако има съмнения за неоторизиран достъп.
• Потвърдете, че платформите за виртуализация и управление на сигурността са достъпни само от административни мрежи.
• Прегледайте активността на привилегированите акаунти.
• Актуализирайте приоритетите в процеса по управление на уязвимостите, като отчитате наличието на активна експлоатация, а не само оценката по CVSS.

Стратегически действия (до 90 дни)

• Подобрете наблюдението на публично достъпните активи чрез непрекъснато управление на повърхността за атака.
• Усъвършенствайте процесите по управление на софтуерните зависимости.
• Разширете наблюдението на административните платформи в SIEM.
• Прегледайте процедурите за възстановяване на виртуализационната инфраструктура, платформите за управление на защитните стени и индустриалните системи.
• Използвайте натрупания опит при бъдещите оценки на риска и програмите за повишаване на осведомеността.

Оценка на корпоративната изложеност на риск

При определяне на приоритетите организациите трябва да си зададат четири въпроса.

1. Потвърдена ли е активна експлоатация?

Потвърдената активна експлоатация трябва незабавно да повиши приоритета за реакция, независимо от официалната оценка по CVSS.

Тази седмица най-ясният пример е Cisco Secure Firewall Management Center.

2. Достъпна ли е системата от интернет?

Публично достъпните административни интерфейси, платформите за виртуализация, уеб приложенията и услугите за отдалечено управление трябва да бъдат с най-висок приоритет.

3. Каква е ролята на системата за бизнеса?

Системите, които управляват виртуализацията, сигурността, разработката на софтуер или индустриалните процеси, обикновено представляват значително по-висок риск от отделните приложения.

4. Може ли организацията да се възстанови успешно?

Проверете не само резервните копия, но и процедурите за възстановяване, административните конфигурации, сертификатите, конфигурационните тайни и останалите критични компоненти.

Постоянни мерки за сигурност

Наред с актуализирането на системите организациите трябва да продължат да:

• поддържат актуален регистър на публично достъпните активи;
• наблюдават административната активност;
• валидират актуализациите чрез сканиране за уязвимости;
• преглеждат редовно използваните софтуерни зависимости;
• укрепват сигурността на веригата за доставка на софтуер;
• извършват търсене на признаци за компрометиране след потвърдена активна експлоатация;
• тестват процедурите за възстановяване на критичните системи;
• наблюдават непрекъснато индустриалните системи и платформите за управление.

Въпроси към ръководството

Ръководството на организацията следва да си зададе следните въпроси:

• Използваме ли някоя от технологиите, разгледани в настоящия доклад?
• Кои от нашите административни платформи са достъпни от интернет?
• Потвърдено ли е независимо, че всички критични актуализации са инсталирани успешно?
• Извършена ли е проверка за компрометиране на системите с потвърдена активна експлоатация?
• Достатъчно добре изолирани ли са платформите за управление на сигурността и виртуализацията?
• Поддържаме ли актуален регистър на използваните софтуерни зависимости?
• Можем ли да възстановим критичната инфраструктура в приемлив срок при инцидент?
• Документирани ли са всички останали изключения и официално ли е приет свързаният с тях риск?

Съответствие с ISO 27001

Препоръките в настоящото издание подпомагат няколко основни области на Система за управление на информационната сигурност (ISMS) съгласно ISO/IEC 27001, включително:

• управление на активите;
• управление на уязвимостите;
• сигурна конфигурация;
• управление на достъпа;
• регистриране и наблюдение на събития;
• реагиране при инциденти;
• мрежова сигурност;
• криптографски механизми;
• управление на доставчиците и софтуерните зависимости;
• архивиране и възстановяване;
• непрекъсваемост на бизнеса;
• управление и третиране на риска.

Всяка предприета мярка трябва да бъде подкрепена с доказателства. Самото инсталиране на актуализация не е достатъчно доказателство, че рискът е елиминиран.

Съответствие с ISO 9001

Дейностите, описани в настоящия доклад, подпомагат принципите на ISO 9001, като насърчават:

• вземане на решения, основано на риска;
• контролирано управление на промените;
• документиране на извършените действия;
• коригиращи и превантивни мерки;
• непрекъснато подобрение;
• управленски контрол върху оперативните рискове.

Нуждаете ли се от оценка на изложеността на риск?

Установяването, че използвате засегната технология, е само първата стъпка.

Организациите трябва да определят:

• дали засегнатите системи са били изложени на риск;
• дали има признаци за компрометиране;
• дали извършените корекции са независимо потвърдени;
• дали платформите за управление и използваните софтуерни зависимости са достатъчно защитени.

ДИАМАТИКС подпомага организациите при оценката на риска, проверката на извършените корекции и непрекъснатото наблюдение чрез услуги като Център за операции по сигурността като услуга (SOCaaS), Управляемо откриване и реагиране като услуга (MDRaaS) и Реагиране при инциденти.

Свържете се с нашия екип, за да обсъдим вашата среда.

Заключение

Уязвимостите тази седмица затвърждават тенденция, която наблюдаваме все по-често.

Атакуващите продължават да насочват усилията си към централизирани платформи за управление, инфраструктура за виртуализация и широко използвани софтуерни компоненти, чието компрометиране може да има значително отражение върху цялата организация.

Случаят с Cisco Secure Firewall Management Center показва, че приоритетите не могат да се определят единствено от оценката по CVSS. Потвърдената активна експлоатация, достъпността от интернет, критичността на актива и възможността за комбиниране с други уязвимости са факторите, които трябва да определят последователността на действията.

Същевременно критичните уязвимости във VMware, Ruby on Rails, OpenWrt, Node.js и Bouncy Castle подчертават значението на навременното актуализиране, добрата видимост върху използваните зависимости и непрекъснатото наблюдение на средата.

При индустриалните системи подобряването на сигурността трябва да бъде внимателно съобразено с непрекъсваемостта на производствените процеси чрез планирани прозорци за поддръжка и подходящи компенсиращи мерки.

Организациите, които съчетават своевременно актуализиране, валидиране на извършените промени, непрекъснато наблюдение и реално тествани процедури за възстановяване, ще бъдат значително по-подготвени да ограничат оперативния риск в една постоянно променяща се среда на заплахи.

Източници

• Cisco Security Advisory
• CISA Known Exploited Vulnerabilities (KEV)
• Broadcom Security Advisory VMSA-2026-0006.1
• Ruby on Rails Security Advisory
• OpenWrt Security Advisory
• Node.js Security Release (29 юли 2026 г.)
• National Vulnerability Database (NVD)
• CISA Industrial Control Systems (ICS) Advisories
• Публикувани през периода бюлетини на производители и технически анализи на изследователи по информационна сигурност

Методология

ThreatScope от ДИАМАТИКС комбинира информация от производители, правителствени агенции и проверени технически източници, за да приоритизира уязвимостите според оперативния риск, а не само според техническата им тежест.

При анализа се оценяват:

• наличие на потвърдена активна експлоатация;
• включване в каталога CISA Known Exploited Vulnerabilities (KEV);
• наличие на публично доказателство за експлоатация (Proof of Concept);
• достъпност на системата от интернет;
• значимост на засегнатата технология за бизнеса;
• потенциално въздействие върху дейността на организацията;
• вероятност за ескалация на привилегии, странично придвижване в инфраструктурата или установяване на постоянен достъп.

Настоящият доклад има за цел да подпомогне вземането на решения, основани на риска. Всяка организация следва да оцени приложимостта на разгледаните уязвимости спрямо собствените си активи, използваните версии на софтуера и специфичната си инфраструктура.

Trusted · Innovative · Vigilant