ThreatScope

Обобщение за ръководството

Тази седмица ThreatScope разглежда 10 уязвимости, новодобавени към каталога на CISA за известни експлоатирани уязвимости (KEV), които засягат инфраструктура за мрежова сигурност, платформи за разработка на софтуер, инструменти за отдалечена поддръжка и браузъри.

Най-съществената потвърдена активност засяга Cisco Secure Firewall Management Center (FMC). Cisco Talos документира атаки, включващи кражба на идентификационни данни, запазване на постоянен достъп, обратни тунели и внедряване на рансъмуера Qilin. При уязвими FMC системи, които са били достъпни отвън, само прилагането на актуализацията за сигурност не е достатъчно — проверката за компрометиране е непосредствен приоритет.

Други важни събития включват заобикаляне на удостоверяването при Citrix NetScaler, експлоатирани уязвимости във Fortinet и MikroTik, произволен достъп до файлове в GitLab, две уязвимости в JFrog Artifactory и неоторизирано прехвърляне и изпълнение на файлове през активни сесии на ConnectWise ScreenConnect.

Google отстрани и поредна активно експлоатирана уязвимост в Chromium, а септемврийските актуализации за сигурност на Windows остават важен приоритет за крайните устройства.

Има ли отношение този доклад към вашата организация?

Този доклад е особено релевантен, ако организацията ви използва:

Дори отделните продукти да не присъстват във вашата среда, активността през тази седмица е релевантна за организации, които използват интернет-достъпна инфраструктура за сигурност и платформи с привилегирован достъп до други системи.

Обобщение

Между 9 и 11 септември CISA добави 10 уязвимости с потвърдени данни за активна експлоатация към каталога KEV. Те засягат Cisco, Fortinet, Citrix, Google, MikroTik, JFrog, ConnectWise и GitLab.

Най-висок приоритет има Cisco Secure FMC CVE-2026-20079 — уязвимост за заобикаляне на удостоверяването с оценка CVSS 10.0, която може да осигури изпълнение на код с root права. Cisco Talos потвърждава експлоатация и на CVE-2026-20316, свързана уязвимост със статични идентификационни данни. Наблюдаваната активност включва уеб обвивки, извличане на идентификационни данни, обратни тунели и внедряване на рансъмуер.

Citrix NetScaler CVE-2026-19490 представлява заобикаляне на удостоверяването, засягащо определени конфигурации на Gateway и AAA. Приложимостта зависи от внедрената версия и конфигурация, а Citrix не посочва временно решение.

GitLab CVE-2026-85706 е критична уязвимост за обхождане извън разрешения път до файлове в интерфейса за програмна комуникация (API) за хранилищата, която може да позволи на неавтентикиран атакуващ да чете произволни файлове от сървъра. Рискът може да се разпростре отвъд самия GitLab, ако достъпните файлове съдържат идентификационни данни за бази данни, материали за подписване или тайни за внедряване.

JFrog Artifactory CVE-2026-42016 и CVE-2026-42018 засягат оторизацията чрез токени и разкриването на вътрешен токен, докато ConnectWise ScreenConnect CVE-2026-84869 може да позволи прехвърляне и изпълнение на файлове през активни отдалечени сесии без разрешение или потвърждение от хоста.

При крайните устройства Chromium CVE-2026-87491 се експлоатира активно, а две уязвимости в Windows, добавени към KEV на 8 септември, остават част от текущите задачи по отстраняване.

Ключови уязвимости

Десетте нови KEV записа и основното им въздействие са описани в текущия изследователски доклад на ДИАМАТИКС.

Анализ на уязвимостите

Cisco Secure FMC – CVE-2026-20079 / CVE-2026-20316

Статус: Активно експлоатирани / CISA KEV

Cisco Secure Firewall Management Center представлява най-високия оперативен приоритет тази седмица.

CVE-2026-20079 е уязвимост за заобикаляне на удостоверяването с оценка CVSS 10.0, която може да осигури изпълнение на код с root права. Cisco Talos потвърждава експлоатация и на CVE-2026-20316, която е свързана със статични идентификационни данни и може да подпомогне последващо компрометиране.

Наблюдаваните атаки включват уеб обвивки, злонамерени Java инструменти, извличане на идентификационни данни, обратни тунели и внедряване на рансъмуера Qilin.

Значението на този риск се простира отвъд самия FMC сървър. Компрометирана платформа за управление може да осигури достъп до идентификационни данни и до инфраструктурата за сигурност, която управлява.

Необходимо действие

Приложете съответните корекции и за двете уязвимости и ограничете достъпа до управлението на FMC само до одобрени административни мрежи.

Проверете за неочаквани акаунти, промени в основната директория на уеб приложението, подозрителни Java процеси и изходящи тунели. Проверете идентификационните данни и управляваната инфраструктура, до които засегнатата FMC система е имала достъп.

Когато устройството е било достъпно отвън, докато е било уязвимо, проверката за компрометиране трябва да приключи преди случаят да бъде считан за затворен.

Citrix NetScaler – CVE-2026-19490

Статус: Активно експлоатирана / CISA KEV / CVSS 9.3

CVE-2026-19490 позволява заобикаляне на удостоверяването при определени конфигурации на NetScaler Gateway или AAA.

Приложимостта зависи както от версията, така и от конфигурацията. При някои засегнати версии е необходимо допълнително да има конфигурирано SAML действие. Citrix предоставя коригирани версии, но не посочва временно решение.

Необходимо действие

Сравнете точната версия и конфигурация на устройството с предупреждението на Citrix и приложете съответната коригирана версия.

Прегледайте неочаквани събития и сесии, свързани с удостоверяването, особено когато засегнатата услуга е била достъпна от интернет.

GitLab CE/EE – CVE-2026-85706

Статус: Активно експлоатирана / CISA KEV / CVSS 10.0

Интерфейсът за програмна комуникация (API) за хранилищата в GitLab съдържа уязвимост за обхождане извън разрешения път до файлове, която може да позволи на неавтентикиран атакуващ да чете произволни файлове от GitLab сървъра.

Засегнатите версии започват от 18.7. Коригираните версии включват 19.1.8, 19.2.6 и 19.3.2. По-старите засегнати версии трябва да бъдат мигрирани към поддържана коригирана версия.

Оперативното въздействие зависи в голяма степен от това какви файлове могат да бъдат прочетени. Конфигурационните файлове могат да съдържат идентификационни данни за бази данни, материали за подписване или тайни за внедряване, което може да разшири потенциалното компрометиране към средите за непрекъсната интеграция и доставка (CI/CD).

Необходимо действие

Актуализирайте до съответната коригирана версия и прегледайте достъпа през API по време на периода на изложеност.

Установете дали е било възможно да се достигне до чувствителни конфигурационни файлове. Подменете идентификационните данни и тайните според потвърдената или основателно предполагаема изложеност и проверете достъпа към свързаните CI/CD системи.

JFrog Artifactory – CVE-2026-42016 / CVE-2026-42018

Статус: Активно експлоатирани / CISA KEV

Две нови активно експлоатирани уязвимости в Artifactory засягат сигурността на токените.

CVE-2026-42016 е свързана с неправилна проверка на обхвата на токените и повишаване на привилегии. CVE-2026-42018 може да разкрие вътрешен токен за анонимен потребител дори когато анонимният достъп е изключен.

Тъй като Artifactory разпространява пакети и контейнерни образи, на които други системи се доверяват, оценката трябва да обхване както самото хранилище, така и потенциално засегнатия софтуер в свързаните системи.

Необходимо действие

Изберете версия за актуализиране, която отстранява и двете уязвимости, както и други приложими проблеми в Artifactory, вместо да използвате минималната версия, която коригира само една от тях.

Прегледайте издаването на токени, административните промени, правата върху хранилищата и промените по артефактите. При съмнение за компрометиране проверете пакетите и контейнерните образи, разпространявани през периода на изложеност.

ConnectWise ScreenConnect – CVE-2026-84869

Статус: Активно експлоатирана / CISA KEV / CVSS 9.9

CVE-2026-84869 засяга клиента на ScreenConnect и активните отдалечени сесии. При определени условия файлове могат да бъдат прехвърляни и изпълнявани без разрешение или потвърждение от хоста.

ConnectWise посочва, че самите ScreenConnect сървъри не са засегнати от тази уязвимост. Коригираната версия е 26.6.5. Облачните инсталации са актуализирани, докато локално управляваните среди трябва да следват поддържания път за актуализиране.

Необходимо действие

Актуализирайте засегнатите ScreenConnect клиенти и агенти за достъп и проверете дали актуализацията действително е приложена.

Проверката само на версията на сървъра не потвърждава, че крайните устройства са защитени. Прегледайте активността в отдалечените сесии, неочакваното прехвърляне на файлове и изпълнението им върху управляваните крайни устройства.

Допълнителни приоритети за корпоративната среда

Fortinet и MikroTik

Fortinet CVE-2025-25249 е активно експлоатирана уязвимост от тип препълване на буфер в паметта, която засяга FortiOS и FortiSwitchManager. Достъпна отвън засегната услуга може да позволи неавтентикирано отдалечено изпълнение на код.

Приоритизирайте интернет-достъпните устройства и прегледайте привилегированите акаунти, промените в конфигурацията и необичайната изходяща комуникация.

Две активно експлоатирани уязвимости в MikroTik RouterOS също изискват внимание. CVE-2026-67277 може да разкрие съдържание от паметта на ядрото или да предизвика рестартиране на устройството, докато CVE-2026-86060 може да позволи повишаване до административни привилегии чрез обработката на потребителското име при SSH.

Актуализирайте до поддържана коригирана версия, ограничете SSH достъпа до доверени мрежи и след актуализирането прегледайте потребителите, скриптовете и конфигурацията.

Google Chromium и Windows

Google потвърждава активна експлоатация на CVE-2026-87491 — уязвимост за запис извън границите на паметта в Chromium V8.

Коригираните версии на Chrome 153 за настолни системи са 153.0.8010.36 за Linux и 153.0.8010.36/.37 за Windows и macOS. Разпространете текущата стабилна версия и потвърдете рестартирането на браузъра.

Две уязвимости в Windows, добавени към KEV на 8 септември, също остават актуални:

• CVE-2026-81963 – Windows Update Stack;
• CVE-2026-85880 – препълване на буфер в паметта на Windows.

Те не са част от 10-те нови записа за тази седмица, но трябва да останат сред активните задачи по отстраняване.

Наблюдение на сигурността при OT и здравеопазването

На 10 септември CISA публикува или актуализира няколко релевантни предупреждения.

AVEVA Pipeline Integrity Monitor: сравнете внедрените версии с актуалното предупреждение и координирайте отстраняването с оперативните екипи.

NextGen Healthcare Mirth Connect: проверете инсталациите до версия 4.7.1 включително и прегледайте външната достъпност на интеграционните услуги.

Orthanc DICOM Server: проверете инсталациите преди версия 1.13.0 за CVE-2026-87020.

ST Engineering iDirect iQ-Series: проверете засегнатите модели терминали и техния вграден софтуер спрямо актуализираното предупреждение.

Тези предупреждения са отделни от регистъра с потвърдена активна експлоатация и трябва да бъдат приоритизирани според реалното внедряване и изложеност.

Какво заслужава внимание тази седмица?

Инфраструктура за мрежова сигурност

Приоритет: Cisco FMC, NetScaler, Fortinet и MikroTik
Фокус: външна достъпност, административен достъп, идентификационни данни, промени в конфигурацията, постоянен неоторизиран достъп и изходящи връзки.

Доставка на софтуер

Приоритет: GitLab и JFrog Artifactory
Фокус: конфигурационни файлове, тайни, токени за достъп, права върху хранилищата, цялост на артефактите и достъп до свързаните CI/CD системи.

Отдалечена поддръжка

Приоритет: ConnectWise ScreenConnect
Фокус: версии на клиентите и агентите, активни сесии, неочаквано прехвърляне и изпълнение на файлове.

Крайни устройства

Приоритет: Google Chrome и Windows
Фокус: разпространение на актуализациите, рестартиране на браузъра и потвърждение на коригираните версии.

Оперативни технологии и здравеопазване

Приоритет: AVEVA, Mirth Connect, Orthanc и iDirect
Фокус: приложимост, външна достъпност, поддържани версии и контролирано отстраняване.

Препоръчителни управленски действия

Незабавни действия (0–7 дни)

• Установете засегнатите KEV активи и определете кои от тях са били достъпни отвън през периода на уязвимост.
• Приложете необходимите корекции за Cisco FMC, NetScaler, Fortinet, MikroTik, GitLab и Artifactory.
• Извършете проверка за компрометиране на интернет-достъпните Cisco FMC системи, включително акаунти, идентификационни данни, промени в уеб директориите, Java процеси и изходящи тунели.
• Актуализирайте ScreenConnect клиентите и агентите за достъп до коригираната версия и прегледайте историята на активните сесии.
• Разпространете текущата стабилна версия на Chrome и потвърдете рестартирането на браузъра.
• Проверете дали чрез GitLab е било възможно да бъдат прочетени идентификационни данни, материали за подписване или тайни за внедряване.
• Запазете необходимите журнали и доказателства за техническо разследване преди възстановяване или повторно изграждане на подозрителни системи.
• Подменете идентификационните данни и токените, когато изложеността е потвърдена или има основателно съмнение за такава.

Действия до 30 дни

• Завършете документирани проверки за компрометиране на интернет-достъпните KEV активи.
• Потвърдете коригираните версии чрез удостоверен инвентар или сканиране за уязвимости.
• Прегледайте администраторските акаунти, токените, отдалечените сесии и постоянните тунели в засегнатата инфраструктура.
• Проверете артефактите в Artifactory и свързания софтуер, когато компрометиране на хранилището не може да бъде изключено.
• Прегледайте идентификационните данни и връзките за достъп на GitLab към CI/CD системите.
• Потвърдете внедряването на съответните септемврийски актуализации за сигурност на Windows.
• Проверете внедряванията на AVEVA, Mirth Connect, Orthanc и iDirect спрямо актуалните предупреждения.
• Прегледайте външната достъпност на инфраструктурата за мрежово управление, отдалечена поддръжка и разработка.

Стратегически действия (до 90 дни)

• Намалете директната интернет достъпност на интерфейсите за управление на сигурността и администриране.
• Засилете контрола на привилегирования достъп до инфраструктурата за мрежова сигурност.
• Третирайте платформите за управление като високостойностни активи според системите и идентификационните данни, които контролират.
• Засилете управлението на чувствителните идентификационни данни и тайните в GitLab, CI/CD и софтуерните хранилища.
• Въведете проверка на свързаните софтуерни артефакти, когато целостта на хранилището може да е била засегната.
• Въведете проверката за компрометиране като задължителен критерий за приключване при интернет-достъпни KEV системи.
• Подобрете наблюдението за уеб обвивки, обратни тунели и неочаквана активност през инструменти за отдалечена поддръжка.
• Тествайте сценарии за реакция при инциденти, включващи компрометиране на инфраструктура за управление на сигурността.

Оценка на корпоративната изложеност

Активността през тази седмица трябва да бъде оценена чрез четири въпроса.

1. Беше ли системата достъпна отвън?

Cisco FMC, NetScaler, Fortinet, MikroTik и други услуги за управление изискват значително по-висок приоритет, когато уязвимите интерфейси са били достъпни от недоверени мрежи.

Изложеността трябва да бъде установена, преди отстраняването да се счита за приключено.

2. До какви системи и привилегии имаше достъп?

Засегнатите платформи заемат позиции с високо ниво на доверие.

Cisco FMC управлява инфраструктура за сигурност. GitLab и Artifactory участват в процесите за разработка и доставка на софтуер. ScreenConnect осигурява отдалечен достъп до крайни устройства.

Следователно компрометирането може да се разпростре отвъд първоначално уязвимата система.

3. Беше ли възможна експлоатация преди отстраняването?

При системи, включени в KEV, успешното актуализиране не доказва, че експлоатация не е настъпила по-рано.

Прегледайте акаунтите, идентификационните данни, журналите, сесиите, токените, механизмите за запазване на достъп и промените в конфигурацията, преди да приключите случая.

4. Може ли да е засегнато доверието към свързаните системи?

Компрометиран GitLab сървър може да разкрие тайни за внедряване. Artifactory може да повлияе върху софтуер, използван от други системи. ScreenConnect може да осигури изпълнение върху управлявани крайни устройства. Cisco FMC може да разкрие идентификационни данни и пътища за достъп към управляваната инфраструктура за сигурност.

Затова проверката трябва да следва връзките на доверие и пътищата за достъп, а не да приключва при актуализираната система.

Постоянни мерки за сигурност

Екипите по сигурност трябва да продължат да:

• поддържат точен инвентар на интернет-достъпните активи;
• определят приоритета на уязвимостите според активната експлоатация, изложеността и ролята на системата;
• ограничават интерфейсите за управление на сигурността до одобрени административни мрежи;
• наблюдават привилегированите акаунти, токените и промените в конфигурацията;
• наблюдават за уеб обвивки, обратни тунели и неочаквана активност за отдалечен достъп;
• защитават идентификационните данни за CI/CD и материалите за подписване;
• проверяват целостта на хранилищата и софтуерните артефакти;
• потвърждават актуализациите на крайните устройства след внедряването;
• поддържат проверени резервни копия на конфигурациите и процедури за възстановяване;
• документират изключенията от отстраняването и определят отговорни лица.

Въпроси за ръководството

Ръководството и управителните органи трябва да зададат следните въпроси:

• Използваме ли някоя от технологиите, добавени към CISA KEV тази седмица?
• Кои от засегнатите системи са били достъпни от интернет, докато са били уязвими?
• Проверени ли са интернет-достъпните Cisco FMC системи за компрометиране, а не само актуализирани?
• Могат ли засегнатите платформи за сигурност да предоставят достъп до друга инфраструктура или идентификационни данни?
• Може ли изложеността на GitLab да е разкрила тайни за внедряване или материали за подписване?
• Проверени ли са токените, правата върху хранилищата и разпространяваните артефакти в Artifactory?
• Актуализирани ли са ScreenConnect клиентите и агентите на всички управлявани крайни устройства?
• Внедрени ли са изцяло актуалните корекции за сигурност на Chrome и Windows?
• Присъстват ли съответните OT системи и системи за здравеопазване в нашата среда?
• Кои изключения от отстраняването остават отворени и кой носи отговорност за свързания риск?

Съответствие с ISO 27001

Действията в този доклад подкрепят ключови области от Системата за управление на информационната сигурност (СУИС), включително:

• управление на активите и уязвимостите;
• управление на идентичностите и привилегирования достъп;
• сигурна конфигурация;
• мрежова сигурност;
• регистриране и наблюдение;
• реакция при инциденти;
• цялост на софтуера и веригата за доставка;
• резервно копиране и възстановяване;
• оперативна устойчивост;
• третиране на риска и преглед от ръководството.

При интернет-достъпни KEV активи доказателствата за актуализиране трябва да бъдат придружени от доказателства, че потенциалното компрометиране е било оценено по подходящ начин.

Съответствие с ISO 9001

Препоръчаните действия подкрепят и принципите за управление на качеството чрез:

• ясно определена отговорност;
• контролирано управление на промените;
• документирани коригиращи действия;
• проверка на резултатите от отстраняването;
• вземане на решения въз основа на доказателства;
• преглед от ръководството;
• непрекъснато подобрение.

Целта е да се потвърди, че коригиращото действие е намалило основния оперативен риск, а не само че е инсталирана актуализация.

Нуждаете се от помощ при оценката на изложеността?

Ако вашата организация използва някоя от технологиите, разгледани тази седмица, започнете с установяване дали засегнатите версии присъстват, дали уязвимите услуги са били достъпни отвън и дали е възможно експлоатация да е настъпила преди отстраняването.

При платформите за управление на сигурността, доставка на софтуер и отдалечена поддръжка оценката трябва да обхване и идентификационните данни, крайните устройства и свързаните системи, до които засегнатата платформа има достъп.

ДИАМАТИКС подпомага организациите с оценка на изложеността, непрекъснато наблюдение на сигурността, управлявано откриване и реакция като услуга (MDRaaS), Център за операции по сигурността като услуга (SOCaaS) и реакция при инциденти.

Свържете се с нашия екип, за да обсъдим вашата среда.

Заключение

Активността през тази седмица поставя особен акцент върху системи, на които организациите обичайно се доверяват да управляват, защитават или осигуряват достъп до друга инфраструктура.

Cisco FMC е най-същественият случай. Потвърдената експлоатация е преминала отвъд първоначалния достъп и включва кражба на идентификационни данни, запазване на постоянен достъп и внедряване на рансъмуер. При засегнати интернет-достъпни системи актуализирането без проверка за компрометиране оставя съществена част от инцидента неизяснена.

GitLab и Artifactory създават различен риск за свързаните системи. Компрометирането може да засегне чувствителни данни, хранилища и софтуер, използван от други системи, което означава, че отстраняването трябва да отчита и какво е било разпространено от платформата през периода на изложеност.

ScreenConnect показва същия принцип при отдалечената поддръжка: версията на сървъра сама по себе си не доказва, че клиентите и управляваните крайни устройства са защитени.

При интернет-достъпни KEV активи практическата последователност за приключване остава:

Ограничаване → Актуализиране → Проверка за компрометиране → Подмяна на идентификационните данни → Проверка на свързаните системи

Крайната цел на отстраняването не е инсталирането на актуализация. Тя е да се установи дали засегнатата система — и свързаните с нея отношения на доверие — могат безопасно да се върнат към нормална работа.

Източници

• CISA – Каталог за известни експлоатирани уязвимости
• Cisco Talos – Анализ на атаките
• Cisco – Предупреждения за сигурност
• Citrix – Бюлетин за сигурност CTX696939
• Fortinet – Предупреждение за сигурност
• CERT Polska – Технически анализ
• MikroTik – Известие за сигурност
• GitLab – Критична актуализация за сигурност
• JFrog – Предупреждения за сигурност
• ConnectWise – Бюлетин за сигурност
• Google Chrome – Известие за актуализация
• Microsoft – Предупреждения за сигурност
• CISA – Предупреждения за OT и здравеопазването

Методология

ThreatScope от ДИАМАТИКС се основава на публично достъпна информация за уязвимости и киберзаплахи, като приоритизира потвърдената активна експлоатация, статуса в CISA KEV, външната достъпност и оперативната роля на засегнатите системи.

Приложимостта винаги трябва да бъде проверена спрямо действителния инвентар на активите, внедрените версии и конфигурацията на организацията.

Наличието на уязвима версия само по себе си не потвърждава компрометиране. По същия начин успешното актуализиране не доказва, че експлоатация не е настъпила преди отстраняването.

Trusted · Innovative · Vigilant