ThreatScope by DIAMATIX

Рискове при SharePoint, FortiSandbox, Oracle EBS и KNX (15–21 юли, 2026)

Период на доклада: 15–21 юли 2026 г.
Ниво на заплаха: високо

🎧 Чуйте доклада за тази седмица

Тазседмичният ThreatScope разглежда пет уязвимости, добавени в каталога на CISA за известни активно експлоатирани уязвимости, както и действащи кампании, засягащи корпоративни приложения, защитни устройства, вериги за доставка на софтуер и оперативни технологии.

Най-неотложните проблеми засягат локално разположени среди с Microsoft SharePoint, FortiSandbox, Oracle E-Business Suite Payments и системи за сградна автоматизация, базирани на KNX.

Оперативният приоритет не трябва да се определя единствено от оценката по CVSS. Редът на реакция трябва да отчита активното експлоатиране, достъпността от интернет, ролята на засегнатата система и възможното въздействие върху бизнес операциите.

Прилагането на корекции остава задължително, но не трябва да се приема като доказателство, че рискът е отстранен. Екипите по сигурността трябва да потвърдят експозицията, да проверят засегнатите системи за признаци на компрометиране и да удостоверят, че коригиращите действия са изпълнени успешно.

Приложим ли е този доклад за вашата организация?

Докладът е особено приложим, ако организацията ви използва някоя от следните технологии или среди.

Ако никоя от тези технологии не присъства във вашата среда, разгледаните уязвимости може да не изискват незабавни коригиращи действия. Наблюдаваните кампании с вредоносни софтуерни пакети и фалшиви инсталационни файлове обаче могат да останат приложими за екипите по разработка, защитата на крайните устройства и потребителите с достъп до привилегировани системи.

Резюме

През периода на доклада CISA добави пет уязвимости с потвърдено активно експлоатиране в реална среда.

Най-високият непосредствен риск е свързан с:

• отдалечено изпълнение на код без удостоверяване в локално разположени среди с Microsoft SharePoint;
• две уязвимости за внедряване на команди към операционната система във FortiSandbox;
• компрометиране без удостоверяване на Oracle E-Business Suite Payments;
• риск от прекъсване на работата и блокиране на устройства в среди със сградна автоматизация KNX.

Проблемът в SharePoint изисква повече от инсталиране на корекция. Дейностите след първоначалното проникване могат да включват кражба на машинни ключове на IIS, създаване на устойчив достъп чрез механизми за десериализация и внедряване на зловреден софтуер.

Уязвимостите във FortiSandbox са особено значими, защото засегнатият продукт е част от самия технологичен стек за сигурност. Компрометирането на защитно устройство може да позволи на нападателите да променят конфигурацията му, да създават потребителски профили, да изпълняват команди или да използват системата като доверена точка във вътрешната мрежа.

Уязвимостта в Oracle E-Business Suite може да засегне финансови процеси и чувствителни бизнес данни. Системите, достъпни чрез HTTP или от ненадеждни мрежи, трябва да получат незабавно внимание.

Проблемът при KNX носи различен тип риск. Той може да позволи изчистване или блокиране на устройства и да доведе до продължително прекъсване на системи за управление на сгради или оперативни технологии.

Тазседмичните кампании включват и компрометирани npm пакети на AsyncAPI, свързани с Miasma RAT, фалшиви инсталационни файлове за Zoom, WebEx и MobaXterm, които разпространяват Starland RAT, както и рискове за оперативни технологии, свързани със Siemens RUGGEDCOM ROX II.

Основни уязвимости

Две уязвимости от предходния отчетен период трябва да останат в същия извънреден цикъл за коригиращи действия и търсене на заплахи:

• CVE-2026-56164, засягаща SharePoint и свързана с активно експлоатиране;
• CVE-2026-56155, засягаща Active Directory Federation Services и позволяваща повишаване на привилегиите.

Анализ на уязвимостите

Microsoft SharePoint Server — CVE-2026-58644

CVE-2026-58644 засяга локално разположените версии на Microsoft SharePoint Server 2016, 2019 и Subscription Edition.

Уязвимостта позволява отдалечено изпълнение на код без удостоверяване. Когато сървърът е достъпен от интернет, нападателят може да я експлоатира без валидни потребителски идентификационни данни.

Рискът не приключва с инсталирането на корекцията. Наблюдаваната дейност след първоначалното проникване включва кражба на машинните ключове на IIS, използване на механизми за десериализация за осигуряване на устойчив достъп и внедряване на зловреден софтуер.

Откраднатите машинни ключове могат да позволят на нападателя да запази достъп или да злоупотребява с доверени функции на приложението дори след инсталиране на корекцията. Поради тази причина подмяната на ключовете трябва да се извърши след оценка за компрометиране и премахване на всички зловредни следи. Ако ключовете бъдат подменени твърде рано, това може да затрудни разследването, без реално да прекрати достъпа на нападателя.

Най-приложимо за

• големи организации с локално разположена Microsoft инфраструктура;
• държавна администрация;
• здравеопазване;
• образователни институции;
• финансов сектор;
• организации с публично достъпни платформи за вътрешно сътрудничество.

Как бързо да проверите дали сте засегнати?

Потвърдете следното:

• Използвате ли SharePoint Server 2016, 2019 или Subscription Edition?
• Достъпен ли е SharePoint от интернет или от външни мрежи?
• Инсталирана ли е последната актуализация по сигурността?
• Активирана ли е Antimalware Scan Interface (AMSI) за всички SharePoint уеб приложения?
• Прегледани ли са журналите на IIS, SharePoint и системите за защита на крайните устройства?
• Има ли необичайни файлове, процеси, планирани задачи или уеб компоненти?
• Проверено ли е дали машинните ключове на IIS са били компрометирани?

Необходима реакция

Инсталирайте корекцията незабавно.

Ако това не е възможно, премахнете външния достъп или изолирайте системата до приключване на коригиращите действия.

Потвърдете работата на AMSI, прегледайте сигналите от Microsoft Defender или използваното решение за защита на крайните устройства, анализирайте журналите на IIS, премахнете откритите зловредни компоненти и подменете машинните ключове едва след като средата бъде напълно почистена.

Oracle E-Business Suite Payments — CVE-2026-46817

CVE-2026-46817 засяга Oracle E-Business Suite Payments версии 12.2.3 до 12.2.15.

Уязвимостта позволява на неоторизиран нападател да компрометира приложението чрез HTTP. Тъй като засегнатият компонент обслужва платежни и финансови процеси, успешната експлоатация може да засегне финансови операции, чувствителни данни и целостта на одитните записи.

Реалното въздействие зависи от начина на внедряване, активните функционалности и дали приложението е достъпно от интернет или от ненадеждни мрежи.

Най-приложимо за

• големи организации, използващи Oracle E-Business Suite;
• финансов сектор;
• производствени предприятия;
• търговия;
• транспорт и логистика;
• организации с интегрирани ERP и финансови процеси.

Как бързо да проверите дали сте засегнати?

Проверете:

• Използва ли се Oracle E-Business Suite Payments?
• Попада ли версията между 12.2.3 и 12.2.15?
• Достъпно ли е приложението чрез HTTP?
• Разрешен ли е външен или партньорски достъп?
• Инсталиран ли е последният Oracle Critical Patch Update?
• Прегледани ли са журналите за необичайни HTTP заявки?
• Проверени ли са привилегированите операции, административните промени и новосъздадените акаунти?
• Наблюдават ли се необичайни промени във финансовите процеси?

Необходима реакция

Инсталирайте съответния Oracle Critical Patch Update.

Ограничете HTTP достъпа и външната свързаност, когато е възможно. Анализирайте журналите на приложението, прегледайте привилегированите операции и всички промени по платежните конфигурации.

При потвърдена експозиция разглеждайте случая като потенциално компрометиране на критична бизнес система, а не само като стандартна процедура по актуализация.

FortiSandbox — CVE-2026-25089

CVE-2026-25089 засяга FortiSandbox, FortiSandbox Cloud и PaaS внедрявания.

Уязвимостта позволява внедряване на команди към операционната система чрез специално създадени HTTP заявки.

Особеното тук е, че засегнатият продукт сам по себе си е елемент от инфраструктурата за сигурност. Той обработва подозрителни файлове, комуникира с множество системи и разполага с привилегирани конфигурации.

Компрометирането му може да позволи на нападателя:

• да изпълнява команди;
• да създава потребителски профили;
• да променя конфигурацията;
• да установява изходящи връзки;
• да използва устройството като доверена точка във вътрешната инфраструктура.

Най-приложимо за

• организации, използващи Fortinet инфраструктура;
• доставчици на управлявани услуги;
• финансови институции;
• оператори на критична инфраструктура;
• организации с централизирано управление на защитни устройства.

Как бързо да проверите дали сте засегнати?

Проверете:

• коя версия използвате;
• кой модел на внедряване е активен;
• достъпен ли е административният интерфейс от интернет;
• достъпно ли е устройството от потребителски или външни мрежи;
• има ли нови административни акаунти;
• наблюдават ли се необичайни процеси или команди;
• има ли подозрителни изходящи връзки;
• съответства ли конфигурацията на одобрения базов шаблон.

Необходима реакция

Надградете до версия 5.0.6 или по-нова, съответно 4.4.9 или по-нова.

Ограничете достъпа до административния интерфейс, прегледайте всички административни действия, анализирайте изходящия трафик и при съмнение изолирайте устройството.

FortiSandbox API — CVE-2026-39808

CVE-2026-39808 засяга FortiSandbox версии 4.4.0–4.4.8.

Уязвимостта позволява внедряване на команди чрез програмния интерфейс (API), което може да доведе до пълен контрол върху устройството.

Практически разликата спрямо предходната уязвимост е единствено засегнатият интерфейс и диапазонът от версии. От оперативна гледна точка реакцията остава същата.

Най-приложимо за

• организации с FortiSandbox 4.4;
• центрове за операции по сигурността;
• доставчици на управлявани услуги по сигурност;
• организации в регулирани отрасли.

Как бързо да проверите дали сте засегнати?

Проверете:

• използвате ли версия между 4.4.0 и 4.4.8;
• активен ли е API интерфейсът;
• кои системи могат да го достъпват;
• анализират ли се API журналите;
• проверена ли е целостта на конфигурацията;
• има ли необичайни промени или изходящи връзки.

Необходима реакция

Надградете до версия 4.4.9 или по-нова.

Ограничете достъпа до API, анализирайте журналите и сравнете конфигурацията с одобрения базов шаблон.

Работещото защитно устройство не трябва автоматично да се приема за надеждно.

KNX Connection Authorization — CVE-2023-4346

CVE-2023-4346 засяга KNX Connection Authorization Option 1.

Експлоатирането може да позволи изчистване или блокиране на устройства, което да доведе до продължително прекъсване на системите за управление на сгради или оперативните технологии.

Въпреки че оценката по CVSS е по-ниска, въздействието върху бизнеса може да бъде значително.

Блокирано устройство за сградна автоматизация може да засегне климатичните системи, контрола на достъпа, осветлението и други критични функции.

Най-приложимо за

• болници;
• здравни заведения;
• хотели;
• производствени предприятия;
• обществени сгради;
• организации със системи за управление на сгради.

Как бързо да проверите дали сте засегнати?

Проверете:

• използва ли организацията KNX;
• активирана ли е Connection Authorization Option 1;
• инвентаризирани ли са всички устройства;
• достъпни ли са административните интерфейси;
• сегментирана ли е мрежата;
• налични ли са резервни копия на конфигурациите;
• тествано ли е възстановяването;
• публикувани ли са мерки от производителя.

Необходима реакция

Сегментирайте KNX средата.

Ограничете административния достъп, приложете препоръките на производителя, проверете резервните копия и тествайте възстановяването.

При критична инфраструктура възстановимостта трябва да се разглежда като основен елемент на оперативната устойчивост, а не само като мярка за киберсигурност.

Активни кампании и наблюдавани техники

Експлоатиране на Microsoft SharePoint

Според CISA наблюдаваните атаки включват не само отдалечено изпълнение на код, но и кражба на машинните ключове на IIS, механизми за устойчив достъп чрез десериализация и внедряване на зловреден софтуер.

Правилната последователност при реакция е:

1. потвърждаване на експозицията;
2. инсталиране на корекция или изолиране на системата;
3. активиране и проверка на AMSI;
4. проактивно търсене на признаци за компрометиране;
5. премахване на всички зловредни компоненти;
6. подмяна на машинните ключове и другите чувствителни данни;
7. потвърждение, че средата е напълно почистена.

Инсталирането на корекция без проверка за компрометиране може да остави активни механизми за устойчив достъп.

Какво заслужава внимание тази седмица?

Корпоративна ИТ инфраструктура

Приоритетни системи

• Microsoft SharePoint
• Oracle E-Business Suite
• Active Directory Federation Services (AD FS)
• FortiSandbox

Основни действия

• Потвърдете използваните версии и наличието на достъп от интернет.
• Инсталирайте необходимите корекции или временно изолирайте системите.
• Прегледайте всички привилегировани действия и административни промени.
• Извършете проактивно търсене за признаци на компрометиране.
• Подменете ключове, сертификати и други чувствителни данни едва след като потвърдите, че средата е почистена.

Оперативни технологии и системи за управление на сгради

Приоритетни системи

• KNX
• Siemens RUGGEDCOM ROX II
• Системи за управление на сгради (Building Management Systems)

Основни действия

• Потвърдете пълната инвентаризация на устройствата.
• Проверете дали оперативните технологии са сегментирани от корпоративната мрежа.
• Ограничете достъпа до административните интерфейси.
• Проверете наличието на актуални резервни копия на конфигурациите.
• Тествайте възстановяването при инцидент.

Разработка на софтуер и DevOps

Приоритетни области

• AsyncAPI
• npm зависимости
• процеси за публикуване на софтуер
• устройства на разработчиците
• среди за непрекъсната интеграция и непрекъснато доставяне (CI/CD)

Основни действия

• Блокирайте засегнатите версии на пакетите.
• Проверете lock файловете и Software Bill of Materials (SBOM).
• Анализирайте кешовете и артефактите от компилация.
• Подменете компрометирани CI/CD токени.
• Ограничете използването на неоторизирани пакети чрез политики за одобрение.

Защита на крайните устройства

Приоритетни заплахи

• фалшиви инсталатори на Zoom;
• фалшиви инсталатори на WebEx;
• фалшиви инсталатори на MobaXterm;
• техники тип ClickFix;
• изпълнение на зловреден код директно в паметта.

Основни действия

• Разрешавайте инсталиране единствено от официални източници.
• Прегледайте журналите на решенията за защита на крайните устройства.
• Ограничете използването на непозволени приложения.
• Анализирайте необичайни PowerShell и командни изпълнения.

Препоръчителни управленски действия

Незабавни действия (0–7 дни)

• Установете дали в средата се използват Microsoft SharePoint, FortiSandbox, Oracle E-Business Suite или KNX.
• Проверете инсталираните версии и дали засегнатите системи са достъпни от интернет.
• Приложете наличните актуализации или временно изолирайте изложените системи, ако актуализирането не може да бъде извършено незабавно.
• Извършете проверка за компрометиране на системите с потвърдена активна експлоатация, преди да подменяте идентификационни данни, IIS machine keys или сертификати.
• Блокирайте засегнатите версии на AsyncAPI npm пакетите и проверете средите за разработка за признаци на компрометиране.
• Стартирайте процедури за реакция при инцидент, когато не може да бъде изключена успешна експлоатация.

Действия до 30 дни

• Прегледайте административните акаунти, привилегированата активност и логовете за удостоверяване на засегнатите системи.
• Потвърдете мрежовата сегментация на средите за оперативни технологии (Operational Technology – OT) и системите за управление на сградна автоматизация.
• Валидирайте успешно тестването на архивите и процедурите за възстановяване на критичните системи.
• Подобрете контрола върху сигурността на веригата за доставка на софтуер, включително управлението на зависимости и защитата на CI/CD (Continuous Integration/Continuous Delivery) процесите.
• Отстранете или официално документирайте всички оставащи изключения при прилагането на мерките.

Стратегически действия (до 90 дни)

• Подобрете видимостта върху интернет-достъпните активи чрез непрекъснато управление на външната повърхност за атака.
• Интегрирайте сигурността на веригата за доставка на софтуер в процесите по управление на уязвимостите и промените.
• Въведете регулярно валидиране на архивите, процедурите за възстановяване и оперативната устойчивост.
• Проследявайте на управленско ниво показателите за своевременно отстраняване на уязвимостите и оставащите рискове.
• Използвайте поуките от реално експлоатираните уязвимости при бъдещите оценки на риска и планирането на мерките за сигурност.

Оценка на експозицията

Екипите по сигурността трябва да определят приоритетите въз основа на четири основни фактора.

1. Активно експлоатиране

Уязвимост, включена в каталога Known Exploited Vulnerabilities (KEV) на CISA, вече е потвърдена като използвана при реални атаки.

Това автоматично повишава нейния приоритет, независимо от числовата оценка по CVSS.

2. Достъпност от интернет

Най-висок риск представляват системите, които могат да бъдат достигнати отвън.

Това включва:

• публични приложения;
• административни интерфейси;
• API интерфейси;
• партньорски портали;
• системи за отдалечен достъп.

3. Бизнес функция

Една и съща уязвимост може да има различно въздействие според ролята на системата.

Например:

• компрометиран SharePoint може да засегне документи и самоличности;
• компрометиран Oracle E-Business Suite може да засегне финансовите операции;
• компрометиран KNX може да наруши физическите процеси в сградите.

4. Възможност за възстановяване

Организацията трябва да може да възстанови безопасно засегнатата система.

При оперативните технологии и системите за управление на сгради проверените резервни копия и успешно тестваното възстановяване могат да бъдат също толкова важни, колкото и самото инсталиране на корекцията.

Постоянни контроли за сигурност

Екипите по сигурността следва да поддържат следните контроли и след приключване на непосредствените действия по отстраняване:

• актуален регистър на интернет-достъпните и критичните за бизнеса системи;
• ясно определени собственици на технологиите и свързаните с тях бизнес услуги;
• независимо потвърждаване на отстраняването чрез проверка на версиите, сканиране за уязвимости и преглед на конфигурациите;
• наблюдение на административните интерфейси, привилегированите акаунти и доверените връзки;
• проактивно търсене на заплахи при активна експлоатация или потвърдена експозиция;
• тествани процедури за възстановяване на оперативни технологии и системи за управление на сгради;
• контрол върху източниците на пакети, зависимостите и процесите за доставка на софтуер;
• управленско проследяване на неизпълнените действия, изключенията и приетите рискове.

Въпроси към ръководството

Ръководството следва да получи ясен отговор на следните въпроси:

1. Използваме ли някоя от засегнатите технологии?
2. Кои от тези системи са достъпни от интернет?
3. Потвърдено ли е независимо успешното инсталиране на всички необходими актуализации?
4. Извършено ли е търсене за признаци на компрометиране?
5. Имаме ли доказателства, че системите не са били компрометирани?
6. Подменени ли са всички изложени на риск ключове, сертификати и идентификационни данни?
7. Сегментирани ли са KNX и OT средите от корпоративната мрежа?
8. Можем ли успешно да възстановим критичните системи от резервни копия?
9. Контролира ли се използването на външни пакети и зависимости?
10. Кои рискове остават неприети и кой носи отговорност за тях?

Съответствие с ISO/IEC 27001

Действията, описани в този доклад, подпомагат редица изисквания на ISO/IEC 27001, включително:

• управление на активите;
• управление на уязвимостите;
• сигурна конфигурация;
• регистриране и наблюдение;
• управление на достъпа;
• сигурност на доставчиците и веригата за доставка на софтуер;
• реакция при инциденти;
• сегментиране на мрежата;
• резервни копия и възстановяване;
• непрекъсваемост на бизнеса;
• управление на риска.

Организациите трябва да съхраняват доказателства за всяко изпълнено действие. Самото твърдение, че е инсталирана актуализация, не е достатъчно. Следва да бъдат налични записи за използваните версии, резултатите от сканиранията, проверките за компрометиране, прегледите на достъпа и тестовете за възстановяване.

Съответствие с ISO 9001

Описаните дейности подпомагат и принципите на ISO 9001, като осигуряват:

• ясно определена отговорност;
• контролирано управление на промените;
• документални доказателства;
• коригиращи действия;
• проверка на резултатите;
• управленски преглед;
• непрекъснато подобрение.

Целта не е единствено да бъдат изпълнени определени дейности, а да бъде доказано, че те действително са намалили риска.

Нуждаете се от оценка на експозицията?

Ако организацията ви използва някоя от технологиите, разгледани в този доклад, идентифицирането им е само първата стъпка.

Следващата е да установите:

• дали всички актуализации по сигурността са успешно приложени;
• дали административните интерфейси остават достъпни от интернет;
• дали има признаци за опити за експлоатиране или успешно компрометиране;
• кои системи трябва да бъдат приоритизирани според въздействието им върху бизнеса.

ДИАМАТИКС подпомага организациите при оценката на експозицията, валидирането на предприетите мерки и изграждането на непрекъснато наблюдение чрез експертно управлявани услуги по киберсигурност.

Свържете се с нашия екип, за да обсъдим вашата среда.

Заключение

Разгледаните тази седмица уязвимости засягат системи с напълно различна роля – платформи за съвместна работа, финансови приложения, защитни устройства и системи за сградна автоматизация.

Те не трябва да бъдат разглеждани като обикновен списък с актуализации.

Организациите трябва първо да установят кои от тези технологии използват, къде са изложени на риск и кои критични бизнес процеси зависят от тях. Едва след това могат да определят правилния ред на реакция.

При SharePoint, FortiSandbox и Oracle E-Business Suite незабавното прилагане на корекции трябва да бъде съчетано с проверка за компрометиране.

При KNX и останалите среди с оперативни технологии сегментирането, резервните копия на конфигурациите и проверените процедури за възстановяване са ключови за ограничаване на оперативния риск.

За екипите по разработка кампанията срещу AsyncAPI показва необходимостта от по-строг контрол върху пакетите, зависимостите и процесите по публикуване на софтуер.

Целта не е просто да се отбележи, че дадена актуализация е инсталирана. Целта е да има доказателства, че експозицията е намалена, евентуалното компрометиране е проверено, а критичните бизнес услуги могат да продължат да функционират сигурно и без прекъсване.

Източници

1. ThreatScope Weekly Research
2. CISA — Known Exploited Vulnerabilities additions, July 15, 2026
3. CISA — Known Exploited Vulnerabilities additions, July 16, 2026
4. CISA — Microsoft SharePoint hardening guidance
5. Microsoft Security Response Center — CVE-2026-58644
6. Oracle — May 2026 Critical Patch Update Risk Matrix
7. Fortinet — FG-IR-26-141 and FG-IR-26-100
8. Unit 42 — AsyncAPI npm supply-chain campaign
9. Cisco Talos — UAT-11795 campaign analysis
10. Siemens ProductCERT — SSA-078743
11. Kaspersky — HelloNet campaign analysis

Методология: Настоящият анализ се основава на публично достъпна разузнавателна информация за заплахи, препоръки на производители и потвърдени случаи на активно експлоатиране. Приоритизацията отчита наличието на реални атаки, публичната експозиция, ролята на засегнатите системи и потенциалното въздействие върху бизнеса. Всеки извод следва да бъде валидиран спрямо конкретната инфраструктура, използваните версии и конфигурации на организацията. Докладът сам по себе си не потвърждава наличие или липса на компрометиране.

Trusted · Innovative · Vigilant