ThreatScope

GitLab, SonicWall, Atlassian и рискове за инфраструктурата за изкуствен интелект | 6–13 октомври 2026 г.

Период на наблюдение: 7–13 октомври 2026 г. Ниво на заплаха: Високо за засегнати и изложени системи

🎧 Чуйте седмичния аудио обзор на ThreatScope

Основни акценти

Тази седмица ThreatScope разглежда уязвимости в платформи за разработка на софтуер, шлюзове за отдалечен достъп и корпоративни приложения за съвместна работа, както и злонамерена кампания, насочена към публично достъпна инфраструктура за изкуствен интелект.

Най-критичната уязвимост е GitLab CVE-2026-97229, която при определени условия позволява изпълнение на код на сървъра без удостоверяване чрез специално създадена конфигурация за автоматизирано изграждане и внедряване на софтуер. Производителят потвърждава уязвимостта, но разгледаното предупреждение не установява активна експлоатация.

SonicWall SMA1000 и Atlassian Data Center също изискват спешно внимание след независими съобщения за опити за експлоатация. Тези наблюдения показват интерес от страна на атакуващите, но не доказват успешно компрометиране.

Допълнителен риск представлява кампанията PoeLLM, която показва как изложени услуги за изкуствен интелект и приложения могат да бъдат компрометирани и използвани за добив на криптовалута, отдалечен достъп и последващи атаки.

Отнася ли се този доклад до вашата организация?

Докладът е особено важен, ако организацията ви използва:

Приоритетът трябва да се определя според засегнатата версия, външната достижимост, възможните права, периода на изложеност и достъпа до свързани системи.

Обобщение за ръководството

Четири уязвимости и една активна злонамерена кампания изискват внимание тази седмица.

GitLab CE/EE CVE-2026-97229, с оценка CVSS 10.0, засяга обработката на регулярни изрази в конфигурациите за автоматизирано изграждане и внедряване на софтуер. При определени условия специално създаден израз може да предизвика препълване на целочислена стойност и изпълнение на код на сървъра без удостоверяване. GitLab е публикувал коригирани версии, но разгледаното предупреждение не потвърждава активна експлоатация.

SonicWall SMA1000 CVE-2026-102255, с оценка 10.0 от производителя, засяга интерфейса Work Place. Уязвимостта позволява подправяне на заявки от страна на сървъра (SSRF) преди удостоверяване. SonicWall първоначално съобщава, че няма доказателства за експлоатация, но последващо независимо наблюдение установява опити за използване на уязвимостта.

Atlassian CVE-2026-21589, с оценка CVSS 4.0 от 9.3, засяга множество продукти Data Center. Атакуващ без удостоверяване, който знае точното име и местоположение на файл, може да получи достъп до определени файлове в директорията на приложението. Независими наблюдения съобщават за опити за експлоатация.

Citrix NetScaler CVE-2026-88779 остава актуална от предходния период. При засегнати конфигурации, използващи SAML (език за обмен на данни при удостоверяване и предоставяне на достъп), уязвимостта може да доведе до отказ на услуга. Тя не трябва да се смесва с други уязвимости в NetScaler, позволяващи отдалечено изпълнение на код.

И накрая, PoeLLM / Canto Incognito е злонамерена кампания, насочена към изложени услуги за изкуствен интелект и приложения. Изследването на Lumen описва възможности за отдалечено изпълнение на команди, добив на криптовалута и използване на компрометирани сървъри за допълнително сканиране и атаки.

Общият оперативен риск е, че първоначална уязвимост или изложена услуга може да предостави достъп до допълнителни системи, идентификационни данни или инфраструктура.

Ключови уязвимости

Анализ на уязвимостите

GitLab CE/EE — CVE-2026-97229

Състояние: Потвърдена от производителя уязвимост; няма установена активна експлоатация CVSS 3.1: 10.0

Недостатъчната проверка на регулярните изрази при обработката на конфигурациите за автоматизирано изграждане и внедряване на софтуер в GitLab може да доведе до препълване на целочислена стойност. При определени условия атакуващ без удостоверяване може да използва специално създаден израз, за да изпълни код на сървъра.

Уязвимостта е особено значима, защото платформите за разработка могат да съхраняват идентификационни данни за внедряване, ключове за достъп, чувствителни данни на приложенията и връзки към производствена инфраструктура.

GitLab посочва следните коригирани версии:

Коригираната версия за клона 19.3 е 19.3.5.

Актуализацията отстранява и други проблеми, включително свързани с правата за изпълнение на автоматизирани процеси в защитени клонове на хранилищата. Организациите трябва да предвидят необходимите промени в базата данни и възможно прекъсване на услугата при актуализиране.

Необходими действия

Приоритизирайте самостоятелно управляваните инсталации на GitLab, които са достъпни от интернет, и приложете съответната коригирана версия.

Преди съществени промени запазете журналите на приложението, записите за удостоверяване и данните от автоматизираните процеси за разработка.

Проверете за неочаквани промени в определенията на процесите за изграждане и внедряване, защитените клонове, изпълняващите компоненти и ключовете за достъп. Потърсете необичайни процеси или изходящи връзки от сървърите на GitLab.

При съмнение за компрометиране оценете дали са били изложени данните за внедряване, създадените софтуерни пакети или свързаните облачни среди.

Обхватът на проверката трябва да съответства на правата, с които разполага засегнатата услуга на GitLab.

SonicWall SMA1000 — CVE-2026-102255

Състояние: Докладвани опити за експлоатация от независимо наблюдение Оценка на производителя: 10.0

CVE-2026-102255 засяга интерфейса Work Place на SonicWall SMA1000.

Уязвимостта позволява на атакуващ без удостоверяване да предизвика заявки от страна на сървъра през непредвиден път за достъп. Това създава риск от неоторизирано взаимодействие с вътрешни функции.

SonicWall посочва следните корекции:

В предупреждението си от 6 октомври SonicWall посочва, че няма доказателства за експлоатация. Последваща информация от Previdian обаче установява опити, наблюдавани чрез независими системи за наблюдение.

Това разграничение е важно: наблюдаваните опити показват активност на атакуващи, но сами по себе си не доказват успешно компрометиране на реално използвана система.

Необходими действия

Приложете съответната корекция възможно най-скоро и проверете действително работещата версия на всяко устройство, включително резервните.

Запазете журналите на устройствата и съответните мрежови записи. Прегледайте неочакваните изходящи заявки, необичайните сесии и промените в административните настройки.

Уверете се, че по-стара корекция за сигурност не е погрешно приета за актуализацията от октомври, която отстранява тази уязвимост.

Atlassian Data Center — CVE-2026-21589

Състояние: Докладвани опити за експлоатация от независимо наблюдение CVSS 4.0: 9.3

CVE-2026-21589 засяга няколко приложения Atlassian Data Center.

Уязвимостта позволява на атакуващ без удостоверяване да получи достъп до определени файлове в основната уеб директория на приложението.

За експлоатацията е необходимо да се знаят точното име и местоположението на файла. Самата уязвимост не предоставя възможност за автоматично изброяване на съдържанието на директориите.

Засегнатите продукти включват Bitbucket, Confluence, Jira, Bamboo, Crowd, Crucible и Fisheye.

Производителят посочва следните коригирани версии:

Atlassian посочва, че засегнатите облачни продукти са коригирани. Това не трябва да се тълкува като доказателство, че самостоятелно управляваните инсталации Data Center не са били изложени.

Независимото наблюдение е установило опити за експлоатация, но отделните заявки не доказват успешно получен достъп до файлове.

Необходими действия

Актуализирайте засегнатите приложения, включително всички възли в групите от сървъри и приложимите огледални копия.

Когато незабавното актуализиране не е възможно, ограничете външния достъп или приложете документираните временни мерки на производителя.

Прегледайте журналите за подозрителни заявки към файлове, включително заявки с кодирани пътища. Установете дали чувствителни конфигурационни файлове или данни за достъп са се намирали на потенциално достъпни места.

Подменете идентификационните данни, когато проверката показва възможно излагане.

Citrix NetScaler — CVE-2026-88779

Състояние: Продължаващ риск от предходния период CVSS 4.0: 8.7

CVE-2026-88779 е уязвимост, свързана с препълване на паметта, която засяга NetScaler ADC и Gateway, когато са конфигурирани като доставчик на услуга или доставчик на идентичност чрез SAML.

Успешната експлоатация може да предизвика отказ на услуга и да наруши работата на приложения, зависещи от удостоверяването.

Производителят посочва следните коригирани версии:

• 14.1-73.41 или по-нова;

• 13.1-64.28 или по-нова;

• 14.1-FIPS 14.1-73.41 или по-нова;

• 13.1-FIPS / NDcPP 13.1-37.282 или по-нова.

Документираното въздействие е прекъсване на услугата, а не отдалечено изпълнение на код.

Необходими действия

Проверете дали засегнатата конфигурация за SAML е активирана и потвърдете инсталираната версия.

Прегледайте неочаквани сривове, неуспешни удостоверявания и прекъсвания на услугата.

Проверете процедурите за автоматично превключване към резервни системи и аварийния административен достъп, особено когато NetScaler обслужва критични бизнес приложения.

Заплахи за инфраструктурата за изкуствен интелект — PoeLLM / Canto Incognito

Състояние: Наблюдавана злонамерена кампания

Изследване на Black Lotus Labs към Lumen описва кампания, насочена към публично достъпни услуги за изкуствен интелект и приложения.

Кампанията, активна от април, включва компрометирани сървъри, използвани за отдалечено изпълнение на команди, добив на криптовалута, допълнително сканиране и последващи атаки.

Изследването посочва LiteLLM CVE-2026-42271 като вероятен начин за експлоатация в един от анализираните случаи.

Други услуги, включително Ollama, Gitea и Gotenberg, са наблюдавани в инфраструктура, свързана със засегнати организации. Това не доказва, че всеки от тези продукти е бил компрометиран чрез конкретна уязвимост.

Злонамереният софтуер извлича и адреси за управление от текст, публикуван в GitHub. Така операторите могат да променят управляващата си инфраструктура, без да подменят всеки вече разпространен злонамерен компонент.

Необходими действия

Включете шлюзовете за изкуствен интелект, системите за обслужване на модели и помощните средства за разработка в инвентаризацията на организацията.

Премахнете ненужния публичен достъп и актуализирайте засегнатите приложения.

Проверете необяснимо високо натоварване на изчислителните ресурси, процеси за добив на криптовалута, неочаквани възможности за отдалечено изпълнение на команди и изходящо сканиране.

При потвърдено компрометиране изградете засегнатите системи отново от надеждни източници и подменете достъпните служебни идентификационни данни.

При средите за изкуствен интелект проверката трябва да обхваща и правата на служебните акаунти, както и достъпа до свързани приложения, данни и инфраструктура за разработка.

Какво заслужава внимание тази седмица?

Препоръчителни управленски действия

Незабавни действия: 0–7 дни

• Установете засегнатите системи GitLab, SonicWall, Atlassian и Citrix.

• Инвентаризирайте публично достъпните услуги за изкуствен интелект и приложения.

• Приоритизирайте спешните актуализации на изложените инсталации GitLab и SonicWall.

• Актуализирайте или ограничете достъпа до засегнатите приложения Atlassian Data Center.

• Проверете SAML конфигурациите на NetScaler и коригираните версии.

• Запазете необходимите доказателства преди съществени промени.

• Разследвайте подозрителна активност в средите за разработка, необичайни заявки към шлюзовете и опити за достъп до файлове.

• Проверете необичайното натоварване, отдалеченото изпълнение на команди и изходящото сканиране в средите за изкуствен интелект.

• Оценете потенциално изложените идентификационни данни и свързани системи.

• Документирайте случаите, при които наличните доказателства не са достатъчни, за да се изключи компрометиране.

Действия до 30 дни

• Потвърдете независимо коригираните версии на всички засегнати инсталации и възли.

• Завършете документираните проверки за компрометиране на изложените системи за разработка, отдалечен достъп и съвместна работа.

• Прегледайте данните за внедряване, изпълняващите компоненти и доверените интеграции на GitLab.

• Установете дали конфигурационни файлове или чувствителни данни в Atlassian са били достъпни.

• Проверете дали резервните устройства SonicWall са получили необходимите корекции.

• Прегледайте обхвата на регистриране на събитията и сроковете за съхранение на журналите.

• Подобрете инвентаризацията на услугите за изкуствен интелект и помощните средства за разработка.

• Проверете процедурите за възстановяване на критичните приложения и инфраструктурата за достъп.

• Определете отговорници за нерешените проблеми, свързани с изложеността и проверките.

Стратегически действия: до 90 дни

• Ограничете ненужния интернет достъп до системите за разработка и административните интерфейси.

• Включете системите за изкуствен интелект и външно управляваните приложения в процесите за управление на уязвимостите.

• Засилете контрола върху привилегирования достъп до платформите за разработка и отдалечен достъп.

• Подобрете централизираното наблюдение на приложенията, мрежата и системната активност.

• Прегледайте начина на съхранение и използване на данните за внедряване и служебните идентификационни данни.

• Въведете наблюдение за необичайно използване на изчислителни ресурси и изходящо сканиране.

• Проверете процедурите за възстановяване на платформите за разработка и услугите, зависещи от удостоверяване.

• Определете критерии за приключване на случаите, които разграничават техническото отстраняване, проверката за компрометиране и потвърждаването на възстановяването.

• Поддържайте документирана отговорност за нерешените рискове и липсващите доказателства.

Оценка на корпоративната изложеност

Четири въпроса трябва да определят приоритетите тази седмица.

1. Била ли е засегнатата система достъпна отвън?

Проверете интернет достъпа, административните интерфейси, ограниченията и предишните мрежови настройки.

2. Какво може да постигне успешната експлоатация?

Изпълнението на код в GitLab, заявките от страна на сървъра при SonicWall и достъпът до файлове в Atlassian имат различни последствия и изискват различен подход при проверката.

3. Кои свързани системи или чувствителни ресурси могат да бъдат засегнати?

Вземете предвид данните за внедряване, конфигурациите на приложенията, вътрешните услуги, системите за идентичност и облачните среди.

4. Има ли достатъчно доказателства за проверка на предходно компрометиране?

Запазете необходимите журнали и проверете активността през вероятния период на изложеност.

Наблюдаваните опити за експлоатация трябва да доведат до подходяща проверка, но не бива автоматично да се приемат за доказателство за успешно компрометиране.

Липсващите записи трябва да бъдат документирани, а не тълкувани като доказателство, че компрометиране не е настъпило.

Въпроси към ръководството

Ръководството и отговорните екипи трябва да установят:

• Достъпни ли са засегнати системи GitLab или SonicWall от недоверени мрежи?

• Потвърдени ли са действително инсталираните версии?

• Включени ли са всички засегнати приложения Atlassian Data Center в плана за отстраняване?

• Могат ли изложените файлове да съдържат идентификационни данни или чувствителни настройки?

• Имат ли услугите GitLab достъп до производствена инфраструктура или облачни среди?

• Включени ли са системите за изкуствен интелект и поддържащите ги услуги в инвентаризацията?

• Проверени ли са необичайното натоварване и изходящото сканиране?

• Използват ли критичните услуги NetScaler с SAML коригирани версии?

• Проверени ли са потенциално компрометираните системи преди възстановяване?

• Проследяват ли се отстраняването на уязвимостта и проверката за компрометиране като отделни дейности?

Работата по дадена уязвимост трябва да се счита за приключена само когато необходимата корекция или защитна мярка е потвърдена, резултатът от проверката е документиран и всички необходими действия за възстановяване са завършени.

Съответствие с ISO 27001 и ISO 9001

Препоръчаните действия подпомагат установените практики за информационна сигурност и управление на качеството, включително:

• управление на активите и уязвимостите;

• сигурна конфигурация и управление на промените;

• управление на идентичността и достъпа;

• регистриране и наблюдение на събитията;

• разследване и реакция при инциденти;

• защита на идентификационните данни и чувствителната информация;

• контрол върху доставчиците и външно управляваните услуги;

• непрекъсваемост на бизнеса и възстановяване;

• коригиращи действия и независима проверка;

• документирана отговорност и управление на остатъчния риск.

При изложени системи доказателствата трябва да обхващат както техническата корекция, така и резултата от необходимата проверка за компрометиране.

Нуждаете се от помощ при оценката на изложеността?

Ако организацията ви използва някоя от разгледаните технологии, започнете с потвърждаване на действително работещите версии, външната достижимост и потенциалния достъп до свързани системи.

При установена подозрителна активност проверката трябва да обхване промените в приложенията, идентификационните данни, процесите за внедряване, мрежовата активност и наличните исторически записи.

DIAMATIX подпомага организациите чрез:

• център за операции по сигурността като услуга (SOCaaS);

• управлявано откриване и реакция като услуга (MDRaaS);

• управление на уязвимостите;

• реакция при инциденти;

• дигитална криминалистика.

Свържете се с DIAMATIX, за да обсъдим вашата среда.

Заключение

Случаите от тази седмица показват как уязвимости в платформите за разработка, шлюзовете за отдалечен достъп и корпоративните приложения могат да създадат рискове отвъд първоначално засегнатата система.

При GitLab приоритетът е отстраняването на критична уязвимост за изпълнение на код и оценката на потенциалната изложеност на инфраструктурата за разработка и внедряване.

При SonicWall SMA1000 независимите съобщения за опити за експлоатация налагат спешно отстраняване и проверка, като трябва да се запази разграничението между наблюдавани опити и потвърдено успешно компрометиране.

При Atlassian Data Center фокусът е върху актуализирането на засегнатите инсталации и установяването дали е бил възможен достъп до чувствителни файлове на приложенията.

При Citrix NetScaler продължаващият риск е свързан с наличността на услугите при засегнати SAML конфигурации.

Кампанията PoeLLM допълнително подчертава необходимостта от защита на системите за изкуствен интелект и поддържащите ги приложения, които могат да бъдат достъпни от интернет.

За засегнатите и изложени системи практическата последователност остава:

Установяване на изложеността → Ограничаване → Отстраняване → Проверка за компрометиране → Възстановяване → Потвърждаване

Целта е да се установи дали уязвимостта е отстранена, дали евентуално предходно компрометиране е проверено достатъчно подробно и дали засегнатата услуга отново може да се счита за надеждна.

Източници

• ThreastScope от DIAMATIX weekly research

• Документация и предупреждения за сигурност на GitLab

• Предупреждения за сигурност на SonicWall

• Предупреждения за сигурност на Atlassian

• CERT-EU

• Предупреждения за сигурност на Citrix

• Изследвания на Previdian

• Lumen Black Lotus Labs

Методология

ThreatScope от DIAMATIX определя приоритетите според доказателствата за експлоатация, достижимостта на системите, възможните права при успешна атака и потенциалното въздействие върху бизнеса.

Докладваните опити за експлоатация се разграничават от потвърденото успешно компрометиране. Отстраняването на уязвимостта и проверката за компрометиране се оценяват отделно.

Trusted · Innovative · Vigilant