Buletin de securitate cibernetică – 9 septembrie 2026

Echipa CyberSec Intelligence (csint.ro) vă prezintă analiza zilnică a amenințărilor cibernetice pentru data de 9 septembrie 2026. Acest buletin acoperă vulnerabilitățile adăugate recent în catalogul CISA KEV ca fiind exploatate activ în atacuri reale, actualizările de securitate critice din NVD și cele mai importante noutăți din presa de specialitate.

Vulnerabilități exploatate activ

Următoarele breșe de securitate sunt utilizate în atacuri în desfășurare și necesită aplicarea imediată a patch-urilor de securitate:

CVE-2026-75650 (Adobe Commerce și Magento): Neutralizarea incorectă a elementelor speciale în motorul de șabloane permite unui atacator să execute cod arbitrar. Sursă NVD.
CVE-2026-81963 (Microsoft Windows): O vulnerabilitate de tip link following în Windows Update Stack permite unui atacator local să își escaladeze privilegiile până la nivelul SYSTEM. Sursă NVD.
CVE-2026-86218 (N-able N-central): Injectare de cod static ce permite executarea de cod la distanță (RCE) înainte de autentificare. Sursă NVD.
CVE-2026-85880 (Microsoft Windows): Depășire de tampon (heap-based buffer overflow) în Advanced Local Procedure Call, care permite escaladarea locală a privilegiilor. Sursă NVD.
CVE-2026-85046 (Google Chromium V8): Vulnerabilitate de tip type confusion care permite unui atacator de la distanță să execute cod arbitrar în sandbox printr-o pagină HTML compromisă. Afectează browserele bazate pe Chromium, incluzând Google Chrome, Microsoft Edge și Opera. Sursă NVD.
CVE-2026-59822 (BerriAI LiteLLM): Autentificare necorespunzătoare în endpoint-ul HTTP MCP Streamable, permițând unui atacator neautentificat să creeze o sesiune validă utilizând un token Bearer arbitrar. Sursă NVD.
CVE-2026-48710 (Kludex Starlette): Vulnerabilitate de tip request/response smuggling ce permite injectarea de căi de rețea în host, facilitând ocolirea autentificării; poate fi concatenată cu CVE-2026-42271. Sursă NVD.
CVE-2026-49869 (Kestra Kestra OSS): Injectare de comenzi OS care permite atacatorilor neautentificați de la distanță să creeze și să execute fluxuri de lucru (workflows) arbitrare fără credențiale. Sursă NVD.
CVE-2026-82329 (JFrog Artifactory): Configurația implicită prezintă o vulnerabilitate de autentificare defectuoasă, permițând obținerea de drepturi administrative de către utilizatori neautentificați din rețea. Sursă NVD.
CVE-2026-9586 (Sangoma Switchvox): Injectare SQL ce permite unui atacator neautentificat de la distanță să execute comenzi SQL arbitrare asupra bazei de date PostgreSQL asociate, permițând și execuția de cod de la distanță. Sursă NVD.
CVE-2026-83548 (SonicWall SMA1000): Server-Side Request Forgery (SSRF) ce permite atacatorilor neautentificați de la distanță să obțină acces neautorizat la funcții sensibile ale sistemului. Sursă NVD.
CVE-2026-83549 (SonicWall SMA1000): Injectare de comenzi în sistemul de operare, permițând unui utilizator autentificat ca administrator să execute cod la distanță. Sursă NVD.

Vulnerabilități critice noi

Următoarele breșe au fost identificate recent și clasificate cu un nivel de severitate critic de către NVD, prezentând riscuri ridicate pentru infrastructurile afectate:

CVE-2026-79698 (Advantech WISE-6610 series): Vulnerabilitate de tip command injection în componenta Node-RED Library (funcția nodered_lib_apply) prin argumentul „act”. Exploatarea de la distanță este posibilă, iar exploit-ul este public. Se recomandă actualizarea la versiunea 1.2.4_20260821. Sursă NVD.
CVE-2026-86299 (Linksys RE7000): Injectare de comenzi OS în componenta PingTest Handler din json.cgi, prin manipularea argumentelor de testare ping. Atacul poate fi lansat de la distanță, exploit-ul fiind public. Sursă NVD.
CVE-2026-86543 (knowns): Versiunile anterioare celei 0.30.0 expun API-ul de administrare fără autentificare pe toate interfețele de rețea în mod implicit. Atacatorii pot accesa un endpoint neautentificat pentru a expune public API-ul. Sursă NVD.
CVE-2026-86509 (D-Link DIR-895L): Stack-based buffer overflow în componenta udhcpcd care permite execuția de atacuri în rețeaua locală. Exploit public disponibil. Sursă NVD.
CVE-2026-61516 (Netis NX10): Scurgere de informații în interfața de administrare web a firmware-ului (versiunile V4.0.1.5808 și V3.0.0.4142) ce permite obținerea parolei de administrator fără sesiune validă. Sursă NVD.
CVE-2026-68839 (Windows USB Mass Storage): Heap-based buffer overflow în driverul de stocare USB Mass Storage din Windows, care permite unui atacator neautorizat execuția de cod de la distanță prin rețea. Sursă NVD.
CVE-2026-69356 (Microsoft Exchange Server): Neutralizare necorespunzătoare a intrărilor în generarea paginilor web (Cross-Site Scripting – XSS) ce permite atacatorilor de la distanță să realizeze activități de spoofing. Sursă NVD.
CVE-2026-69408 (Microsoft Windows Media Foundation): Integer overflow în cadrul componentei Media Foundation, ce permite execuția de cod prin rețea de către un atacator neautorizat. Sursă NVD.
CVE-2026-69431 (Windows Telnet Client): Heap-based buffer overflow ce permite execuția de cod de la distanță în rețea de către un atacator neautorizat. Sursă NVD.
CVE-2026-69525 (Windows Remote Desktop Services): Vulnerabilitate de tip „use after free” ce poate permite unui atacator neautorizat să execute cod de la distanță. Sursă NVD.
CVE-2026-69579 (Windows Message Queuing): Eroare „use after free” utilizabilă de atacatori neautorizați pentru rularea de cod la distanță prin rețea. Sursă NVD.
CVE-2026-69586 (Microsoft Windows PDF): Eroare de tip integer overflow în procesarea fișierelor PDF, facilitând execuția de cod de la distanță. Sursă NVD.

Din presa de securitate

Exploit public lansat pentru o vulnerabilitate de tip Padding-Oracle în Telerik UI

O analiză publicată de firma de securitate TantoSec demonstrează cum o vulnerabilitate de tip padding oracle (AES-CBC) din Telerik UI pentru ASP.NET AJAX poate fi concatenată pentru a obține executarea de cod de la distanță fără autentificare. Atacul vizează exclusiv aplicațiile aflate într-o configurație specifică, non-implicită. Deși exploit-ul a fost făcut public, compania Progress a lansat patch-ul corespunzător în iulie, neexistând rapoarte de exploatare activă în mediul real până în prezent. Sursă The Hacker News.

N-able emite al patrulea hotfix în cinci săptămâni pentru platforma N-central

Producătorul N-able a lansat o nouă actualizare de urgență (Hotfix 4) pentru platforma sa de monitorizare și management la distanță (RMM) N-central, pe fondul riscului unei vulnerabilități de tip RCE neautentificat. Sunt afectate toate versiunile on-premises anterioare 2026.3.1.14. Deși suspiciunile de exploatare în mediul real nu au fost confirmate oficial în notele de lansare, aplicarea remediilor este considerată critică. Sursă The Hacker News.

Ce recomandăm

Pentru a asigura protecția infrastructurii IT împotriva acestor amenințări, recomandăm implementarea următoarelor măsuri:

Managementul patch-urilor (Patch Management): Aplicați imediat actualizările pentru sistemele de operare Microsoft Windows, Microsoft Exchange Server și componentele de rețea active. Prioritizați corecțiile pentru instrumentele web expuse extern (Adobe Commerce, N-able N-central, SonicWall).
Inventarierea activelor: Mențineți un registru actualizat al tuturor echipamentelor din rețea (inclusiv dispozitive IoT Advantech și routere Linksys/D-Link) pentru a asigura o identificare promptă a produselor vulnerabile.
Monitorizarea și limitarea accesului la rețea: Restricționați accesul la interfețele de management ale API-urilor și sistemelor de operare. Implementați reguli stricte de firewall și monitorizați jurnalele de conexiune pentru depistarea eventualelor conexiuni neautorizate sau a atacurilor de tip tunneling.