Бюлетинът за сигурност от 12 октомври 2026 г. откроява както заплахи за сигурността, активно експлоатирани в неотдавнашни кампании, така и новоидентифицирани критични уязвимости, които изискват незабавно внимание от страна на системните администратори, за да се предотврати компрометирането на инфраструктурата.
Активно експлоатирани уязвимости
Следните уязвимости са включени в каталога на CISA KEV и се използват активно при атаки:
- CVE-2015-5477 (ISC BIND): Грешка при обработката на данни позволява на отдалечени атакуващи да предизвикат атака от тип Denial of Service (DoS) чрез TKEY заявки. Подробности: CVE-2015-5477.
- CVE-2016-3081 (Apache Struts): Уязвимост за инжектиране на команди позволява отдалечено изпълнение на произволен код чрез префикса „method:“, когато Dynamic Method Invocation е активиран. Подробности: CVE-2016-3081.
- CVE-2023-22894 (Strapi Strapi): Съхранението в чист текст на чувствителна информация позволява на потребители с достъп до административния панел да откриват чувствителни детайли чрез филтри за търсене. Това може да бъде обвързано с CVE-2023-22621 за постигане на отдалечено изпълнение на код (RCE). Подробности: CVE-2023-22894.
- CVE-2021-3199 (ONLYOFFICE Docs): Уязвимост от тип path traversal чрез последователности „/..“ в параметъра за качване на изображения (когато се използва JWT) позволява отдалечено изпълнение на код. Подробности: CVE-2021-3199.
- CVE-2015-3306 (ProFTPD): Неправилният контрол на достъпа позволява на атакуващите да четат и пишат в произволни файлове, използвайки командите „site cpfr“ и „site cpto“. Подробности: CVE-2015-3306.
Нови критични уязвимости
- CVE-2026-108576 (TOZED X300): Максимална строгост (CVSS 10). Уязвимост за инжектиране на OS команди във функцията „process_ping“ на компонента IPPingDiagnostics Handler чрез аргумента „Host“ позволява отдалечени атаки. Подробности: CVE-2026-108576.
- CVE-2026-108540 (OpenSpug Spug): Критична строгост (CVSS 9.9). Уязвимост от тип инжектиране на OS команди засяга компонента File Transfer („/exec/transfer“) до версии 3.4.0/4.0.1, позволявайки отдалечено изпълнение. Подробности: CVE-2026-108540.
- CVE-2026-108551 (openapi-typescript-codegen): Критична строгост (CVSS 9.8). Инжектиране на код чрез контролирани от атакуващи OpenAPI документи позволява изпълнението на произволен JavaScript код чрез интерполиране на нефилтрирани стойности в низови литерали. Подробности: CVE-2026-108551.
- CVE-2026-108598 (Floci): Критична строгост (CVSS 9.8). Уязвимост за инжектиране на код в VtlTemplateEngine (версии от 1.1.0 до 2.2.0) позволява на неавтентифицирани атакуващи да изпълняват команди чрез Velocity мапинг шаблони без ограничения. Подробности: CVE-2026-108598.
- CVE-2026-108707 (Wukong_HRM): Критична строгост (CVSS 9.8). Заобикалянето на автентификацията в ParamAspect чрез пропускане на AUTH-TOKEN заглавието предоставя неавтентифициран достъп до всички API крайни точки на HR платформата, излагайки на риск данните на служителите и фишовете за заплати. Подробности: CVE-2026-108707.
- CVE-2026-108753 (Agnaistic agnai): Критична строгост (CVSS 9.4). Наличието на твърдо кодирани идентификационни данни във файла „self-host.docker-compose.yml“ позволява на атакуващите да се автентифицират като администратори или да генерират собствени JWT токени, за да компрометират конфигурациите на сървъра. Подробности: CVE-2026-108753.
- CVE-2026-108860 (BotSharp): Критична строгост (CVSS 9.1). Уязвимост за заобикаляне на автентификацията в WebStarter чрез използване на твърдо кодиран JWT ключ в настройките на приложението, позволявайки фалшифициране на токени с цел представяне под чужда самоличност като всеки известен потребител или администратор в защитените маршрути. Подробности: CVE-2026-108860.
Какво препоръчваме
За да гарантирате защитата на вашите системи срещу тези заплахи, препоръчваме прилагането на следните практически мерки:
- Управление на пачове (Patch Management): Прилагайте с приоритет актуализациите за сигурност, предоставени от производителите за засегнатите продукти, като обръщате специално внимание на тези, които се експлоатират активно (BIND, Struts, ONLYOFFICE, ProFTPD, Strapi). За EoL системи обмислете тяхната подмяна или миграция.
- Одит на конфигурациите и идентификационните данни: Проверете дали конфигурационните файлове съдържат твърдо кодирани идентификационни данни (като например JWT тайни или пароли по подразбиране в docker-compose файлове). Заменете всички тайни по подразбиране с произволно генерирани и сигурни такива.
- Инвентаризация на ИТ активите (Asset Inventory): Поддържайте актуален опис на всички използвани софтуерни библиотеки и приложения (като например openapi-typescript-codegen или BotSharp), за да идентифицирате бързо уязвимите компоненти в средите за разработка и производство.
- Мониторинг и контрол на достъпа: Наблюдавайте логовете за свързване, за да откриете опити за заобикаляне на автентификацията или неоторизирани API повиквания към чувствителни системи (като например HRM платформи или помощни програми за трансфер на файлове).
Security News във вашата поща
Новите статии от Новини с пълния текст и линк към сайта. Един имейл дневно в 09:00 ч. румънско време. Ако няма нови статии на избрания език, не изпращаме имейл.
