Екипът на CyberSec Intelligence представя ежедневния бюлетин за киберсигурност за 20 октомври 2026 г. Днешният анализ подчертава значителен обем от активно експлоатирани уязвимости в критични системи за отдалечен достъп, мрежи и съобщения, както и поредица от сериозни пробиви, открити в платформи за изкуствен интелект и системи за управление на съдържанието (CMS).
Активно експлоатирани уязвимости
- BeyondTrust Remote Support (CVE-2026-102764): Заобикаляне на автентификацията чрез spoofing, което позволява на отдалечени атакуващи да извършват операции с файлове на устройството. Подробности: CVE-2026-102764.
- Fortinet Multiple Products (CVE-2025-61624): Path traversal във FortiOS, FortiPAM, FortiProxy и FortiSwitchManager, което позволява на автентикиран атакуващ с права за четене и запис да изтрива или записва произволни файлове чрез специфични CLI команди. Подробности: CVE-2025-61624.
- Atlassian Multiple Products (CVE-2026-21589): Разкриване на файлове или директории на външни страни в Bitbucket, Confluence, Jira, Bamboo, Crowd, Crucible и Fisheye, което предоставя на неавтентикиран атакуващ достъп до файлове в кореновата директория на уеб приложението. Подробности: CVE-2026-21589.
- Ahsay AhsayCBS (CVE-2026-105134 и CVE-2026-105133): Внедряване на команди (CVE-2026-105134), което може да бъде комбинирано с уязвимост от неправилна автентификация (CVE-2026-105133) за заобикаляне на автентификацията и изпълнение на команди в операционната система. Подробности: CVE-2026-105134 и CVE-2026-105133.
- Cisco Secure Email Gateway (CVE-2026-76519): Относителен path traversal, който позволява на отдалечен неавтентикиран атакуващ да записва произволни файлове в хост операционната система. Подробности: CVE-2026-76519.
- Palo Alto Networks PAN-OS (CVE-2026-0322): Внедряване на код, което позволява на автентикиран атакуващ с мрежов достъп да изпълнява произволен код с root привилегии на защитната стена. Подробности: CVE-2026-0322.
- Ivanti Connect Secure (CVE-2026-104935): Заобикаляне на автентификацията чрез spoofing, което позволява на отдалечен неавтентикиран атакуващ да изпълнява произволни команди. Подробности: CVE-2026-104935.
- Microsoft Windows (CVE-2026-96951): Внедряване на команди в Windows Shell, което позволява на неупълномощен атакуващ да заобиколи функция за сигурност през мрежата. Подробности: CVE-2026-96951.
Нови критични уязвимости
- Rank Math SEO PRO за WordPress (CVE-2026-111862): Компрометиране по веригата за доставки (supply-chain) в пакетите, изтеглени между 15 и 16 октомври 2026 г. Засегнатите версии съдържат зловреден софтуер, който може да създаде скрити задни врати (backdoors) и да компрометира идентификационните данни за WordPress. Подробности: CVE-2026-111862.
- Cognition (CVE-2026-109437): Неавтентикирано отдалечено изпълнение на код (RCE), причинено от липса на автентификация в REST/SSE API и използване на локална пясъчница (sandbox) по подразбиране. Подробности: CVE-2026-109437.
- Craft CMS (CVE-2026-112776): Заобикаляне на оторизацията в GraphQL токени, което позволява модифициране или изтриване на съдържание на други сайтове в рамките на същия инстанс. Подробности: CVE-2026-112776.
- Grav API plugin (CVE-2026-112779): Изчерпване на ресурсите за съхранение (диск/APCu) чрез злонамерени заявки за превод или създаване на неоторизирани страници поради липса на проверки на правилата за страници. Подробности: CVE-2026-112779.
- H3C Magic NX15 (CVE-2026-112370 и CVE-2026-112371): Уязвимости за внедряване на OS команди и съответно на код в RPC интерфейса, експлоатируеми отдалечено. Подробности: CVE-2026-112370 и CVE-2026-112371.
- Ning compress-lzf (CVE-2026-109395): Изтичане на информация от JVM heap или срив на виртуалната машина чрез специално проектирани LZF потоци. Подробности: CVE-2026-109395.
- piflow (CVE-2026-109442): Липса на автентификация в чат точката (endpoint) на DeepAgents, което позволява на атакуващите да извикват shell инструменти и да изпълняват произволни команди. Подробности: CVE-2026-109442.
- Langchain-Chatchat (CVE-2026-75128): Неавтентикирано извикване на shell инструмента на крайна точка `/tools/call`, позволяващо изпълнение на OS команди като root в Docker среда. Подробности: CVE-2026-75128.
- DB-GPT (CVE-2026-77932 и CVE-2026-77933): Неавтентикирано изпълнение на Python или bash код чрез ReAct агент, както и предварително дефинирана парола за root за MySQL в docker-compose. Подробности: CVE-2026-77932 и CVE-2026-77933.
- Letta (CVE-2026-77936): Липса на автентификация на API маршрутите в конфигурацията по подразбиране, съчетана с предварително дефинирани PostgreSQL идентификационни данни, позволяващи изпълнение на команди чрез външни системи. Подробности: CVE-2026-77936.
От пресата за сигурност
Weekly Recap: 98 Zero-Days, Rogue AI Agents, $100M Crypto Theft, 700 Supermarkets Hit and More – Седмичен обзор, който подчертава факта, че сериозните пробиви могат да произтичат от доверени услуги, нови устройства или неконтролирани системи, където щетите възникват преди откриването на аномалиите. Подробности: The Hacker News.
Какво препоръчваме
- Строго управление на пачовете: Приложете незабавно актуализациите за външно изложените решения (Fortinet, Palo Alto Networks, Cisco, Ivanti, BeyondTrust).
- Защита на платформите за AI и разработка: Ограничете излагането в интернет за решения като Letta, DB-GPT и Langchain, като деактивирате конфигурациите по подразбиране без автентификация.
- Отстраняване на проблеми във веригата за доставки (supply-chain): Ако използвате Rank Math SEO PRO, проверете датата на изтегляне на версия 3.0.123 и надстройте до 3.0.124.
- Внедряване на принципа за най-малки привилегии: Ограничете изпълнението на системни скриптове от уеб приложенията и изолирайте средите за изпълнение (контейнерите), които използват вътрешни бази данни.
Security News във вашата поща
Новите статии от Новини с пълния текст и линк към сайта. Един имейл дневно в 09:00 ч. румънско време. Ако няма нови статии на избрания език, не изпращаме имейл.
