Бюлетин за киберсигурност – 9 септември 2026 г.

Екипът на CyberSec Intelligence (csint.ro) ви представя ежедневния анализ на киберзаплахите за 9 септември 2026 г. Този бюлетин обхваща уязвимостите, добавени наскоро в каталога на CISA KEV като активно експлоатирани в реални атаки, критичните актуализации за сигурност от NVD и най-важните новини от специализираната преса.

Активно експлоатирани уязвимости

Следните пробиви в сигурността се използват в текущи атаки и изискват незабавно прилагане на пачове за сигурност:

CVE-2026-75650 (Adobe Commerce и Magento): Неправилното неутрализиране на специални елементи в двигателя за шаблони позволява на атакуващ да изпълни произволен код. Sursă NVD.

CVE-2026-81963 (Microsoft Windows): Уязвимост от тип link following в Windows Update Stack позволява на локален атакуващ да ескалира привилегиите си до ниво SYSTEM. Sursă NVD.

CVE-2026-86218 (N-able N-central): Инжектиране на статичен код, което позволява отдалечено изпълнение на код (RCE) преди удостоверяване. Sursă NVD.

CVE-2026-85880 (Microsoft Windows): Препълване на буфера (heap-based buffer overflow) в Advanced Local Procedure Call, което позволява локално ескалиране на привилегиите. Sursă NVD.

CVE-2026-85046 (Google Chromium V8): Уязвимост от тип type confusion, която позволява на отдалечен атакуващ да изпълни произволен код в sandbox чрез компрометирана HTML страница. Засяга браузърите, базирани на Chromium, включително Google Chrome, Microsoft Edge и Opera. Sursă NVD.

CVE-2026-59822 (BerriAI LiteLLM): Неправилно удостоверяване в HTTP MCP Streamable крайната точка, което позволява на неудостоверен атакуващ да създаде валидна сесия, използвайки произволен Bearer токен. Sursă NVD.

CVE-2026-48710 (Kludex Starlette): Уязвимост от тип request/response smuggling, която позволява инжектиране на мрежови пътища в хоста, улеснявайки заобикалянето на удостоверяването; може да бъде свързана с CVE-2026-42271. Sursă NVD.

CVE-2026-49869 (Kestra Kestra OSS): Инжектиране на OS команди, което позволява на отдалечени неудостоверени атакуващи да създават и изпълняват произволни работни процеси (workflows) без идентификационни данни. Sursă NVD.

CVE-2026-82329 (JFrog Artifactory): Конфигурацията по подразбиране представя уязвимост за дефектно удостоверяване, което позволява получаване на администраторски права от неудостоверени потребители в мрежата. Sursă NVD.

CVE-2026-9586 (Sangoma Switchvox): SQL инжектиране, което позволява на отдалечен неудостоверен атакуващ да изпълнява произволни SQL команди върху свързаната база данни PostgreSQL, позволявайки също така отдалечено изпълнение на код. Sursă NVD.

CVE-2026-83548 (SonicWall SMA1000): Server-Side Request Forgery (SSRF), което позволява на отдалечени неудостоверени атакуващи да получат неоторизиран достъп до чувствителни функции на системата. Sursă NVD.

CVE-2026-83549 (SonicWall SMA1000): Инжектиране на команди в операционната система, което позволява на удостоверен като администратор потребител да изпълни отдалечен код. Sursă NVD.

Нови критични уязвимости

Следните пробиви бяха идентифицирани наскоро и класифицирани с критично ниво на сериозност от NVD, представяйки високи рискове за засегнатите инфраструктури:

CVE-2026-79698 (Advantech WISE-6610 series): Уязвимост от тип command injection в компонента Node-RED Library (функция nodered_lib_apply) чрез аргумента „act“. Възможно е отдалечено експлоатиране, а експлойтът е публичен. Препоръчва се актуализация до версия 1.2.4_20260821. Sursă NVD.

CVE-2026-86299 (Linksys RE7000): Инжектиране на OS команди в компонента PingTest Handler в json.cgi, чрез манипулиране на аргументите за ping тестване. Атаката може да бъде стартирана отдалечено, като експлойтът е публичен. Sursă NVD.

CVE-2026-86543 (knowns): Версиите преди 0.30.0 излагат административния API без удостоверяване на всички мрежови интерфейси по подразбиране. Атакуващите могат да осъществят достъп до неудостоверена крайна точка, за да изложат публично API. Sursă NVD.

CVE-2026-86509 (D-Link DIR-895L): Stack-based buffer overflow в компонента udhcpcd, което позволява извършването на атаки в локалната мрежа. Наличен е публичен експлойт. Sursă NVD.

CVE-2026-61516 (Netis NX10): Изтичане на информация в уеб интерфейса за администрация на фърмуера (версии V4.0.1.5808 и V3.0.0.4142), което позволява получаване на администраторската парола без валидна сесия. Sursă NVD.

CVE-2026-68839 (Windows USB Mass Storage): Heap-based buffer overflow в драйвера за съхранение USB Mass Storage в Windows, което позволява на неоторизиран атакуващ отдалечено изпълнение на код по мрежата. Sursă NVD.

CVE-2026-69356 (Microsoft Exchange Server): Неправилно неутрализиране на входните данни при генериране на уеб страници (Cross-Site Scripting – XSS), което позволява на отдалечени атакуващи да извършват дейности по спуфинг. Sursă NVD.

CVE-2026-69408 (Microsoft Windows Media Foundation): Integer overflow в компонента Media Foundation, което позволява изпълнение на код по мрежата от неоторизиран атакуващ. Sursă NVD.

CVE-2026-69431 (Windows Telnet Client): Heap-based buffer overflow, което позволява отдалечено изпълнение на код по мрежата от неоторизиран атакуващ. Sursă NVD.

CVE-2026-69525 (Windows Remote Desktop Services): Уязвимост от тип „use after free“, която може да позволи на неоторизиран атакуващ да изпълни отдалечен код. Sursă NVD.

CVE-2026-69579 (Windows Message Queuing): Грешка „use after free“, използваема от неоторизирани атакуващи за стартиране на код отдалечено по мрежата. Sursă NVD.

CVE-2026-69586 (Microsoft Windows PDF): Грешка от тип integer overflow при обработката на PDF файлове, улесняваща отдалечено изпълнение на код. Sursă NVD.

От пресата за сигурност

Публикуван публичен експлойт за уязвимост от тип Padding-Oracle в Telerik UI

Анализ, публикуван от фирмата за сигурност TantoSec, демонстрира как уязвимост от тип padding oracle (AES-CBC) в Telerik UI за ASP.NET AJAX може да бъде свързана с цел получаване на отдалечено изпълнение на код без удостоверяване. Атаката е насочена изключително към приложения в специфична, не-подразбираща се конфигурация. Въпреки че експлойтът е публично достъпен, компанията Progress пусна съответния пач през юли, като до момента няма доклади за активна експлоатация в реална среда. Sursă The Hacker News.

N-able издава четвърти хотфикс за пет седмици за платформата N-central

Производителят N-able пусна нова спешна актуализация (Hotfix 4) за своята платформа за отдалечено наблюдение и управление (RMM) N-central поради риск от неудостоверена RCE уязвимост. Засегнати са всички on-premises версии преди 2026.3.1.14. Въпреки че подозренията за експлоатация в реална среда не са потвърдени официално в бележките по изданието, прилагането на корекциите се счита за критично. Sursă The Hacker News.

Какво препоръчваме

За да се осигури защитата на IT инфраструктурата срещу тези заплахи, препоръчваме прилагането на следните мерки:

Управление на пачовете (Patch Management): Приложете незабавно актуализациите за операционните системи Microsoft Windows, Microsoft Exchange Server и активните мрежови компоненти. Дайте приоритет на корекциите за уеб инструменти, изложени външно (Adobe Commerce, N-able N-central, SonicWall).

Инвентаризация на активите: Поддържайте актуален регистър на цялото мрежово оборудване (включително IoT устройства Advantech и рутери Linksys/D-Link), за да осигурите бързо идентифициране на уязвимите продукти.

Мониторинг и ограничаване на мрежовия достъп: Ограничете достъпа до интерфейсите за управление на API и операционните системи. Внедрете строги правила за защитна стена (firewall) и наблюдавайте регистрационните файлове за връзки, за да откриете евентуални неоторизирани връзки или атаки от тип tunneling.