КИБЕР БРИФ #35
Два PHP пропуска дават път до изпълнение на код без вход
CVE-2026-109618 и CVE-2026-109619 позволяват remote code execution без автентикация в уязвими web конфигурации. Публикувани са proof-of-concept примери, а единственото пълно решение е обновяване.
Фиксираните версии са PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. CERT-EU предупреждава и за отделната CVE-2026-115560 при необичайни конфигурации. Администраторите трябва да проверят реално работещата версия във всеки web runtime, включително контейнери, стари pools и cron/CLI среди, а не само package manifest-а.
На 22 октомври българският национален CERT публикува конкретно предупреждение с фиксираните версии и наличието на публични exploits. Това доказва национална препоръка, не местен пробив: няма надеждно публично потвърждение за компрометиран български сайт.
Plex сървъри се превземат чрез верига от четири уязвимости
Plex потвърди активно и широко използване на CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 и CVE-2026-96656 срещу публично достъпни Plex Media Server инсталации.
Версии преди 1.43.3.10861 са засегнати. Веригата може да доведе до изпълнение на код без вход, след което нападатели инсталират cryptominer или превръщат сървъра в proxy. Plex препоръчва незабавно обновяване и при изложен стар сървър — приемане на вероятна компрометация, проверка и при нужда чисто преизграждане, излизане от всички сесии и смяна на паролата.
Не е намерен публично потвърден български случай или надеждна статистика за местни Plex инсталации. Ако вашият сървър е бил достъпен от интернет и е работил с по-стара версия, третирайте темата като приложима независимо от държавата.
Вграденият Collabora CODE сървър за Nextcloud е използван за webshell достъп
CVE-2026-110447 е command injection слабост без нужда от вход в приложението richdocumentscode. CISA и ENISA я включиха сред реално експлоатираните уязвимости.
Засегнати са версии преди 26.4.303, когато вграденият CODE server не работи коректно. Само изключване на приложението не премахва риска: Collabora препоръчва обновяване до 26.4.303 или премахване на пакета. Самостоятелните Collabora Online deployments не са засегнати от този конкретен път.
Няма надеждно публично доказателство за българска компрометация или за конкретен местен deployment. Проверете дали е инсталиран built-in CODE пакетът, обновете или го премахнете и потърсете непознати webshell файлове и процеси.
Arista VeloCloud Orchestrator позволява ескалация до суперпотребител
CVE-2026-114625 позволява на автентикиран потребител да се превърне в superuser operator. Arista и CISA потвърждават активно използване на слабостта.
Засегнати са 5.2.x преди 5.2.3.18, 6.1.x преди 6.1.3.10 и 6.4.x преди 6.4.2.12. Хостваните и dedicated среди са обновени от доставчика; self-hosted администраторите трябва да приложат фиксираните версии и да извършат forensic triage на акаунти, роли и административни действия.
Не е намерено публично доказателство за засегната българска организация или deployment. Ако управлявате self-hosted VeloCloud Orchestrator, инвентаризирайте версията и прегледайте привилегированите операции, вместо да разчитате само на промяна на пароли.
Подписана Siemens програма е превърната в носител на злонамерена DLL
CVE-2026-110936 се използва активно чрез DLL side-loading: легитимно подписана програма на Siemens Software Center зарежда злонамерена библиотека след подвеждаща ClickFix инструкция.
Поправката е в Siemens Software Center 4.0.9.8. Siemens подчертава, че няма пробив в неговите системи, продукти или update канали; атаката злоупотребява с доверена локална програма. Освен обновяване, екипите трябва да проверят публикуваните индикатори и да напомнят на хората да не поставят команди от уеб страница в Run или PowerShell.
Не е открита надеждна публична следа за българска жертва или конкретна местна инсталация. Рискът е приложим само при наличен Siemens Software Center; подписът на програмата не прави заредената от нея DLL автоматично безопасна.
Нова GitLab уязвимост с CVSS 10 позволява код без автентикация
CVE-2026-110264 позволява remote code execution без вход в широк диапазон self-managed GitLab CE/EE версии. GitLab.com и Dedicated са коригирани от доставчика.
Фиксираните версии са 18.11.13, 19.0.10, 19.1.9, 19.2.9, 19.3.6, 19.4.3 и 19.5.1. Self-managed екипите трябва да обновят незабавно и да приложат публикуваните detection rules, като проверят необичайни процеси, CI/CD промени и нови ключове след релевантния период.
Не е намерена публично потвърдена българска експлоатация или инсталация. Ако поддържате self-managed GitLab, фактът, че SaaS услугата вече е защитена, не променя задължението да обновите собствената среда.
Malformed Brotli поток може да срине или превземе Node.js процес
CVE-2026-111497 е high-severity out-of-bounds write при обработка на специално подготвени Brotli данни. Резултатът може да бъде crash, memory disclosure или remote code execution.
Фиксираните версии са Node.js 22.23.4, 24.22.1 и 26.12.1. Официалното съобщение не твърди реална експлоатация, затова приоритетът трябва да се основава на exposure: услуги, които декомпресират непроверени Brotli потоци, са по-спешни от локални инструменти без външен вход.
Няма надеждно публично доказателство за български засегнат проект или атака. Проверете runtime-а в production image-а, обновете до фиксирана линия и redeploy-нете; промяна само на локалния developer Node.js не защитава работещата услуга.
Помощните страници на WhatsApp са разкрили скрити инструкции за AI chatbot
Изследователи откриват 102 скрити instruction блока в 80 от 545 проверени WhatsApp Help Center страници. Meta ги премахва, след като е уведомена.
Публичните доказателства показват изложени инструкции, но не доказват, че chatbot ги е изпълнил, че външни AI системи са им се подчинили или че са настъпили вреди. Случаят е важен, защото напомня, че невидимият за читателя текст може да влияе върху автоматизирани помощници и трябва да подлежи на същия контрол като видимото съдържание.
Няма данни за отделен български инцидент. Ако смятате, че обработването на лични данни е нарушило правата ви, Комисията за защита на личните данни описва официалния ред за жалби и сигнали; тази възможност не е доказателство, че конкретният случай е причинил нарушение.
НАПОО спря информационната си система превантивно около изборния уикенд
Агенцията обяви временно спиране на достъпа до информационната си система от 17:30 ч. на 23 октомври до 09:30 ч. на 26 октомври заради потенциални кибератаки около президентските избори.
Това е мярка за ограничаване на риска, а не съобщение за установен пробив. Публичният текст не описва индикатори, жертви или нарушена цялост на данни. Практическата стойност е в ясния прозорец на недостъпност и предварителното информиране на центровете за обучение.
Съобщението е за българска държавна система и конкретен период. Не го представяйте като доказателство за атака: след възстановяването проверявайте само официалния адрес и сигнализирайте за неочаквани login страници или искания за пароли.
Довереният междинен слой се превръща в основна входна точка
Повечето водещи истории не започват с екзотичен malware, а със слой, който вече има доверие: web runtime, media server, office integration, management plane, CI/CD платформа, compression library или подписана helper програма.
Затова patch управлението трябва да следи не само приложенията, а и embedded компоненти, side-loaded библиотеки и production runtime версии. Където има потвърдена експлоатация, обновяването трябва да върви с compromise assessment; където има само техническа възможност, приоритетът се определя от реалния външен вход.
Няма общо доказателство за българска кампания по тези случаи. Добавете runtimes, вградени office сървъри, management consoles и signed helper tools към asset inventory, exposure review и tabletop сценарии, вместо да ги оставяте скрити под името на основното приложение.
| Заплаха | Засяга | Действие |
|---|---|---|
| PHP CVE-2026-109618/109619 | Web runtime и hosting среди | Обновете до фиксирана PHP линия и проверете всички pools |
| Plex exploitation chain | Plex Media Server преди 1.43.3.10861 | Обновете; при публичен стар сървър направете compromise assessment |
| Collabora CVE-2026-110447 | Nextcloud built-in CODE преди 26.4.303 | Обновете или премахнете пакета и потърсете webshells |
| Arista CVE-2026-114625 | Self-hosted VeloCloud Orchestrator | Patch и forensic triage на роли и административни действия |
| Siemens CVE-2026-110936 | Software Center преди 4.0.9.8 | Обновете, проверете IOC и блокирайте ClickFix навици |
| GitLab CVE-2026-110264 | Широк диапазон self-managed GitLab | Обновете до фиксирана patch версия и приложете detection rules |
| Node.js CVE-2026-111497 | Услуги, които обработват Brotli вход | Обновете runtime-а и redeploy-нете production image-а |
| WhatsApp hidden instructions | AI-assisted help content | Разграничавайте изложена инструкция от доказана изпълнена атака |
| НАПОО election precaution | Потребители на информационната система | Следвайте официалния прозорец; не го представяйте като потвърден пробив |