Седмицата показа колко голям е ефектът от една компрометирана контролна точка. Активно експлоатирани слабости засегнаха Windows kernel компонент, Cisco VPN gateway и VMware vCenter; паралелно фалшиви browser extensions и убедителни „интервюта за работа“ превърнаха доверените потребителски жестове в канал за пренасочване на трафик и кражба на акаунти.
Практическият приоритет е ясен: първо коригирайте системите, които управляват достъпа до много други активи, после проверете доверените потребителски канали — browser extensions, recruitment покани и security notifications.
Не беше открито надеждно публично доказателство, че някоя от тези кампании е засегнала конкретна организация или човек в България. Затова локалната връзка е означена като условна: рискът е реален за България само при наличие на съответния продукт, extension, кандидатура за работа или Apple threat notification.
1. Windows zero-day: локален потребител може да стигне до по-високи права
CVE-2026-68820 е use-after-free в Windows Ancillary Function Driver for WinSock. Уязвимостта се експлоатира активно и позволява на вече авторизиран локален нападател да повиши правата си.
Това не е unauthenticated remote compromise: атакуващият първо трябва да има локален достъп или изпълнение на код с ниски права. Практическият риск е във веригата след phishing, malware или компрометиран потребител. Инсталирайте августовските Windows security updates, проследете patch coverage по реални endpoints и проверете системите със съмнителна първоначална активност за последващо privilege escalation. CISA определи 25 август като срок за федералните американски агенции; той е полезен ориентир, не българско законово изискване.
Няма публично потвърдена българска жертва. Връзката възниква при Windows устройства с уязвима конфигурация: домашните потребители трябва да рестартират след Windows Update, а организациите — да потвърдят успешно инсталиране и да приоритизират endpoints с internet-facing или привилегирован достъп.
2. Cisco ASA/FTD: crafted HTTP заявка може да рестартира VPN gateway
CVE-2026-20349 засяга Remote Access SSL VPN услугата в Cisco ASA и FTD. Неавтентикиран отдалечен нападател може да изпрати специално подготвена HTTP заявка и да предизвика неочакван reload — отказ на услугата, който вече се наблюдава в реални атаки.
Проверете точните software release и exposure по матрицата на Cisco и приложете посочената фиксирана версия. След update прегледайте crash/reload събитията и WebVPN логовете за повтарящи се необичайни заявки. Тук основният доказан ефект е прекъсване на достъпа, не кражба на данни; не смесвайте тази оценка с други ASA/FTD уязвимости.
Не беше намерен публично потвърден местен инцидент или засегнат оператор. Проверете inventory за ASA/FTD с активна Remote Access SSL VPN услуга; ако има такава, насрочете upgrade и план за непрекъсваемост, преди устройство да започне да се рестартира под атака.
3. VMware vCenter: активна експлоатация на unauthenticated RCE път
CVE-2026-59310 е directory traversal в Syslog server-а на vCenter. Нападател с мрежов достъп до услугата може без автентикация да изпълни произволен код; Broadcom оценява риска с CVSS 9.8, а EUVD посочва експлоатация от 10 август.
Broadcom не предлага workaround. Коригираните линии включват vCenter 9.1.0.0300, 9.0.2.0100 и 8.0 U3k. Обновете до подходящата release линия, ограничете мрежовия достъп до management plane-а и прегледайте syslog/vCenter събитията, новите процеси и промени по appliance-а. Публично достъпният vCenter трябва да се третира като incident-response приоритет.
Няма публично доказан български засегнат deployment. Ако vCenter присъства в средата, проверете не само версията, а и кои сегменти могат да достигат услугата; компрометиран management plane може да даде контрол върху много виртуални workloads наведнъж.
4. 737 Chrome VPN extensions имитират марки и пренасочват трафик
Socket свърза 737 Chrome extensions с инфраструктура за пренасочване на browser traffic през SOCKS5 proxy. Кампанията е натрупала 75 486 инсталации; 274 extensions имитират 66 реални марки, а голяма част от останалите използват сходен код и обща инфраструктура.
Основно са таргетирани рускоезични потребители, които търсят достъп до блокирани услуги. Това не доказва масова кражба на съдържание от всеки потребител, но routing-ът през чужд proxy позволява наблюдение, модификация и злоупотреба с трафика. Прегледайте chrome://extensions, премахнете непознати VPN/proxy добавки и инсталирайте само от проверен издател; организациите могат да приложат browser allowlist.
Socket не посочва българска жертва или отделна кампания за България. Рискът е пряк само ако конкретна добавка от публикувания списък е инсталирана. След съвпадение премахнете extension-а, проверете proxy настройките и сменете credentials за акаунти, използвани през него при съмнение за прихващане.
5. RecruitTrap: фалшиво интервю показва истински изглеждащ Google или Facebook прозорец
CTM360 откри над 3 000 phishing URL адреса за два месеца, които имитират recruitment процеси на повече от 50 организации. Поканата води към убедителен scheduling портал, а после към Browser-in-the-Browser прозорец с фалшив address bar, padlock и Google/Facebook login.
Кампанията филтрира корпоративни адреси и може да препредава MFA заявките в реално време. Маркетинг специалистите са най-често наблюдаваната цел, но техниката важи за всеки кандидат. Потвърдете позицията и интервюто през официалния careers сайт или самостоятелно намерен контакт; не въвеждайте Google/Facebook парола в pop-up, отворен от линк в покана.
Не беше намерена доказана RecruitTrap инфраструктура, насочена конкретно към България. Глобалният механизъм обаче е достъпен и за местни кандидати: проверявайте домейна на работодателя, а HR екипите трябва да публикуват ясен официален процес и канал за верификация.
6. Нови Apple threat notifications: сигналът е сериозен, но не идва с линк за действие
През седмицата журналисти и представители на гражданското общество съобщиха за нови Apple предупреждения за mercenary spyware. Apple определя тези атаки като редки и насочени към конкретни хора; известието е сигнал с висока увереност, не масов malware alert.
Истинското предупреждение се вижда при вход в account.apple.com и се придружава от email и iMessage. Apple изрично не иска чрез известието да отваряте линк или файл, да инсталирате app/profile или да дадете парола и verification code. При сигнал обновете устройствата, включете Lockdown Mode и потърсете специализирана помощ; не публикувайте техническите детайли преди консултация.
Няма публичен списък, който да потвърждава България в тази конкретна вълна. Ако получите съобщение, не решавайте по email-а дали е истинско — въведете самостоятелно account.apple.com в браузъра и проверете за notification в профила.
| Приоритет | Контролна точка | Минимално действие |
|---|---|---|
| Незабавно | Windows | Августовски updates; измерено patch coverage; hunt при предходна съмнителна активност |
| Незабавно | Cisco ASA/FTD VPN | Версия и exposure по Cisco matrix; upgrade; преглед на reload/WebVPN събития |
| Незабавно | VMware vCenter | Фиксирана release линия; ограничен management достъп; incident check |
| Висок | Chrome extensions | Inventory/allowlist; премахване на съвпаденията от Socket |
| Висок | Recruitment identity | Верификация през официалния careers домейн; phishing симулация за BitB |
| При сигнал | Apple threat notification | Проверка в account.apple.com; Lockdown Mode; специализирана помощ |
7. Защитата се мести от отделния endpoint към точките, които разпределят доверие
VPN gateway, virtualization manager, kernel driver, browser extension и login прозорец изглеждат различно, но изпълняват една функция: решават накъде да мине трафикът или кои права да получи следващата стъпка.
Практическият извод е да подредите тези trust brokers в отделен inventory с owner, exposure, версия и лог източник. Един месечен patch процент не е достатъчен: измервайте конкретно control-plane системите, ограничете кой ги достига и добавете проверка на provenance за extensions, recruitment покани и security notifications.
Тенденцията не доказва местен пробив. Тя дава местен начин за приоритизация: започнете от системите и човешките процеси, които могат да пренасочат много други активи, акаунти или хора с една грешка.