PaperCut потвърди атаки срещу сървъри за управление на печата
Доставчикът потвърди клиентски инциденти и активно използване на уязвимости в PaperCut MF и NG. По-критичната CVE-2026-82078 позволява на неоторизиран нападател да достигне до изпълнение на код, а CVE-2026-81578 заобикаля удостоверяването.
Засегнати са всички версии преди коригираните издания, посочени в бюлетина. PaperCut препоръчва незабавно обновяване и ограничаване на административния и потребителския уеб интерфейс само до доверени адреси. След поправката трябва да се проверят индикаторите за компрометиране, защото обновяването не премахва вече създаден достъп.
Не е открит надеждно потвърден инцидент в България. Ако използвате PaperCut MF/NG, третирайте публично достъпния сървър като спешен приоритет: приложете последния emergency patch, ограничете достъпа и проверете логовете и индикаторите от производителя.
Oracle WebLogic proxy е в активна експлоатация месеци след корекцията
CISA добави CVE-2026-21962 към каталога на доказано експлоатираните уязвимости. Проблемът е в Oracle HTTP Server/WebLogic proxy plug-in за Apache и IIS и може да бъде използван дистанционно без удостоверяване.
Oracle оценява риска с CVSS 10.0 и посочва възможност за четене, промяна и изтриване на данни. Корекцията е част от януарския Critical Patch Update; фактът, че експлоатацията е потвърдена по-късно, е силен аргумент да се търсят пропуснати proxy компоненти, а не само основните WebLogic сървъри.
Няма публично доказателство за засегната българска организация. Проверете Apache/IIS proxy plug-in версиите към WebLogic 12.2.1.4, 14.1.1 и 14.1.2 и приложете съответната Oracle корекция; прегледайте и интернет експозицията на proxy слоя.
Gitea уязвимост превръща правото за запис в изпълнение на команди
CVE-2026-60004 позволява на нападател с право за запис в repository да използва специално подготвен diff/patch, да постави изпълним Git hook и да стартира команди с правата на Gitea услугата.
CISA потвърди активна експлоатация и постави кратък срок за реакция на федералните системи. Производителят коригира проблема в Gitea 1.27.1. Екипите трябва да проверят не само версията, но и необичайни hooks, промени по repositories и процеси, стартирани от service акаунта.
Не е открит публично потвърден местен инцидент. Ако управлявате Gitea, обновете до 1.27.1 или по-нова версия и прегледайте repositories с външни contributors или широко раздадени права за запис.
Стара ownCloud слабост отново е спешна заради доказани атаки
CVE-2023-49105 може да позволи неоторизиран достъп, промяна или изтриване на файлове при определени конфигурации. И EUVD, и CISA вече я отбелязват като активно експлоатирана.
ownCloud посочва корекция в 10.13.3 и по-новите версии. Понеже слабостта е публична от години, намирането на стара инсталация трябва да задейства и проверка за компрометиране, включително неочаквани операции с файлове и подозрителни заявки към публичния интерфейс.
Няма потвърдена българска жертва. Инвентаризирайте ownCloud инсталациите, обновете поне до 10.13.3, ограничете публичния достъп и проверете логовете; не приемайте липсата на сигнал от антивирус като доказателство за чиста система.
Citrix NetScaler CVE-2026-8452 вече се използва срещу Gateway системи
CVE-2026-8452 е pre-auth memory overflow при NetScaler, конфигуриран като Gateway или AAA virtual server. CISA и EUVD потвърждават активна експлоатация.
Citrix посочва коригирани builds 14.1-72.61 и 13.1-63.18, както и отделни FIPS/NDcPP версии. Интернет-достъпният характер на Gateway прави проверката за точен build и следи от компрометиране по-важна от общо уверение, че „Citrix е обновен“.
Не е открит надеждно потвърден инцидент в България. Сверете всеки Gateway/AAA appliance с фиксираните builds, обновете и проверете публичната експозиция и логовете за необичайни заявки преди датата на корекцията.
МВР предупреждава за фалшиви „полицейски призовки“ по имейл
Активна фишинг кампания използва тема „Известие за полицейска призовка“, копира имената и знаците на МВР, ГДНП и Европол и заплашва получателя с арест до 48 часа.
Фалшивото съобщение насочва към контакт извън официалните домейни и разчита на страх, за да накара получателя да отвори прикачен файл или да отговори. МВР съветва да не се отварят файлове и линкове, да не се предоставят лични или банкови данни и всяко съмнително искане да се проверява през официалните контакти.
Кампанията имитира български държавни институции и е потвърдена от МВР. Организациите могат да предупредят служителите със същата тема на писмото и да блокират идентифицираните адреси, без да препращат опасния attachment.
cPanel пропуск може да даде root контрол над целия хостинг сървър
CVE-2026-65643 позволява на удостоверен cPanel потребител, който може да добавя parked или addon domains, да създава произволни файлове. Успешната злоупотреба може да доведе до root достъп и контрол над всички сайтове, акаунти и бази данни на сървъра.
Засегнати са всички поддържани версии преди фиксираните builds, сред които 11.110.0.141, 11.134.0.53, 11.136.0.37 и 11.138.0.2. Рискът е особено висок при shared hosting, където компрометиран нископривилегирован акаунт може да засегне много клиенти.
Не е открит публично потвърден български инцидент. Проверете точния cPanel build, приложете корекцията и прегледайте неочаквани файлове и domain-parking операции от клиентски акаунти.
Next.js на Windows получи критична корекция срещу дистанционно изпълнение на код
CVE-2026-75604 засяга Next.js приложения, хоствани върху Windows, и може да доведе до дистанционно изпълнение на код. Уязвими са версиите от 13.4 до 15.5.23 и от 16.0 до 16.3.2.
Корекциите са в 15.5.24 и 16.3.3; advisory-то не предлага workaround. Екипите трябва да проверят runtime средата, защото един и същ project може да не е уязвим на Linux, но да е изложен в Windows deployment.
Не е намерено надеждно публично доказателство за българска експлоатация. Идентифицирайте Windows-hosted Next.js приложенията и обновете до 15.5.24, 16.3.3 или по-нова поддържана версия.
JFrog Artifactory: нов критичен пробив и отделна активно експлоатирана слабост
JFrog публикува критична CVE-2026-82329, при която неоторизиран мрежов нападател може при стандартна конфигурация да придобие административни права. Паралелно CISA и EUVD потвърдиха експлоатация на CVE-2026-66384, позволяваща запис извън предназначения Docker cache път.
Това са две различни уязвимости с различни фиксирани версии. Клиентите на self-hosted Artifactory трябва да сверят таблиците на производителя и да преминат към приложимия коригиран build; JFrog посочва, че засегнатите cloud среди са укрепени от доставчика.
Няма публично потвърден местен инцидент. При self-hosted Artifactory проверете и двете CVE поотделно, обновете и прегледайте административни акаунти, Docker cache пътища и необичайни artifact операции.
Коригирано не означава приключено
Четири от новите европейски сигнали за активна експлоатация тази седмица засягат продукти, за които поправки вече съществуват. PaperCut допълва картината с потвърдени инциденти почти веднага след публичното предупреждение.
Общият оперативен урок е прост: patch management без inventory и exposure management оставя слепи петна. Първо намерете всички интернет-достъпни инстанции и техните точни builds, после обновете, ограничете достъпа и проверете за следи от атака. За критичните входни точки доказателството за успешно обновяване е част от самата корекция.
Обобщение на действията
| Тема | Кой е засегнат | Приоритет |
|---|---|---|
| PaperCut MF/NG | Организации и print services | Незабавно |
| Oracle WebLogic proxy | Java и middleware екипи | Незабавно |
| Gitea | DevOps и разработчици | Незабавно |
| ownCloud | Self-hosted cloud оператори | Незабавно |
| Citrix NetScaler | Мрежови и identity екипи | Незабавно |
| Фалшиви призовки | Граждани и всички организации | Висок |
| cPanel | Хостинг доставчици | Висок |
| Next.js | Windows web deployments | Висок |
| JFrog Artifactory | Software supply-chain екипи | Висок |