КИБЕР БРИФ #34
Специално подготвен имейл може да даде root достъп до Cisco Secure Email Gateway
Cisco потвърди активно експлоатиране на CVE-2026-76519: неподписан нападател може да изпрати crafted attachment през засегнат Secure Email Gateway и да записва файлове или изпълнява команди с root права.
Засегнати са физически и виртуални appliances с активна File Reputation услуга и Content Scanner Tools преди 25.3.0.5525. Няма workaround. Cisco разпространява корекцията чрез актуализирания scanner package и фиксирани AsyncOS версии, а CERT-EU препоръчва и проверка за компрометиране, защото root достъпът позволява заличаване на локални следи.
Не е открита надеждна публична следа за засегната българска организация. Ако поддържате Cisco Secure Email Gateway, проверете File Reputation и версията с contentscannerstatus, обновете незабавно и сверете device, firewall и network logs; липсата на локален alert не изключва компрометиране.
BeyondTrust Remote Support zero-day е използван за целеви пробиви преди публичното разкриване
CVE-2026-102764 позволява на отдалечен нападател да извършва файлови операции върху Remote Support appliance. BeyondTrust потвърждава, че China-nexus групата ARMORY CASTLE е използвала пропуска като zero-day срещу отделни хоствани и self-hosted системи.
Всички Remote Support версии до 26.2.3 включително са засегнати. SaaS инстанциите са коригирани от доставчика, но self-hosted клиентите трябва да приложат BT26-05-RS patch; инсталации преди 24.3.1 първо трябва да бъдат обновени до поддържана версия. Vendor анализът предупреждава, че след публичното разкриване е вероятно по-широко сканиране.
Няма публично потвърден български засегнат клиент. Ако организацията ви използва self-hosted BeyondTrust Remote Support или Privileged Remote Access, проверете patch статуса и vendor индикаторите; външен remote-support appliance следва да се третира като възможна входна точка, а не само като помощен инструмент.
Активно използван Windows Shell пропуск заобикаля защитна проверка на файлове
Microsoft поправи CVE-2026-96951 — command injection слабост в Windows Shell, която позволява на неоторизиран нападател да заобиколи security feature през мрежата. Microsoft и CISA я отбелязват като експлоатирана в реални атаки.
Уязвимостта е с CVSS 8.8 и засяга поддържани издания на Windows 10, Windows 11 и Windows Server. Експлоатацията изисква взаимодействие от потребителя, което прави подвеждащи файлове и връзки вероятен доставящ механизъм. Поправката е част от октомврийските cumulative security updates.
Не е открита надеждна информация за конкретна българска кампания. Инсталирайте октомврийските security updates чрез Windows Update или управляваната patch система; докато rollout-ът приключи, не приемайте обикновената икона или липсата на предупреждение като доказателство, че свален файл е безопасен.
ГДБОП посочи фалшив домейн, който имитира плащане към електронни услуги
В публичния списък на ГДБОП за 12 октомври фигурира домейнът euslugi-payment.cc с максимален phishing резултат. Името е създадено така, че да напомня легитимно плащане към електронна административна услуга.
Публикацията не посочва брой жертви, конкретна институция или размер на загубите, затова не може да се прави извод за мащаба на кампанията. Самото наличие в официалния регистър е достатъчен сигнал адресът да не бъде посещаван и да не се въвеждат лични или платежни данни.
Сигналът е от българската дирекция „Киберпрестъпност“. Отваряйте е-услуги чрез официално изписан адрес или запазен bookmark, а не през SMS, реклама или неочакван имейл; при вече въведени картови данни се свържете незабавно с банката и подайте сигнал в полицията.
Компрометиран update сървър на AOMEI е доставял backdoor само в кратки прозорци
Нападатели са променяли update конфигурацията на AOMEI Backupper за пет до десет минути, така че част от клиентите да изтеглят CROSSROAD downloader и SHINYROAD backdoor през легитимния механизъм за обновяване.
Наблюдаваните прозорци са между май и юли 2026 г., а изследването е публикувано тази седмица. Кратките промени са намалявали вероятността атаката да бъде уловена от периодични проверки. AOMEI е уведомена и според Google е предприела действия за защита на distribution сървърите; потенциално засегнатите организации са получили отделни известия.
Не е намерено публично потвърждение за българска жертва. Ако AOMEI Backupper или AnyViewer са били активни през посочените периоди, проверете публикуваните hashes, domains, scheduled tasks и Radmin/Adaptix индикатори; само преинсталиране на последната версия не заменя compromise assessment.
ConnectWise спря Cloud Backup достъпа след пробив в application identities
ConnectWise потвърди неоторизиран достъп до application identities, използвани от Cloud Backup, и отмени сертификатите за засегнатите връзки, което временно прекъсна backup и restore услугите за партньори и клиенти.
Доставчикът съобщава, че няма индикатори самият backup archive да е компрометиран, но не може самостоятелно да определи дали във всяка клиентска Microsoft 365 среда е имало неоторизирана активност. Затова публикува стъпки за преглед на Entra sign-ins, audit logs, service principals, secrets и mailbox rules.
Не е открито надеждно публично доказателство за засегнат български tenant. Ако ползвате ConnectWise Cloud Backup или бившата SkyKick услуга, следвайте incident update-а, пазете Entra logs и проверете всяка свързана application identity; не приемайте липсата на засегнати backup данни като доказателство, че tenant активността е чиста.
Критичен GitLab пропуск позволява изпълнение на код през CI/CD конфигурация
CVE-2026-97229 с CVSS 10.0 позволява при определени условия неоторизиран потребител да изпълни код на self-managed GitLab сървър чрез специално подготвен regular expression в CI/CD конфигурация.
Засегнати са GitLab CE/EE 19.2 преди 19.2.8, 19.3 преди 19.3.5 и 19.4 преди 19.4.2. GitLab.com и Dedicated са коригирани от доставчика; self-managed администраторите трябва да планират незабавно обновяване, включително необходимите database migrations и downtime за single-node инсталации.
Не е открита публично потвърдена българска компрометация. Ако поддържате self-managed GitLab, инвентаризирайте точната minor версия, обновете до 19.2.8, 19.3.5, 19.4.2 или по-нова поддържана версия и прегледайте необичайни CI/CD промени и изпълнения след patch-а.
Next.js поправи два критични пътя до изпълнение на код без вход
Две критични уязвимости позволяват remote code execution без автентикация при конкретни Next.js конфигурации: Cache Components с use cache и typed arrays, или Image Optimization на SVG върху glibc Linux.
Поправките са в Next.js 16.4.1 и 15.5.28. За cache проблема няма workaround и проектът препоръчва незабавно обновяване. При SVG пътя временно помага sharp 0.35.5 или по-нова версия. Отделен high-severity проблем в Server Actions може да блокира Node процеса чрез прекомерно CPU натоварване.
Не е намерен публично потвърден български засегнат сайт. Ако приложението ви използва Next.js 15 или 16, проверете реално resolved версиите на next и sharp, обновете и redeploy-нете; промяна само в package manifest без актуален lockfile и нов build може да остави уязвимия код в production.
България публикува две конкретни мерки за дигиталната целостта на президентските избори
МИДТ обяви trusted build на кода за машините за гласуване в защитена среда, а МВР съобщи за активен мониторинг на киберпространството с дирекция „Киберпрестъпност“ преди и по време на изборния ден.
Публично генерираният hash позволява да се проверява автентичността на използвания софтуер. Отделно МВР описва превантивен monitoring, но не съобщава за установена атака. Двете мерки адресират различни рискове: целостта на кода и наблюдението за външна активност.
Това са официално потвърдени действия за изборите на 25 октомври, а не доказателство за киберинцидент. При твърдения за „пробит код“ или „хакнати избори“ търсете конкретен технически факт, проверим hash или официален incident report, вместо да приравнявате превантивния monitoring с установена атака.
Атаката вече цели връзката между системите, не само самата система
Четири от водещите истории засягат доверен посредник: email gateway, remote-support appliance, update канал или application identity на backup доставчик. Компрометирането им превръща нормална административна връзка в път към много downstream системи.
Практическият извод е да се наблюдават не само крайните устройства, а и service principals, updater traffic, management planes и supplier-issued credentials. За тези точки са нужни отделни owners, ограничени права, външни logs и план за бързо отнемане на достъп, защото компрометираният посредник може да скрие следите в собствената си система.
Българският Закон за киберсигурност и NIS2 рамката поставят акцент върху риска по веригата на доставки, но това не доказва местен инцидент по описаните случаи. Добавете външните управленски и update връзки към asset inventory, договорните уведомления и tabletop сценариите за прекъсване на supplier access.
| Заплаха | Засяга | Действие |
|---|---|---|
| Cisco SEG CVE-2026-76519 | Email gateways с AMP/File Reputation | Обновете scanner/AsyncOS и проверете външните logs |
| BeyondTrust CVE-2026-102764 | Remote Support до 26.2.3 | Приложете BT26-05 patch и проверете индикаторите |
| Windows CVE-2026-96951 | Windows 10/11 и Windows Server | Инсталирайте октомврийските security updates |
| Фалшиво плащане за е-услуги | Български граждани | Не отваряйте euslugi-payment.cc; уведомете банката при въведени данни |
| AOMEI supply-chain compromise | Backupper и AnyViewer среди | Проверете IOC, tasks и необичаен updater traffic |
| ConnectWise Cloud Backup incident | MSP и Microsoft 365 tenants | Запазете и анализирайте Entra audit/sign-in logs |
| GitLab CVE-2026-97229 | Self-managed GitLab 19.2–19.4 | Обновете до фиксираната patch версия |
| Next.js critical RCE | Next.js 15/16 приложения | Обновете, заключете dependencies и redeploy-нете |
| Изборна дигитална цялост | Институции, медии и избиратели | Проверявайте твърденията чрез hash и официални incident данни |