КИБЕР БРИФ #36
PHP2Shell вече е в каталога за активно експлоатирани уязвимости
CISA добави CVE-2026-109618 и CVE-2026-109619 в KEV след доказателства за реална експлоатация. Двата пропуска могат да доведат до изпълнение на код без автентикация още при обработката на web заявка.
Поправките са в PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. PHP Project предупреждава, че конфигурационните ограничения не са пълна защита; сигурният избор е обновяване. След patch екипите трябва да проверят дали всички работещи pools, контейнери, appliance-и и стари приложения действително използват фиксиран runtime.
Българският национален CERT предупреди за уязвимостите още през предходната седмица, но няма надеждно публично потвърждение за местен пробив. Ако поддържате PHP услуга, проверете активната версия и web логовете; наличието на пакетна актуализация само по себе си не доказва, че процесите са рестартирани.
Ivanti VPN верига стига до root и изтрива следи от атаката
CVE-2026-111357 допълва вече използвана Ivanti Connect Secure верига, която позволява на външен нападател да получи root достъп до VPN appliance-а и да посегне към вътрешни Active Directory тайни.
Volexity наблюдава кражба на credentials, LAPS пароли и BitLocker recovery keys, както и селективно изтриване на логове. Ivanti пусна поправка на 29 октомври. При изложен уязвим appliance обновяването е само първата стъпка: нужна е forensic проверка, защото вградената integrity проверка може да не открие промени, извършени само в паметта.
Не е намерена публична следа за засегната българска организация или конкретен deployment. Ако продуктът присъства в периметъра ви, обновете и проверете за lateral movement и достъп до directory услуги, вместо да приемате липсата на webshell за доказателство, че системата е чиста.
Критичният GitLab пропуск вече се използва срещу self-managed сървъри
CVE-2026-97229 с CVSS 10 позволява на неавтентикиран нападател при определени условия да изпълни код чрез специално подготвен regular expression в CI/CD конфигурация.
Засегнати са GitLab CE/EE 19.2 преди 19.2.8, 19.3 преди 19.3.5 и 19.4 преди 19.4.2. GitLab.com и Dedicated са коригирани от доставчика; self-managed инсталациите трябва да се обновят и да приложат публикуваните detection правила за опити за експлоатация.
Няма надеждно публично доказателство за български инцидент. Ако управлявате собствен GitLab, проверете точната версия, необичайни CI lint заявки, worker crashes, нови ключове и промени по pipelines; защитеният GitLab.com не означава, че вашият self-managed сървър е обновен.
Специална VPN заявка може да рестартира Cisco ASA/FTD firewall
CVE-2026-76418 се използва активно за denial of service срещу ASA и FTD устройства, когато SSL remote-access VPN е достъпен и е настроена secondary authentication. Успешен VPN login не е необходим.
Cisco публикува фиксирани версии и посочва, че няма пълен workaround. Временното изключване на secondary authentication понижава защитната стойка и трябва да се оценява внимателно; препоръчаният път е обновяване до съответната фиксирана линия и наблюдение за неочаквани reload събития.
Не е намерено публично доказателство за засегната българска мрежа. Ако имате ASA/FTD с SSL VPN, проверете едновременно софтуерната версия и конкретната tunnel-group конфигурация; продуктът не е уязвим по този път само защото е Cisco firewall.
Една Brotli слабост прескача между Node.js, Python, .NET и proxies
CVE-2026-111497 е out-of-bounds write в Brotli decoder-а, който може да бъде достигнат чрез специално подготвени компресирани данни. Последиците варират от срив и изтичане на памет до потенциално изпълнение на код.
Слабостта е в библиотеката, а не само в един framework: засегнати са различни runtime-и, language bindings и proxy конфигурации. Екипите трябва да търсят реалния декодер в production образите и dependencies, да обновят съответната фиксирана версия и да redeploy-нат услугите, които обработват непроверени Brotli потоци.
Не е намерен потвърден български проект или инцидент. Ако услуга декомпресира външни Brotli данни, проверете transitive dependencies и container layers; локално обновен SDK не променя вече изграден production image.
TeamViewer поправя remote-control слабости с потенциал за изпълнение на код
Специално подготвени screen-image данни или session recording могат да причинят memory corruption и потенциално изпълнение на код в TeamViewer клиента. Необходимо е потребителят да отвори запис или да установи remote-control сесия към злонамерен или вече компрометиран host.
Засегнати са клиентски версии преди 15.83 за Windows, Linux, macOS и Android според конкретния пропуск; публикувани са и поправки за поддържаните legacy линии. TeamViewer казва, че към момента на публикацията не знае за активно използване в реални атаки.
Няма публично потвърден български случай. Обновете до 15.83 или най-новата налична версия и не приемайте непоискани remote-control сесии или .tvs записи; рискът изисква взаимодействие, но успешната атака може да поеме правата на работещия клиент.
ГДБОП свързва един обвиняем с пробиви, кражба и продажба на лични данни
Според МВР 19-годишен обвиняем е свързан със серия атаки срещу около дузина компании, институции и медии, включително БНТ и БНР. Разследващите съобщават за лични данни на хиляди потребители, предлагани за продажба онлайн.
Сред описаните данни са имена, телефони, електронни и пощенски адреси, история на онлайн покупки и кореспонденция. Съобщението е за текущо наказателно производство: твърденията са на разследващите органи, пълният обхват още се установява и вината се решава от съда.
Организациите, които получат уведомление или установят засегнати системи, трябва да активират incident response, да ограничат компрометираните достъпи и да изпълнят приложимите задължения за уведомяване. Гражданите не бива да правят прибързани изводи, че са засегнати без съобщение от конкретния администратор на данни.
Пачът затваря слабостта, но не доказва, че нападателят не е минал по-рано
Седмицата показа общ модел: уязвимият компонент често е на доверена граница — web runtime, VPN, CI/CD, firewall или decoder — и вече има доказателства за експлоатация преди много екипи да приключат с обновяването.
Затова правилният цикъл е двоен: първо инвентаризация и patch на реално работещия компонент, после проверка за компрометация според ролята му. При VPN и GitLab това означава credentials, ключове и lateral movement; при PHP и Brotli — процеси, web логове и променени приложения; при Cisco — reload събития и загуба на услуга.
| Заплаха | Засяга | Действие |
|---|---|---|
| PHP2Shell | PHP web runtimes | Обновете и рестартирайте всички pools/контейнери |
| Ivanti root chain | Connect Secure | Пач и forensic проверка за credentials/lateral movement |
| GitLab RCE | Self-managed GitLab 19.2–19.4 | Обновете и приложете detection правилата |
| Cisco VPN DoS | ASA/FTD с SSL VPN и secondary auth | Проверете конфигурацията и обновете |
| Brotli memory corruption | Node.js, Python, .NET, proxies | Намерете реалния decoder и redeploy-нете |
| TeamViewer client flaws | Клиенти преди 15.83 | Обновете и отказвайте непоискани сесии/записи |
| Кражба на лични данни | Засегнати български организации и клиенти | Активирайте response и следвайте официални уведомления |