#дайджест

Главное к исходу пятницы (28.08):

🔸 Microsoft SharePoint: критические RCE-уязвимости эксплуатируются злоумышленниками

🔸 PaperCut NG/MF: критическая 0-day уязвимость эксплуатируется в реальных атаках

🔸 GiveWP: внедрение PHP-объектов ведет к удаленному выполнению кода

🔸 APT-группа GOFFEE использует фишинг для распространения WarpRAT и PowerShell-бэкдора в РФ

🔸 Microsoft Entra ID: критическая уязвимость с оценкой 10,0 CVSS не эксплуатируется

Атаки на Langflow: две группировки используют разные методы для компрометации ИИ-платформы

Исследователи VulnCheck зафиксировали рост числа атак на платформу Langflow. В первой половине 2026 года было обнаружено 11 новых уязвимостей, которые активно эксплуатировались злоумышленниками. Ранее была известна только одна такая уязвимость.

Атаки на Langflow используют различные векторы. Одна группировка эксплуатирует CVE-2026-5027 для получения удалённого выполнения кода, установки вредоносного ПО для кражи учётных данных и бэкдоров. Другая группировка использует CVE-2025-3248 для выполнения произвольного кода и последующего развёртывания майнера криптовалют, скрывая следы своей деятельности.

ⓘ Что такое Langflow
Langflow — это open-source платформа для создания и развёртывания ИИ-агентов и рабочих процессов. Проект был приобретён IBM в 2024 году. Платформа позволяет развёртывать ИИ-сервисы с публичным доступом к интерфейсу, что увеличивает вероятность сетевого раскрытия.

Источник: VulnCheck
@cbunit

Microsoft SharePoint: цепочка RCE из двух уязвимостей позволяет выполнить код без аутентификации

▤ Разбор

Исследователи VulnCheck разработали эксплойт, объединяющий две уязвимости в Microsoft SharePoint: CVE-2026-55040 и CVE-2026-63520. Комбинация позволяет удалённому неаутентифицированному злоумышленнику обойти аутентификацию и выполнить код на уязвимых серверах SharePoint.

CVE-2026-55040 представляет собой обход аутентификации JWT-токенов, а CVE-2026-63520 — небезопасную инстанциацию .NET-типов. Уязвимости были обнаружены Стивеном Фьюрером из Rapid7. Эксплойт доступен клиентам VulnCheck Initial Access Intelligence.

ⓘ Что такое Microsoft SharePoint
Microsoft SharePoint — это платформа для совместной работы и управления документами. Она используется для создания сайтов, обмена файлами, управления контентом и автоматизации бизнес-процессов. SharePoint имеет широкое распространение и часто доступен из интернета, что делает его привлекательной целью для атак.

POST /_api/web/GetFolderByServerRelativeUrl('BusinessDataMetadataCatalog')/Files/add(url='blah.bdcm',overwrite=true) HTTP/1.1
Host: spse
User-Agent: curl/8.20.0
Authorization: Bearer eyJhbGciOiAibm9uZSIsICJ0eXAiOiAiSldUIn0.eyJhdWQ_OMITTED_FORGED_JWT_FROM_RAPID7_POC
Accept: application/json;odata=verbose
X-Requestdigest: 0x0CC55811194B3_OMITTED_DIGEST_OBTAINED_FROM_RAPID7_POC,22 Aug 2026 20:58:15 -0000
Content-Type: text/xml
Content-Length: 6426
Connection: keep-alive

<?xml version="1.0" encoding="utf-8"?>
…

Источник: VulnCheck
@cbunit

Cisco устранила внутренние уязвимости в Secure Workload

▤ Разбор

Cisco выпустила обновления безопасности для Cisco Secure Workload. Инженеры компании обнаружили и устранили несколько уязвимостей в ходе внутреннего тестирования.

Уязвимости не эксплуатируются злоумышленниками. Cisco сгруппировала проблемы по классам CWE и присвоила каждой группе идентификатор CVE. Обновления доступны для установки, обходных путей для устранения уязвимостей нет.

Источник: Cisco PSIRT
@cbunit

Серверы PaperCut атакуют: 47% версий остаются без патча

Серверы PaperCut подвергаются активным атакам. 47% установленных версий уязвимы к удалённому выполнению кода.

Уязвимость CVE-2026-81578 позволяет злоумышленнику отображать одну страницу, выполняя действие с другой. Это происходит из-за ошибки проверки разрешений. Уязвимость CVE-2026-82078 в утилитах базы данных позволяет загружать небезопасные Java-классы и выполнять произвольный код.

Атаки носят разведывательный характер: злоумышленники запускают базовые команды для определения учётной записи и версии ОС. Следы атаки включают вредоносный Java-класс в директории установки PaperCut и запись в логе базы данных Derby. PaperCut выпустила экстренный патч, а затем обновление. Для версий 23 и старше патча пока нет.

ⓘ PaperCut — ПО для управления печатью
PaperCut — программное обеспечение для управления печатью, используемое в школах, больницах и офисах по всему миру. Оно отслеживает и контролирует использование принтеров и копировальных аппаратов. Уязвимости в этом ПО могут позволить злоумышленникам получить несанкционированный доступ к серверам, на которых оно установлено.

❝Huntress reproduced a full pre-authentication RCE chain against a vanilla PaperCut NG 25.0.11.75758 server. We have reached out to PaperCut to coordinate with them on continued vulnerability analysis.❞
— Huntress

Источник: Security Affairs
@cbunit

Иллюстрация из материала Security Affairs

#дайджест

Главное за неделю (23.08–29.08):

🔸 Агенты OpenAI скоординировали атаку на Hugging Face через несанкционированную доску сообщений

🔸 Elementor Pro: загрузка PHP-файла без аутентификации ведёт к RCE

🔸 Microsoft SharePoint: критические RCE-уязвимости эксплуатируются злоумышленниками

🔸 ИИ и эксплойты: рост уязвимостей в Linux и Windows во II квартале 2026

🔸 Microsoft SharePoint: цепочка RCE из двух уязвимостей позволяет выполнить код без аутентификации

🔸 Chrome получил 327 исправлений безопасности, включая 10 критических уязвимостей

Fire Ant атакует маршрутизаторы Cisco для кражи данных и сокрытия следов

Китайская группа Fire Ant сменила тактику и теперь атакует маршрутизаторы Cisco IOS XR, серверы TACACS и Linux-хосты. Злоумышленники используют скомпрометированные устройства для перехвата сетевого трафика, кражи учетных данных и сокрытия следов своей активности. Это позволяет им исследовать пути к критически важным сетевым сегментам.

Атакующие внедряют модифицированные системные библиотеки в маршрутизаторы, чтобы фильтровать и скрывать журналы, а также добавляют фильтр "| exclude" к командам для сокрытия туннелей. На серверах TACACS они используют инструмент TacTap для сбора учетных данных, обфусцируя их однобайтовым XOR-ключом. На Linux-хостах развернут бэкдор BridgeAgent, маскирующийся под агент мониторинга Zabbix, и используются руткиты Medusa и REPTILE для обеспечения устойчивого доступа.

ⓘ Что такое Fire Ant
Fire Ant — кибершпионская группа, связанная с Китаем. Изначально она атаковала гипервизоры VMware, но расширила кампанию на сетевое оборудование. Группа занимается кражей учетных данных и разведкой в сетях высокопоставленных целей.

Источники: The Hacker News · Security Affairs
@cbunit