3️⃣ Самое время для жаркого июльского дайджеста уязвимостей, в котором наши эксперты отнесли к трендовым три недостатка безопасности

Они обнаружены в продуктах Microsoft и почтовом веб-клиенте Roundcube. Если вы пользуетесь MaxPatrol VM, то обо всех этих уязвимостях вы уже знаете, ведь в наш продукт информация об угрозах поступает в течение 12 часов с момента их появления.

Уязвимости Windows

Обе уязвимости потенциально затрагивают около миллиарда устройств. Последствия могут коснуться всех пользователей устаревших версий Windows (с самых ранних и до Windows 10 и 11 включительно).

Уязвимость удаленного выполнения кода в файлах Internet Shortcut — CVE-2025-33053 (CVSS — 8,8)

Для эксплуатации необходимо, чтобы пользователь кликнул на подготовленный преступниками файл с расширением .url, замаскированный под легитимный системный исполняемый файл. В случае успеха рабочая директория будет установлена на путь к WebDAV-серверу, контролируемому преступниками. В итоге они смогут удаленно выполнить код, установить на устройство жертвы вредоносное ПО и развить атаку дальше.

Уязвимость повышения привилегий в SMB-клиенте — CVE-2025-33073 (CVSS — 8,8)

Чтобы проэксплуатировать уязвимость, преступнику необходимо заставить уязвимое устройство подключиться к атакующему серверу по SMB и пройти аутентификацию по протоколу Kerberos. Далее билет Kerberos используется для повторной аутентификации по SMB на уязвимом хосте.

В результате полученная SMB-сессия будет иметь привилегии уровня SYSTEM — самые высокие в Windows, с которыми преступник может получить полный контроль над уязвимой системой. Эксплуатация уязвимости также возможна через протокол NTLM.

Уязвимость удаленного выполнения кода в почтовом веб-клиенте Roundcube — CVE-2025-49113 (CVSS — 9,9)

Затрагивает около 84 тысяч экземпляров Roundcube, большинство из которых выявлены в США, Германии и Индии. В России наблюдается более 78 тысяч уникальных инсталляций с Roundcube Webmail, из которых около 85% являются уязвимыми.

Что интересно, этот недостаток безопасности оставался незамеченным более десяти лет. Он связан с отсутствием проверки параметра и приводит к ошибке десериализации объектов PHP. Злоумышленник получает возможность удаленно выполнить код на сервере, что может привести к его полной компрометации.

Уже через несколько дней после выхода обновленной версии Roundcube злоумышленники проанализировали изменения и на их основе разработали и стали продавать на теневых форумах эксплойт для CVE-2025-49113.

Исследователям из PT SWARM удалось воспроизвести эксплуатацию уязвимости до публикации PoC. Эксперты призвали пользователей как можно скорее обновиться до последней версии Roundcube.

Чтобы защититься, необходимо обновить ПО до одной из исправленных версий: 1.6.11 или 1.5.10.

👀 Больше подробностей — в дайджесте на нашем сайте.

#втрендеVM
@Positive_Technologies

😮 Рассказываем об уязвимостях по максимуму на нашем портале dbugs

↖️ Собираем там максимально полные и точные сведения о существующих недостатках безопасности. Уже сейчас число описанных уязвимостей превышает показатель базы СVE MITRE — более 310 тысяч записей против 270 тысяч. Там же можно найти и рекомендации вендоров, которые позволяют быстро устранить пробелы в защите. В среднем еженедельно публикуется тысяча новых записей.

Запуск площадки — ответ на запрос мировой индустрии кибербезопасности, которую тревожат периодически появляющиеся новости об остановке обновлений баз общеизвестных уязвимостей National Vulnerability Database и Common Vulnerabilities and Exposures (CVE), а также о сокращении финансирования работы MITRE, которая присваивает уязвимостям унифицированные идентификаторы. Кроме того, в CVE/NVD (в отличие от БДУ ФСТЭК) попадают не все данные от российских исследователей. Без этих сведений компании не могут вовремя обновлять свою инфраструктуру, а разработчики — добавлять в СЗИ соответствующие сигнатуры для выявления актуальных атак.

«Более чем за 20 лет работы мы накопили обширную базу знаний об уязвимостях в продуктах зарубежных и отечественных поставщиков. Переработав и обогатив ее, мы создали интерактивный портал, который, надеемся, будет полезен и независимым исследователям, и службам ИБ, — отметил Дмитрий Серебрянников, директор по анализу защищенности в Positive Technologies. — Мы поставили своей целью сделать его надежным и достаточным источником информации обо всех выявляемых в мире ИБ уязвимостях».

Ключевое отличие площадки от других баз уязвимостей в том, что специалисты нашего исследовательского центра безопасности, в котором работают белые хакеры (PT SWARM) и эксперты по кибербезопасности (PT ESC), агрегируют информацию о каждой уязвимости из множества источников (баз CVE и NVD, с площадок Reddit, X․com, Telegram и других). Затем с помощью LLM они готовят сводное описание — более подробное по сравнению с существующими базами и включающее имена исследователей. Кроме того, портал предоставляет рейтинг самых трендовых недостатков безопасности.

🤩 Мы планируем расширять функциональность портала: упростить поиск по конкретным продуктам, дать белым хакерам возможность создавать личные профили и публиковать информацию о своих достижениях, а пользователям платформы — подписываться на интересных им исследователей и комментировать записи.

🆕 Подробнее о новом портале уязвимостей рассказали в новости на сайте.

@Positive_Technologies

🙂 Компания «Ортикс» выбрала PT NAD для анализа трафика

Пока шло пилотное тестирование наш продукт помог службе информационной безопасности компании выявить сетевые атаки, нарушения регламентов ИБ, вредоносное ПО и устранить угрозы, которые могли открыть злоумышленникам доступ к критически важным для бизнеса системам.

«Ортикс» владеет сетью из 59 ортопедических салонов по всей России, куда ежегодно обращаются более 100 000 клиентов. Обширная сетевая инфраструктура компании с персональными данными пользователей является привлекательной целью для злоумышленников и нуждается в надежной киберзащите, учитывая постоянный рост числа кибератак и увеличение их сложности.

👾 Во время пилотного проекта эксперты компании обнаружили использование на конечных точках запрещенного ПО, словарных паролей для учетных записей, уязвимость, которая могла привести к взлому критически важных систем, майнер криптовалюты, ботнет для отправки спама, а также флуд-атаку на инфраструктуру компании.

«Благодаря PT NAD оператор SOC теперь видит полную картину всех инцидентов в сети, а значит, может незамедлительно отреагировать и предотвратить кибератаку. Продукт также позволяет провести инвентаризацию используемых в компании устройств и грамотно настроить политики доступа», — комментирует Виктор Еременко, лидер продуктовой практики NAD в Positive Technologies.

В дальнейшем «Ортикс» планирует укрепить сетевую безопасность средством защиты класса NGFW и интегрировать его с PT NAD.

#PTNAD
@Positive_Technologies

🔥 Интересно узнать, как там дела у PT NGFW?

Приходите на вебинар 22 июля в 14:00, где команда продукта открыто, просто и понятно расскажет, что в нем изменилось за полгода и куда мы движемся дальше.

Поделимся с вами:

👀 какие модели появились в нашей линейке, что они умеют и кому это нужно;

🔥 какие фичи подъехали в релизах 1.7.1 и 1.8 и чем они хороши;

🆕 что нового будет в версии 1.9 и как мы в целом хотим развивать PT NGFW (спойлер: планы наполеоновские).

Формат — дружеский и по делу, регистрируйтесь заранее и готовьте ваши вопросы, постараемся ответить на все.

#PTNGFW
@Positive_Technologies

👾 Группа экспертов PT SWARM нашла в оборудовании ATEN уязвимости, которые могли дать злоумышленникам максимальные привилегии в системе и возможность выполнить вредоносный код

Наши коллеги Наталья Тляпова, Денис Горюшев и Дмитрий Скляров обнаружили пять уязвимостей (три максимального уровня опасности и два — высокого) в переключателях KVM over IP серии CL57xx.

KVM-устройство — это компьютер со встроенными клавиатурой, монитором и тачпадом в специальном корпусе, который устанавливают в серверные стойки. Они используются на промышленных объектах и в дата-центрах для подключения к другим компьютерам и серверам. Операторы могут управлять подконтрольными серверами так, словно работают за монитором и клавиатурой любого из них, а также подключаясь к переключателям по сети.

Уязвимостям (CVE-2025-3710, CVE-2025-3711, CVE-2025-3712, CVE-2025-3713, CVE-2025-3714) присвоено от 7,5 до 9,8 балла по шкале CVSS 3.1. В случае успешной эксплуатации трех самых опасных из них злоумышленник мог бы захватить управление подключенными к устройству серверами.

«Для эксплуатации уязвимостей злоумышленнику было бы достаточно отправить сообщение устройству в локальной сети или через интернет, чтобы получить удаленный доступ к устройствам, подключенным к порту KVM, как при использовании удаленного рабочего стола», — объяснила Наталья Тляпова, старший специалист отдела анализа приложений Positive Technologies.

Дальше атака могла развиваться разными путями, в зависимости от того, где расположено уязвимое устройство. Если бы к нему была подключена АСУ ТП, атакующий потенциально смог бы нарушить технологический процесс на производстве. Или, если бы KVM-переключатель применялся для управления сервером базы данных, атакованное предприятие могло бы столкнуться с утечкой информации.

Вендор, которого мы уведомили об угрозе, выпустил патч прошивки (2.0.196) для всех устройств в линейке. Помимо его установки, наши эксперты советуют промышленным предприятиям уделять особое внимание грамотной настройке сети и прав доступа.

#PositiveЭксперты
@Positive_Technologies

😱 Как Центробанк Бангладеш потерял 80 млн долларов в результате кибератаки и что могла сделать команда SOC

Вместе с AM TALK PRO мы сняли видео, в котором Иван Булавин, директор по продуктам платформы Standoff 365, привел пример того, как могли бы работать подготовленные киберзащитники.

Если коротко: в банке все началось с неработающего принтера и не вовремя вышедших SWIFT-платежей, а обнаружить атаку удалось уже после похищения средств… из-за ошибки в слове foundation в платежке.

А ведь будь команда SOC наготове, этот сценарий можно было бы предотвратить (потому мы и спрашивали у вас, как вы готовите свои команды).

Иван рассказывает о базовом киберминимуме и роскошном максимуме плане реальных, не для галочки, тренировок для любого SOC.

Например, он может быть таким: самостоятельное оттачивание навыков в симуляторе Standoff Cyberbones 🔜 регулярная прокачка скилов на киберполигоне Standoff Defend 🔜 участие в кибербитвах Standoff.

Смотрите и решайте, какой вариант подойдет вашему SOC.

#StandoffCyberbones #StandoffDefend
@Positive_Technologies

🔊 Аудиодипфейки ни для кого уже не новость. Но какая нейронка генерирует их лучше всего?

Этим вопросом задались наши коллеги и протестировали семь моделей клонирования голоса: одну платную, четыре открытых и еще две для улучшения качества звука.

Понятно, что оценивать их на слух было бы странно. Поэтому Александр Мигуцкий, специалист по data science и ML в Positive Technologies, и его команда придумали методику тестирования и бенчмарки, составили типичный диалог «сотрудника банка» и его жертвы и сделали пробные записи. Что получилось — рассказали в статье для Positive Research.

🤖 Спойлер: некоторые open-source-решения в чем-то оказались даже лучше платных. А значит, нужно учитывать, что ими могут воспользоваться мошенники, и быть настороже.

#PositiveResearch
@Positive_Research

✔️ PT NGFW прошел тест на зумера

Чем докажем? Читайте, а потом смотрите сами.

1️⃣ Во-первых, PT NGFW популярен. Например, попал в рейтинг новинок «РБК».

2️⃣ Во-вторых, он против рутины и за автоматизацию всего, что можно автоматизировать (в числе прочего — при помощи ИИ).

3️⃣ В-третьих, он стильный, интуитивный и вызывает плюс вайб желание им пользоваться.

Дальше будет еще лучше и круче. Подробнее о том, как мы делаем продукт, который не только защищает, но и вдохновляет, рассказала в выпуске AM Talk PRO Анна Комша, руководитель продуктовой практики PT NGFW в Positive Technologies.

📺 YouTube | 📺 VK Видео | 📺 Rutube

Смотрите и делитесь впечатлениями в комментариях.

#PTNGFW
@Positive_Technologies

📢 Каждый голос будет услышан

Мы проводим опрос, в котором просим специалистов по кибербезопасности рассказать, как в их компаниях обстоят дела с инцидентами, защитой данных, процессами ИБ и взаимодействием команд.

Где все гладко и отработано? Где иногда нужно тушить пожары? Какие процессы уже автоматизированы, а в каких приходится заниматься рутинными операциями самостоятельно?

Опрос анонимный (вы можете оставить контакты, только если хотите) и займет не больше 10–15 минут.

Все для того, чтобы сделать наши продукты и решения еще лучше и удобнее для каждого. Заранее благодарим всех за ответы ❤️

Команда @Positive_Technologies

👾 Что делать с новой уязвимостью нулевого дня в Microsoft SharePoint? Рассказывают наши эксперты

Все началось 18 июля, когда эксперты компании Eye Security сообщили о массовой эксплуатации RCE-уязвимости в Microsoft SharePoint Server — CVE-2025-53770 (9,8 балла по шкале CVSS) — совместно с уязвимостью CVE-2025-53771, связанной со спуфингом.

SharePoint — это веб-приложение от Microsoft, предназначенное для развертывания корпоративных интранет-порталов, управления документами и совместной работы. Ошибка в механизме десериализации позволяет злоумышленнику удаленно выполнить произвольный код до прохождения аутентификации. Успешно проэксплуатировав уязвимость, тот может закрепиться на сервере SharePoint, получить конфиденциальные данные и использовать доступ к серверу для дальнейшего развития атаки на инфраструктуру компании.

Microsoft подтверждает, что атаки с эксплуатацией новой уязвимости уже ведутся и затрагивают локальные версии SharePoint Server, но не облачные. Им уже подверглись более 85 серверов SharePoint в разных странах. В список пострадавших входят 29 организаций, включая международные корпорации и государственные структуры.

🇷🇺 В безопасности ли российский сегмент?

Нет, в зоне риска находится каждая десятая российская энтерпрайз-компания. Более того, иногда серверы SharePoint делают доступными из интернета (это противоречит общепринятым рекомендациям). Система контроля и информирования о поверхности атак «СКИПА» компании «СайберОК» отслеживает около 1800 экземпляров SharePoint в Рунете, из которых более 20% могут быть уязвимы для атак с использованием CVE‑2025‑53770.

🛡 Как защитить себя и бизнес?

Во-первых, этим уже занимается Microsoft. Полноценного патча пока нет, но уже 19 июля компания выпустила обновления для SharePoint Server 2016, 2019 и SharePoint Subscription Edition. Также вендор рекомендует настроить интеграцию с Antimalware Scan Interface.

Во-вторых, наши эксперты подготовили собственные рекомендации (и даже виртуальный патч) вам в помощь. Итак, что нужно сделать, чтобы вас не взломали:

1️⃣ Обновить Microsoft SharePoint до актуальной версии.

2️⃣ Применить рекомендации от Microsoft.

3️⃣ Изолировать сервер и не публиковать корпоративный портал в глобальной сети.

4️⃣ Включить Microsoft Defender и интеграцию с AMSI, чтобы предотвратить попадание вредоносных веб-запросов к конечным точкам SharePoint.

5️⃣ Отслеживать характерные запросы в журналах.

6️⃣ Подключить возможности продуктов Positive Technologies.

Например, в MaxPatrol VM эта трендовая уязвимость появилась в течение 12 часов и сейчас может быть обнаружена системой в инфраструктуре организации. А снизить риски эксплуатации уязвимости на конечных устройствах поможет MaxPatrol EDR.

PT NAD детектирует попытки эксплуатации данной уязвимости, а PT NGFW может блокировать ее. MaxPatrol SIEM и ML-модуль MaxPatrol BAD также обнаруживают пост-эксплуатацию аномальной активности в инфраструктуре и недостаток безопасности в SharePoint тут не исключение.

Кроме того, команда PT Application Firewall уже подготовила виртуальный патч для уязвимости CVE-2025-53770. Чтобы получить его, вы можете обратиться в техническую поддержку.

#PositiveЭксперты
@Positive_Technologies

😈 Банк «Оранжевый» успешно испытал PT Dephaze — нашу систему для автоматического внутреннего тестирования на проникновение

Продукт помог компании выполнить требование Банка России, согласно которому организации финансового рынка должны проводить пентесты и анализ уязвимостей не реже раза в год, и автоматизировать значительную часть связанных с этим задач.

В течение нескольких месяцев продукт проводил контролируемый автопентест, проверяя возможность реализации множества сценариев кибератак на ИТ-инфраструктуру банка. А после каждой проверки выдавал качественные отчеты с четкими рекомендациями по усилению киберзащиты, позволяя оперативно устранять недостатки безопасности 👌

«PT Dephaze запущен в коммерческую эксплуатацию в марте этого года. Несмотря на новизну, уже доказано, что система может эффективно встраиваться в процессы ИБ компаний разных отраслей, в том числе финансового сектора, и стабильно обнаруживать слабые места, прежде чем ими воспользуются злоумышленники», — прокомментировал Ярослав Бабин, директор по продуктам для симуляции атак, Positive Technologies.

Опираясь на первичный опыт использования продукта, банк «Оранжевый» планирует внедрить PT Dephaze и масштабировать автоматизированный внутренний пентест на другие сегменты инфраструктуры.

👉 Подробнее — в новости на сайте.

#PTDephaze
@Positive_Technologies

📺 Эксперты PT SWARM нашли уязвимость в российской системе видео-конференц-связи VINTEO

Производитель представил для исследования тестовый стенд, и при анализе кода наши коллеги Михаил Ключников и Александр Стариков смогли обнаружить недостаток безопасности (BDU:2025-07296, 9,3 балла по шкале CVSS 4.0).

Сервер VINTEO предназначен для построения инфраструктуры видео-конференц-связи и масштабирования уже существующих сетей. По данным вендора, его решения за 12 лет позволили провести около 10 млн видеоконференций.

Уязвимость, связанная с удаленным выполнением кода (RCE), появилась из-за недостаточной фильтрации пользовательских данных в системном компоненте.

«В случае успешной эксплуатации уязвимости потенциальный атакующий мог выполнять произвольные команды и получить доступ к серверу и контроль над ним», — пояснил Михаил Ключников, руководитель группы исследования ПО отдела тестирования на проникновение, Positive Technologies.

Дальнейшие сценарии атак могли быть самыми разными. Но благодаря участию VINTEO в программе багбаунти специалисты выявили возможную угрозу на тестовом стенде, а разработчик ее оперативно устранил. Мы считаем, что сотрудничество Positive Technologies и VINTEO в рамках политики ответственного разглашения информации об уязвимостях — это пример эффективного взаимодействия между исследователями безопасности и производителями ПО. Подобный диалог позволяет повысить защищенность отечественных ИТ-решений.

Уязвимость была обнаружена и устранена в январе. Вендор выпустил security-патч, закрывший проблему, а затем подготовил полноценное обновление ПО с исправлением. Если вы используете эту систему, обновите ее до версии 30.2.0 или выше.

👀 Больше об уязвимости рассказали в новости на сайте.

#PositiveЭксперты #PTSWARM
@Positive_Technologies