🔥 React2Shell: Новый кошмар для веб-серверов (CVSS 10.0)

Коллеги, если вы админите веб-инфраструктуру, отложите кофе. В сети разгорается пожар, получивший имя React2Shell (CVE-2025-55182). Это RCE (Remote Code Execution) с максимальным рейтингом 10 из 10.

Суть: Уязвимость в React и Next.js (компоненты React Server Components). Атакующему не нужна авторизация. Он просто отправляет специально сформированный HTTP-запрос к эндпоинту серверной функции, и сервер выполняет произвольный код.

Кто под ударом: Любой публичный сервис, использующий SSR (Server Side Rendering) на свежих версиях Next.js.

Что делать прямо сейчас:
1. Патчинг: Обновите react и next до последних версий, выпущенных вчера.
2. WAF: Если патчить долго (легаси), срочно настраивайте WAF.
3. Cloudflare уже выкатил правила (и даже положил ими часть интернета 5 декабря, см. следующий пост).
4. Nginx/ModSecurity: Блокируйте запросы, содержащие подозрительные сериализованные пейлоады в теле POST.

Маркеры компрометации (IoC): Смотрите логи на предмет странных вызовов к /_next/static/... с аномально большими телами запросов.

#security #cve #react2shell #alert #vulnerability #web

🔥 Alert: MikroTrik — обход аутентификации SSH в RouterOS. Уже эксплуатируется, уже в CISA KEV.

Коллеги, пятница. Начинаем с того, что надо проверить до выходных.

ЧТО ПРОИЗОШЛО:
CVE-2026-67276 (CVSS 9.2) — обход аутентификации SSH. По данным исследователей, RouterOS сверяет только модуль RSA-ключа, а не весь ключ.
CVE-2026-86060 (CVSS 9.2) — повышение привилегий через специально сформированное имя пользователя в SSH, вплоть до полного админа.
CVE-2026-67277 (CVSS 8.8) — утечка памяти ядра и DoS без аутентификации.
Уязвимости нашёл CERT Polska. Эксплуатация в дикой природе идёт как минимум со 2 сентября.

КОГО КАСАЕТСЯ:
Всех, у кого SSH на MikroTik доступен из недоверенных сетей. Дефолтный firewall такой доступ закрывает. Но «открыл 22 порт для удалёнки провайдера/подрядчика» — классика малого бизнеса.

ИСПРАВЛЕННЫЕ ВЕРСИИ:
v6 → 6.49.21+
v7 LT → 7.23.5 (в 7.23.4 фикс есть, но исследователи сообщают о регрессии IPv6)
v7 stable → 7.24.2+
v7 dev → 7.25beta3+

# 1. Версия и открыт ли SSH наружу
/system/resource/print
/ip/service/print where name=ssh

# 2. Ограничить SSH доверенными адресами (пример)
/ip/service/set ssh address=10.0.0.0/8,192.168.0.0/16

# 3. Признаки компрометации
/log/print where message~"user -2"
/user/print
/system/script/print
/system/scheduler/print
/system/device-mode/print

В логах ищем: login failure for user -2 и user <name> added by ssh:-2@<ip>. Подозрительны неизвестные учётки (в отчётах фигурирует ops), скрипты и задания в планировщике. IP, замеченные в атаках: 82.192.72.4, 103.102.31.18.

Важно: обновление закрывает дыру, но не вычищает то, что атакующий уже оставил. Если устройство было скомпрометировано — сначала обновление, потом ревизия пользователей, скриптов, scheduler и firewall. Надёжнее — netinstall и конфиг из известного бэкапа.

Итог: обновиться, закрыть SSH от интернета, управлять через WireGuard, проверить логи. Сегодня, а не в понедельник.

#alert #mikrotik #routeros #cve #security #sysadmin #admin_future

🔥 Alert: MikroTik, часть 2 — в KEV новая CVE, а «исправленные» версии из прошлого поста уже недостаточны.

Коллеги, воскресенье, но к MikroTik придётся вернуться. За неделю картина заметно расширилась.

ЧТО НОВОГО:
CVE-2026-67279 — 25 сентября добавлена в CISA KEV.
SSH переходит в рабочий режим после запрошенного клиентом rekey, хотя аутентификации не было. Результат: без пароля можно создавать файлы и читать конфигурацию. В связке с CVE-2026-86060 это полный контроль над роутером.
CVE-2026-67278 — RouterOS принимает некорректные RSA-подписи в TLS и SSH. Сертификат можно подделать без закрытого ключа и выдать себя за роутер.
⚠️ Уязвимы 7.23.5 и 7.24.2 — именно те версии, которые я называл безопасными 25 сентября.
CVE-2026-67281 — WebFig, путь /jsproxy: чтение файлов без аутентификации, вплоть до учётных данных. Значит, проблема не только в SSH, но и в веб-интерфейсе.
CVE-2026-67277 — btest-сервер принимает соединения до аутентификации: утечка памяти ядра и DoS.

ВЕРСИИ (по CERT Polska):
v7 LT → 7.23.6+
v7 stable → 7.24.3+
v6 → 6.49.21+ (67278 касается только 7.x)

# Версия и что торчит наружу
/system/resource/print
/ip/service/print
/tool/bandwidth-server/print

# Закрываем лишнее
/ip/service/disable telnet,ftp,www,api
/ip/service/set ssh address=<доверенные_подсети>
/ip/service/set www-ssl address=<доверенные_подсети>
/tool/bandwidth-server/set enabled=no

# Обновление
/system/package/update/check-for-updates
/system/package/update/install

ИНТЕРПРЕТАЦИЯ (моя):
Шесть CVE за три недели в одних и тех же подсистемах (SSH, TLS, WebFig) — это не «баг, который закрыли», а аудит кода, который ещё идёт. Стоит ждать новых записей. Единственная мера, которая работает независимо от следующей CVE, — management-интерфейсы не видны из интернета вообще: только через WireGuard.

Итог: если обновлялись до 7.23.5 или 7.24.2 — обновляйтесь ещё раз. Если WebFig открыт наружу — проверяйте устройство на компрометацию так же, как в первой части.

#alert #mikrotik #routeros #cve #kev #sysadmin #admin_future

🔥 Alert: Roundcube CVE-2026-48842 — SQL-инъекция до логина. Патч вышел в мае, эксплуатация — в сентябре.

Коллеги, понедельник. Начинаем неделю с веб-почты, которая стоит почти у каждого второго хостинга и у многих организаций.

ФАКТЫ:
CVE-2026-48842, CVSS 8.1, pre-auth SQL injection
Причина: обход экранирования через backslash в preg_replace() в плагине virtuser_query
Запрос выполняется во время обработки логина, до проверки сессии. Учётная запись атакующему не нужна.
Уязвимы: 1.6.x < 1.6.16 и 1.7.x < 1.7.1
Исправлено: 24 мая 2026. Актуальные версии — 1.6.19 и 1.7.4 (6 сентября)
Эксплуатация в дикой природе: с 21 сентября (Canadian Centre for Cyber Security)

УСЛОВИЕ, КОТОРОЕ ВСЁ РЕШАЕТ:
Плагин virtuser_query должен быть ВКЛЮЧЁН в $config['plugins']. По умолчанию он выключен. Если плагин просто лежит в каталоге, это не опасно.
Кто пользуется virtuser_query: те, кто сопоставляет виртуальных пользователей с ящиками через SQL-запрос. Типичные связки — Postfix/Dovecot + MySQL и хостинговые панели.

ИНТЕРПРЕТАЦИЯ (моя):
Импакт — SQL-операции с правами БД-пользователя Roundcube. Это не автоматический RCE. Но если Roundcube ходит в ту же БД, что и почтовый сервер (таблицы users/aliases), атакующий добирается до хешей паролей и маршрутизации почты. Права этого БД-пользователя и определяют реальный ущерб.

bash
# Версия
grep -E "RCMAIL_VERSION" /var/www/roundcube/program/include/iniset.php 2>/dev/null \
|| grep -rE "RCMAIL_VERSION'?, ?'" /usr/share/roundcube/program/include/ 2>/dev/null

# Включён ли плагин (во всех конфигах, не только в основном)
grep -rn "virtuser_query" /etc/roundcube/ /var/www/roundcube/config/ 2>/dev/null

# Какие права у БД-пользователя Roundcube (MySQL)
mysql -e "SHOW GRANTS FOR 'roundcube'@'localhost';"

# Всплески неуспешных логинов
grep -c "Failed login" /var/log/roundcube/errors.log

ЧТО ДЕЛАТЬ:
□ Обновиться до 1.6.19 / 1.7.4 (перед этим бэкап БД и конфигов)
□ Если сейчас нельзя — убрать virtuser_query из $config['plugins'] и проверить логин
□ Урезать права БД-пользователя Roundcube до собственной схемы
□ Если плагин был включён — сохранить логи веб-сервера и БД с 21 сентября и проверить их

Итог: четыре месяца между патчем и атакой — обычное окно для веб-приложений «поставил и забыл». Roundcube обновляется не через Windows Update, и никто, кроме вас, не напомнит.

#alert #roundcube #mail #sqli #cve #sysadmin #admin_future

🔥 Alert: периметр под атакой — NetScaler и Check Point. Эксплуатация шла неделями до патча

Коллеги, если у вас на внешке висят Citrix или Check Point — бросайте рутину и проверяйте периметр прямо сейчас. В активной эксплуатации сразу несколько критических уязвимостей.

🔴 CITRIX NETSCALER ADC / GATEWAY
CVE-2026-88771 — Pre-auth RCE в конфигурации по умолчанию.

CVE-2026-88772 — переполнение буфера → RCE или DoS. Эксплуатируется через DTLS (включён по дефолту на VPN vServers).

Обе уязвимости крутятся «в дикой природе» независимо друг от друга уже недели. Патчи вышли только 28 сентября.

Почерк атаки: под каждое устройство заливается уникальный веб-шелл, следы вычищаются. Работают профи с серьезными ресурсами (вероятно, целевой шпионаж).

Исправлено в версиях: 14.1-73.37, 13.1-64.23, FIPS 14.1-73.37, NDcPP 13.1-37.279.

Добавлено в CISA KEV (дедлайн на закрытие — 30 сентября).

🔴 CHECK POINT
CVE-2026-85102 — Pre-auth RCE в обработке VPN-сертификатов. Затронуты Security Gateway R81.10–R82.10 и Quantum Spark. Активная эксплуатация фиксируется минимум с 12 сентября.

IoC по сертификатам: ищите связки CN=vpn,OU=users,O=global, а также вариации с vpn-user / vpnuser.

CVE-2026-93616 — Pre-auth path traversal в веб-сервисе Management Server с последующим выполнением скриптов. Живой zero-day аж с 23 июля.

Исправления для 85102: Jumbo HF R81.20 Take 166, R82 Take 126, R82.10 Take 44, R81.10 Take 190; LivePatch Take 26; Spark R82.00.10 Build 2325 / R81.10.17 Build 4968.

🛠 Как быстро проверить свои версии
Bash

# NetScaler — смотрим билд
show ns version

# Check Point — версия и накатанные хотфиксы
fw ver
cpinfo -y all

🛡 ПЛАН ДЕЙСТВИЙ (строго в таком порядке!)
Сначала дампы, потом патчи. На NetScaler до перезагрузки и обновления снимите дамп памяти и выгрузите логи минимум за последний месяц. После апдейта артефакты затрет, расследовать инцидент будет не по чему.

Грепаем логи NetScaler на следы: ищите base64-пейлоады сразу после User-Agent, а также паттерны pitboss + IFS и pitboss*b64decode.

Изолируем Check Point Management: веб-морда управления должна быть доступна исключительно из изолированной mgmt-сети. Пока нет хотфикса под 93616 — это единственный рабочий барьер.

Если Check Point нельзя пропатчить на лету: вырубайте implied rules для VPN; для Site-to-Site жестко режьте входящие IP пиров на UDP/500 и UDP/4500.

Пост-обработка: после установки патчей на обоих вендорах принудительно дропайте все активные сессии и инициируйте смену паролей для всех учетных записей, авторизовавшихся через эти шлюзы.

Важно понимать: апдейт после пары месяцев эксплуатации 0-day шлюза не делает его автоматически «чистым». Если уязвимый инстанс торчал в интернет всё это окно — считаем его скомпрометированным по умолчанию, пока форензика не докажет обратное.

Периметр, стоявший открытым неделями, сначала расследуют, а уже потом обновляют. Не наступайте на грабли.

#alert #security #citrix #netscaler #checkpoint #vpn #cve #kev #sysadmin #admin_future

🚨 FortiMail CVE-2026-104286: Zero-day без патча, запись файлов без авторизации. Дедлайн CISA — сегодня

Коллеги, воскресенье, но если в вашем контуре почтовый поток или фильтрация завязаны на Fortinet FortiMail — бросайте текущие дела. В активной эксплуатации критический zero-day, официального патча на данный момент нет.

📌 ФАКТЫ
Уязвимость: CVE-2026-104286, оценка CVSS 9.8 (Critical). Вектор: Path Traversal с обходом проверок через NULL-байт (%00) в модуле IBE (Identity-Based Encryption).

Механика атаки: специально сформированный неаутентифицированный HTTP/HTTPS-запрос приводит к записи произвольных файлов в файловую систему с последующим выполнением кода с правами root.

Под ударом ветки: 7.2.0–7.2.9, 7.4.0–7.4.8, 7.6.0–7.6.6, 8.0.0–8.0.1.

Статус исправления: релизы 7.4.9, 7.6.7 и 8.0.2 ещё в разработке. Ветка 7.2 официального фикса не получит вовсе — вендор требует миграции на 7.4+.

Внесено в каталог CISA KEV 1 октября; жесткий срок реализации компенсационных мер и аудита — сегодня, 4 октября.

⚠️ ИНДИКАТОРЫ КОМПРОМЕТАЦИИ (IoC от Fortinet / Truesec)
Атакующие закрепляются на уровне системных библиотек Linux-ядра прошивки:

Plaintext

Созданные файлы:  /data/lib/liblog.so
                  /data/bin/webconsole
                  /data/etc/ld.so.preload
Модифицирован:    /bin/smit
Вредоносные IP:   79.141.169.187
                  45.129.0.192

Опасность: связка

ld.so.preload

+ инжектируемая библиотека

.so

гарантирует перехват системных вызовов каждым процессом в ОС. Закрепление наглухо переживает штатные ребуты устройства.

🛠 СРОЧНЫЕ ДЕЙСТВИЯ (CLI FortiMail)
Bash

# 1. Проверяем текущий билд
get system status

# 2. Включаем официальный Workaround: тушим IBE
config system encryption ibe
    set status disable
end

# 3. Ревизия открытых портов управления на внешних интерфейсах
show system interface

Аудит сетевого периметра (логи шлюзов / пограничных NGFW):

Bash

# Ищем следы контактов с известной инфраструктурой атаки
grep -E '79\.141\.169\.187|45\.129\.0\.192' /var/log/firewall/*.log

💡 В ЧЁМ СУТЬ

Почтовый ретранслятор обязан принимать SMTP-трафик снаружи (порты 25/587). Однако веб-интерфейс шифрования IBE и панель администрирования часто выставляются в интернет автоматически вместе с интерфейсом приёма почты.

Если IBE не используется в рабочих регламентах компании — отключите модуль немедленно.

Если функционал шифрованных писем необходим внешним адресатам — заворачивайте его строго за WAF / Reverse Proxy с белыми списками и жесткой валидацией URL.

Важно: хост с внедрённым

ld.so.preload

бессмысленно просто обновлять после выхода патча. Устройство подлежит полному вайпу, накату чистого образа «с нуля» и перевыпуску всех ключей и секретов.

🛡 ПЛАН РАБОТ НА СЕГОДНЯ
Немедленная митигация: отключить модуль IBE через CLI либо закрыть входящий доступ по TCP/443 и TCP/80 на внешних портах шлюза.

Форензика и сверка IoC: при малейших признаках аномального трафика или наличии указанных IP в логах — заводить P1-тикет в Fortinet TAC с полным дампом системы (debug system export).

План апгрейда: если шлюз на ветке 7.2.x, незамедлительно запланировать переход на 7.4.x.

Пост-патч регламент: сразу после релиза сборок 7.4.9 / 7.6.7 / 8.0.2 накатить обновления, провести принудительную ротацию паролей администраторов, сервисной учетной записи LDAP-bind и закрытых TLS-ключей.

#alert #fortinet #fortimail #mail #security #zeroday #cve #kev #sysadmin #admin_future

🔥 Palo Alto PAN-OS: RCE с правами root через интерфейс управления. Плюс итоги недели по KEV

Коллеги, пятница. Перед выходными — закрываем периметр.

📌 ФАКТЫ
CVE-2026-0322, CVSS 4.0 — 8.6, внедрение кода (CWE-94) в management interface PAN-OS

Аутентифицированный атакующий с сетевым доступом выполняет код от root. Специальной конфигурации не требуется

Затронуты PA-Series, VM-Series и Panorama. Cloud NGFW и Prisma Access — нет

Palo Alto сообщает об «очень ограниченной эксплуатации». Обходного решения нет

Исправления — для веток 10.2, 11.1, 11.2, 12.1, 12.2 (например, 11.2.16). Неподдерживаемые версии патча не получат

📋 KEV ЗА НЕДЕЛЮ (CISA, сроки для госорганов США — 16–17 октября)
CVE-2026-0322 — Palo Alto PAN-OS

CVE-2026-76519 — Cisco Secure Email Gateway

CVE-2026-105133 / 105134 — AhsayCBS

CVE-2026-96951 — Windows Shell, обход MotW

🛡 ПЛАН НА СЕГОДНЯ
Интерфейс управления файрвола и Panorama — только из management-сети или с jump-хоста. Не из интернета

Обновить до исправленного hotfix в своей ветке

Сменить пароли администраторов и проверить список учёток: эксплуатация требует аутентификации, значит, атакующие используют украденные или слабые пароли

Логи управления — необычные входы, изменения конфигурации

💡 В ЧЁМ СУТЬ

«Требует аутентификации» не значит «не опасно». На практике это значит «опасно в связке с утёкшим паролем». Отдельная админ-сеть плюс MFA на вход в управление закрывают и эту CVE, и следующую.

#alert #paloalto #firewall #kev #cve #sysadmin #admin_future