🐧 Skills: три CVE ядра Linux в CISA KEV — и почему «локальная» уязвимость с CVSS 9.8 должна насторожить.

Коллеги, 18 сентября CISA добавила в KEV сразу три уязвимости ядра. Red Hat 19-го подтвердил эксплуатацию и наличие публичного эксплойта. Срок для федеральных агентств — 21 сентября, всего три дня. Это нетипично мало.

ЧТО ЗАКРЫТО:
CVE-2025-39682 (9.8) — kernel TLS (модуль tls), путь приёма
CVE-2026-53266 (8.8) — ebtables SNAT, out-of-bounds write при переписывании ARP
CVE-2025-39964 (7.8) — AF_ALG, гонка при двух записях в один сокет

ФАКТ vs ИНТЕРПРЕТАЦИЯ:
Все три по описанию требуют локального доступа. CVSS 9.8 при локальном векторе — противоречие: такую оценку обычно дают сетевым багам без аутентификации. Значит, либо оценка завышена, либо вектор шире описанного. До разъяснений исходим из худшего. Практический смысл: это стадия повышения привилегий после первичного доступа — через веб-шелл, контейнер или украденный SSH-ключ.

ПРОВЕРКА:

uname -r

# Загружены ли уязвимые подсистемы
lsmod | grep -E '^(tls|ebt_snat|ebtable_nat|ebtables|af_alg|algif_[a-z]+)\s'

# Не вшиты ли в ядро (=y — блэклист не поможет, только обновление)
grep -E 'CONFIG_TLS=|CONFIG_BRIDGE_EBT_SNAT=|CONFIG_CRYPTO_USER_API' /boot/config-$(uname -r)

# Статус по дистрибутиву
# https://security-tracker.debian.org/tracker/CVE-2025-39682
apt update && apt list --upgradable 2>/dev/null | grep -E 'linux-image|proxmox-kernel'

ВРЕМЕННАЯ МЕРА (если патч прямо сейчас невозможен):

cat > /etc/modprobe.d/kev-2026-09.conf <<'EOF'
install tls /bin/false
install ebt_snat /bin/false
install algif_aead /bin/false
install algif_skcipher /bin/false
install algif_hash /bin/false
EOF

⚠️ Перед блэклистом проверить зависимости:
• kTLS используют nginx/HAProxy с ktls и часть NFS-over-TLS
• ebtables использует pve-firewall на Proxmox
• AF_ALG задействуют cryptsetup в отдельных режимах, iwd и часть криптобиблиотек
Блэклист — это мост до перезагрузки в новое ядро, а не решение.

Итог: «локальная» не значит «неважная». В KEV эти CVE попали потому, что их используют как второй шаг атаки. Обновить ядро, перезагрузиться, проверить uname -r — сегодня, если на хосте есть контейнеры, общие учётки или сервисы, доступные извне.

#skills #linux #kernel #cve #kev #proxmox #sysadmin #admin_future

🔥 Alert: MikroTik, часть 2 — в KEV новая CVE, а «исправленные» версии из прошлого поста уже недостаточны.

Коллеги, воскресенье, но к MikroTik придётся вернуться. За неделю картина заметно расширилась.

ЧТО НОВОГО:
CVE-2026-67279 — 25 сентября добавлена в CISA KEV.
SSH переходит в рабочий режим после запрошенного клиентом rekey, хотя аутентификации не было. Результат: без пароля можно создавать файлы и читать конфигурацию. В связке с CVE-2026-86060 это полный контроль над роутером.
CVE-2026-67278 — RouterOS принимает некорректные RSA-подписи в TLS и SSH. Сертификат можно подделать без закрытого ключа и выдать себя за роутер.
⚠️ Уязвимы 7.23.5 и 7.24.2 — именно те версии, которые я называл безопасными 25 сентября.
CVE-2026-67281 — WebFig, путь /jsproxy: чтение файлов без аутентификации, вплоть до учётных данных. Значит, проблема не только в SSH, но и в веб-интерфейсе.
CVE-2026-67277 — btest-сервер принимает соединения до аутентификации: утечка памяти ядра и DoS.

ВЕРСИИ (по CERT Polska):
v7 LT → 7.23.6+
v7 stable → 7.24.3+
v6 → 6.49.21+ (67278 касается только 7.x)

# Версия и что торчит наружу
/system/resource/print
/ip/service/print
/tool/bandwidth-server/print

# Закрываем лишнее
/ip/service/disable telnet,ftp,www,api
/ip/service/set ssh address=<доверенные_подсети>
/ip/service/set www-ssl address=<доверенные_подсети>
/tool/bandwidth-server/set enabled=no

# Обновление
/system/package/update/check-for-updates
/system/package/update/install

ИНТЕРПРЕТАЦИЯ (моя):
Шесть CVE за три недели в одних и тех же подсистемах (SSH, TLS, WebFig) — это не «баг, который закрыли», а аудит кода, который ещё идёт. Стоит ждать новых записей. Единственная мера, которая работает независимо от следующей CVE, — management-интерфейсы не видны из интернета вообще: только через WireGuard.

Итог: если обновлялись до 7.23.5 или 7.24.2 — обновляйтесь ещё раз. Если WebFig открыт наружу — проверяйте устройство на компрометацию так же, как в первой части.

#alert #mikrotik #routeros #cve #kev #sysadmin #admin_future

🧠 Skills: SharePoint CVE-2026-65660 — «spoofing», который оказался RCE. Почему метке CVE нельзя верить на слово.

Коллеги, хороший кейс к моему июльскому посту о приоритизации.

ФАКТЫ:
CVE-2026-65660, SharePoint Server 2016, 2019, Subscription Edition. CVSS 8.8.
Исправлено августовскими обновлениями безопасности (11 августа). Патч по умолчанию отключает уязвимую функцию.
В августе Microsoft классифицировал уязвимость как Spoofing. Позже классификацию сменили на RCE (code injection).
Механизм: компонент ToolPane восстанавливает директивы Register, не экранируя кавычки. Через них внедряются свои директивы, регистрируются произвольные .NET-классы, дальше — десериализация через XamlServices.Parse() и выполнение кода.
Нужна любая учётная запись с базовыми правами в SharePoint.
Эксплойт опубликован. 25 сентября Microsoft подтвердил атаки, в тот же день CVE попала в CISA KEV.
По данным исследователя, уязвима и SharePoint 2013, но она без поддержки с апреля 2023, и патча для неё не будет.

ПОЧЕМУ ЭТО ВАЖНО:
Приоритизация по типу CVE («spoofing — подождёт») в августе отправила эту уязвимость в плановый цикл. Полтора месяца спустя это эксплуатируемый RCE.
Вывод: тип и CVSS — это интерпретация вендора на момент публикации, а не свойство уязвимости. Факт эксплуатации (KEV) и EPSS пересчитываются, а метка — нет.

# На сервере SharePoint (SharePoint Management Shell)
(Get-SPFarm).BuildVersion
Get-SPProduct -Local | Select -ExpandProperty PatchableUnitDisplayNames

# Были ли обращения к ToolPane
Get-ChildItem 'C:\inetpub\logs\LogFiles\W3SVC*\*.log' |
Select-String -Pattern 'ToolPane\.aspx' |
Select -First 50 Path, LineNumber, Line

ЧТО ДЕЛАТЬ:
□ Сверить BuildVersion с августовским CU/SU для вашей редакции (MSRC → CVE-2026-65660)
□ Если август не установлен — ставить сейчас, это KEV
□ SharePoint 2013 — изолировать от пользователей или выводить из эксплуатации
□ Если в IIS-логах ToolPane.aspx встречается от необычных учёток или в нерабочее время — разбираться как с инцидентом

Итог: раз в месяц прогоняйте прошлые «низкие» CVE через KEV и EPSS заново. Метки вендора стареют быстрее, чем вы успеваете патчить.

#skills #sharepoint #cve #kev #patchmanagement #sysadmin #admin_future

🧠 Skills: Zyxel GS1900 — 996 скомпрометированных коммутаторов. Коммутатор доступа — тоже сервер.

Коллеги, неуправляемые и «умные» коммутаторы — самый забытый класс устройств в инвентаризации. Их не обновляют годами, потому что «они просто работают».

ФАКТЫ:
CVE-2026-7273, CVSS 8.8, stack-based buffer overflow
Атакующий без аутентификации, находящийся в той же сети, отправляет специальный HTTP-запрос на веб-интерфейс и выполняет команды ОС.
Модели: GS1900-8, -8HP, -10HP, -16, -24, -24E, -24EP, -24HPv2, -48, -48HPv2
Уязвимы прошивки 2.90(xxxx.1)C0 и старше, исправлено в 2.90(xxxx.2)C0
Эксплуатация с 17 августа 2026: 996 коммутаторов в 48 странах
После взлома атакующие скачивают по TFTP скрипты-сборщики конфигураций и учётных данных
CISA KEV: с 21 сентября

ИНТЕРПРЕТАЦИЯ (моя):
996 устройств в 48 странах при «LAN-based» векторе означают одно из двух: либо веб-интерфейс торчит в интернет, либо атакующий уже был внутри и использовал коммутатор для закрепления. Оба варианта — про гигиену management plane, а не про Zyxel.
Скомпрометированный коммутатор — идеальная точка: он видит весь трафик сегмента, EDR на нём не стоит, в SIEM он почти никогда не логирует.

bash
# Найти GS1900 в management-подсети
nmap -p 80,443 --open --script http-title 10.0.0.0/24 | grep -B4 -i "GS1900"

# TFTP-трафик от коммутаторов (на шлюзе или зеркале порта)
tcpdump -ni any 'udp port 69'

# Проверка из внешнего сегмента: веб-интерфейс коммутаторов не должен отвечать
nmap -p 80,443 -Pn <IP_коммутатора>

MANAGEMENT PLANE — МИНИМУМ:
□ Управление коммутаторами — только из выделенного VLAN, ACL на самом коммутаторе
□ Веб-интерфейс выключен там, где хватает SSH/CLI
□ Исходящий трафик от коммутаторов запрещён, кроме NTP, syslog и сервера обновлений. TFTP наружу — однозначно нет
□ Syslog с коммутаторов → в SIEM
□ Коммутаторы — в реестре прошивок наравне с серверами

Итог: если в инвентаризации нет колонки «версия прошивки» для коммутаторов, значит там есть устройства, которые никто не обновлял с момента установки.

#skills #zyxel #network #switch #cve #kev #sysadmin #admin_future

🔥 Alert: периметр под атакой — NetScaler и Check Point. Эксплуатация шла неделями до патча

Коллеги, если у вас на внешке висят Citrix или Check Point — бросайте рутину и проверяйте периметр прямо сейчас. В активной эксплуатации сразу несколько критических уязвимостей.

🔴 CITRIX NETSCALER ADC / GATEWAY
CVE-2026-88771 — Pre-auth RCE в конфигурации по умолчанию.

CVE-2026-88772 — переполнение буфера → RCE или DoS. Эксплуатируется через DTLS (включён по дефолту на VPN vServers).

Обе уязвимости крутятся «в дикой природе» независимо друг от друга уже недели. Патчи вышли только 28 сентября.

Почерк атаки: под каждое устройство заливается уникальный веб-шелл, следы вычищаются. Работают профи с серьезными ресурсами (вероятно, целевой шпионаж).

Исправлено в версиях: 14.1-73.37, 13.1-64.23, FIPS 14.1-73.37, NDcPP 13.1-37.279.

Добавлено в CISA KEV (дедлайн на закрытие — 30 сентября).

🔴 CHECK POINT
CVE-2026-85102 — Pre-auth RCE в обработке VPN-сертификатов. Затронуты Security Gateway R81.10–R82.10 и Quantum Spark. Активная эксплуатация фиксируется минимум с 12 сентября.

IoC по сертификатам: ищите связки CN=vpn,OU=users,O=global, а также вариации с vpn-user / vpnuser.

CVE-2026-93616 — Pre-auth path traversal в веб-сервисе Management Server с последующим выполнением скриптов. Живой zero-day аж с 23 июля.

Исправления для 85102: Jumbo HF R81.20 Take 166, R82 Take 126, R82.10 Take 44, R81.10 Take 190; LivePatch Take 26; Spark R82.00.10 Build 2325 / R81.10.17 Build 4968.

🛠 Как быстро проверить свои версии
Bash

# NetScaler — смотрим билд
show ns version

# Check Point — версия и накатанные хотфиксы
fw ver
cpinfo -y all

🛡 ПЛАН ДЕЙСТВИЙ (строго в таком порядке!)
Сначала дампы, потом патчи. На NetScaler до перезагрузки и обновления снимите дамп памяти и выгрузите логи минимум за последний месяц. После апдейта артефакты затрет, расследовать инцидент будет не по чему.

Грепаем логи NetScaler на следы: ищите base64-пейлоады сразу после User-Agent, а также паттерны pitboss + IFS и pitboss*b64decode.

Изолируем Check Point Management: веб-морда управления должна быть доступна исключительно из изолированной mgmt-сети. Пока нет хотфикса под 93616 — это единственный рабочий барьер.

Если Check Point нельзя пропатчить на лету: вырубайте implied rules для VPN; для Site-to-Site жестко режьте входящие IP пиров на UDP/500 и UDP/4500.

Пост-обработка: после установки патчей на обоих вендорах принудительно дропайте все активные сессии и инициируйте смену паролей для всех учетных записей, авторизовавшихся через эти шлюзы.

Важно понимать: апдейт после пары месяцев эксплуатации 0-day шлюза не делает его автоматически «чистым». Если уязвимый инстанс торчал в интернет всё это окно — считаем его скомпрометированным по умолчанию, пока форензика не докажет обратное.

Периметр, стоявший открытым неделями, сначала расследуют, а уже потом обновляют. Не наступайте на грабли.

#alert #security #citrix #netscaler #checkpoint #vpn #cve #kev #sysadmin #admin_future

🌐 WordPress CVE-2026-87902 — 10-летняя дыра в ядре. В активной эксплуатации с первых часов

Коллеги, если у вас на балансе или поддержке есть хоть один сайт на WordPress (корпоративный портал, лендинг визитка или старый блог) — бросайте текущие таски и проверяйте версии прямо сейчас.

📌 ФАКТЫ
Уязвимость: CVE-2026-87902 (CVSS 4.0: 9.2, CWE-98).

Масштаб катастрофы: уязвимы все версии с WordPress 4.7.0 по 7.1.1 — это почти 10 лет релизов.

Где поправлено: релиз 7.1.2 + выпущены бэкпорты во все поддерживаемые ветки вплоть до 4.7.

В чём суть бага: функция get_page_template() в wp-includes/template.php парсила имя шаблона напрямую из параметра pagename без вызова validate_file(). Итог — неаутентифицированный Local File Inclusion (LFI).

Автообновления раскатывали фикс с 22 сентября, но дыра уже внесена в CISA KEV. Сканирование и эксплуатация начались практически сразу после публикации адвайзори.

⚠️ КОГДА LFI ПРЕВРАЩАЕТСЯ В ПОЛНЫЙ RCE
Для удаленного выполнения кода злоумышленнику требуется совпадение трех факторов:

Каталог в теме: внутри активной темы есть директория верхнего уровня с префиксом page- (типичная история для дефолтных тем WordPress и популярных кастомных шаблонов).

Файл-трамплин: на сервере присутствует пригодный для инклуда PHP-скрипт (классический вектор — pearcmd.php из состава PEAR).

Окружение PHP: включена директива register_argc_argv = On. Она по умолчанию активна в официальных Docker-образах PHP, а также на хостингах с cPanel на версиях PHP ниже 8.5.

🛠 БЫСТРЫЙ ЧЕК ЧЕРЕЗ КОНСОЛЬ
Bash

# 1. Проверяем текущую версию WordPress
grep "wp_version =" /var/www/*/wp-includes/version.php
# или через WP-CLI:
wp core version --path=/var/www/site

# 2. Проверяем фактор риска №1 (каталоги page-* в активной теме)
ls -d /var/www/site/wp-content/themes/*/page-*/ 2>/dev/null

# 3. Ищем pearcmd.php на хосте
find / -name pearcmd.php 2>/dev/null

# 4. Проверяем флаг register_argc_argv
php -i | grep "register_argc_argv"

# 5. Грепаем логи веб-сервера на попытки пробить path traversal
grep -E "pagename=.*(\.\./|%2e%2e)" /var/log/nginx/access.log* /var/log/apache2/access.log* 2>/dev/null

🛡 ЧТО ДЕЛАТЬ (ЧЕКЛИСТ)
Обновиться: накатить 7.1.2 (или минорный секьюрити-патч для вашей ветки):

Bash

wp core update --path=/var/www/site

Проверить автообновления: убедитесь, что в wp-config.php не захардкожены флаги AUTOMATIC_UPDATER_DISABLED = true или WP_AUTO_UPDATE_CORE = false.

Харденинг (если немедленный патч невозможен): принудительно выставить register_argc_argv = Off в php.ini и полностью снести пакет PEAR, если он не задействован в проекте.

Форензика при совпадении условий: если все три фактора RCE сошлись, а сайт не был обновлен до 22 сентября — ищите новосозданные .php файлы и веб-шеллы в директории wp-content/uploads/.

Уверенность в том, что «сайт на WP сам обновляется в фоне» — опасная иллюзия, пока вы лично не убедились в версии через CLI. Делов на одну строчку в терминале.

#wordpress #security #web #cve #kev #lfi #rce #php #sysadmin #admin_future

🚨 FortiMail CVE-2026-104286: Zero-day без патча, запись файлов без авторизации. Дедлайн CISA — сегодня

Коллеги, воскресенье, но если в вашем контуре почтовый поток или фильтрация завязаны на Fortinet FortiMail — бросайте текущие дела. В активной эксплуатации критический zero-day, официального патча на данный момент нет.

📌 ФАКТЫ
Уязвимость: CVE-2026-104286, оценка CVSS 9.8 (Critical). Вектор: Path Traversal с обходом проверок через NULL-байт (%00) в модуле IBE (Identity-Based Encryption).

Механика атаки: специально сформированный неаутентифицированный HTTP/HTTPS-запрос приводит к записи произвольных файлов в файловую систему с последующим выполнением кода с правами root.

Под ударом ветки: 7.2.0–7.2.9, 7.4.0–7.4.8, 7.6.0–7.6.6, 8.0.0–8.0.1.

Статус исправления: релизы 7.4.9, 7.6.7 и 8.0.2 ещё в разработке. Ветка 7.2 официального фикса не получит вовсе — вендор требует миграции на 7.4+.

Внесено в каталог CISA KEV 1 октября; жесткий срок реализации компенсационных мер и аудита — сегодня, 4 октября.

⚠️ ИНДИКАТОРЫ КОМПРОМЕТАЦИИ (IoC от Fortinet / Truesec)
Атакующие закрепляются на уровне системных библиотек Linux-ядра прошивки:

Plaintext

Созданные файлы:  /data/lib/liblog.so
                  /data/bin/webconsole
                  /data/etc/ld.so.preload
Модифицирован:    /bin/smit
Вредоносные IP:   79.141.169.187
                  45.129.0.192

Опасность: связка

ld.so.preload

+ инжектируемая библиотека

.so

гарантирует перехват системных вызовов каждым процессом в ОС. Закрепление наглухо переживает штатные ребуты устройства.

🛠 СРОЧНЫЕ ДЕЙСТВИЯ (CLI FortiMail)
Bash

# 1. Проверяем текущий билд
get system status

# 2. Включаем официальный Workaround: тушим IBE
config system encryption ibe
    set status disable
end

# 3. Ревизия открытых портов управления на внешних интерфейсах
show system interface

Аудит сетевого периметра (логи шлюзов / пограничных NGFW):

Bash

# Ищем следы контактов с известной инфраструктурой атаки
grep -E '79\.141\.169\.187|45\.129\.0\.192' /var/log/firewall/*.log

💡 В ЧЁМ СУТЬ

Почтовый ретранслятор обязан принимать SMTP-трафик снаружи (порты 25/587). Однако веб-интерфейс шифрования IBE и панель администрирования часто выставляются в интернет автоматически вместе с интерфейсом приёма почты.

Если IBE не используется в рабочих регламентах компании — отключите модуль немедленно.

Если функционал шифрованных писем необходим внешним адресатам — заворачивайте его строго за WAF / Reverse Proxy с белыми списками и жесткой валидацией URL.

Важно: хост с внедрённым

ld.so.preload

бессмысленно просто обновлять после выхода патча. Устройство подлежит полному вайпу, накату чистого образа «с нуля» и перевыпуску всех ключей и секретов.

🛡 ПЛАН РАБОТ НА СЕГОДНЯ
Немедленная митигация: отключить модуль IBE через CLI либо закрыть входящий доступ по TCP/443 и TCP/80 на внешних портах шлюза.

Форензика и сверка IoC: при малейших признаках аномального трафика или наличии указанных IP в логах — заводить P1-тикет в Fortinet TAC с полным дампом системы (debug system export).

План апгрейда: если шлюз на ветке 7.2.x, незамедлительно запланировать переход на 7.4.x.

Пост-патч регламент: сразу после релиза сборок 7.4.9 / 7.6.7 / 8.0.2 накатить обновления, провести принудительную ротацию паролей администраторов, сервисной учетной записи LDAP-bind и закрытых TLS-ключей.

#alert #fortinet #fortimail #mail #security #zeroday #cve #kev #sysadmin #admin_future

🔎 Cisco SD-WAN CVE-2026-76504: замена буквы на %6a даёт права админа. Как несогласованная URL-нормализация ломает аутентификацию

Коллеги, детальный разбор классической архитектурной ошибки, которая с завидной регулярностью всплывает в веб-интерфейсах сетевых appliance и контроллеров управления.

📌 ФАКТЫ
Уязвимость: CVE-2026-76504, наивысший CVSS 9.8 (Critical), затрагивает API Cisco Catalyst SD-WAN Manager (ранее vManage).

Механика обхода (Improper URL Handling): security-прокси проверяет путь запроса до декодирования URL, а само Java-приложение за ним парсит путь уже после декодирования.

Запрос к POST /%6a_security_check (%6a — hex-код символа j) пролетает мимо фильтра безопасности, попадает в бэкенд как /j_security_check и приводит к мгновенной аутентификации в системе с привилегиями admin / netadmin.

Условия эксплуатации: удаленно, без учетных данных. Cisco зафиксировала реальные атаки «в дикой природе» при расследовании тикета в TAC в сентябре.

Workaround отсутствует. Дыра уже в каталоге CISA KEV (дедлайн на закрытие истек 3 октября).

Контекст: это уже четвертая критическая брешь в SD-WAN Manager за 2026 год (после CVE-2026-20182, 20245, 20262). Предыдущие патчи эту дыру не закрывают.

📦 МАТРИЦА ИСПРАВЛЕНИЙ
Plaintext

Ветка       Исправленный релиз      Ветка       Исправленный релиз
──────────────────────────────────────────────────────────────────
20.9        20.9.10.1               20.18       20.18.4.1
20.12       20.12.8.2               26.1        26.1.2.1
20.15       20.15.6.1               26.2        26.2.1
──────────────────────────────────────────────────────────────────
Ветки < 20.9 — официальный EOL (только плановая миграция на 20.9+)

🛠 ФОРЕНЗИКА И ПРОВЕРКА ЛОГОВ (на ноде vManage)
Bash

# 1. Поиск URL-encoded паттернов в логах реверс-прокси
grep -E 'POST /%[0-9a-fA-F]{2}_security_check' \
  /var/log/nms/containers/service-proxy/serviceproxy-access.log*

# 2. Аудит вызовов j_security_check и аномалий под служебными учетками viptela-reserved-*
grep -E 'j_security_check|viptela-reserved-' /var/log/nms/vmanage-server.log* | tail -100

Быстрый аудит любого веб-сервиса на расхождение в парсинге URL:

Bash

# Сравниваем HTTP-коды ответа на прямой и URL-encoded запросы
curl -sk -o /dev/null -w 'Декодированный путь: %{http_code}\n' https://<host>/j_security_check
curl -sk -o /dev/null -w 'Экранированный путь (%6a): %{http_code}\n' https://<host>/%6a_security_check

💡 В ЧЁМ СУТЬ

Корень проблемы — CWE-177 (URL Parsing/Discrepancy). Это фундаментальная проблема многослойных архитектур: когда фронтенд-фильтр (WAF, Envoy, Nginx, внутренний контейнер-прокси) и целевой бэкенд (Spring/Tomcat) нормализуют URL по разным стандартам.

Золотое правило: валидатор прав и обработчик бизнес-логики обязаны работать с одинаково канонизированным представлением строки запроса.

Четыре критических обхода авторизации подряд на одном продукте за год — четкий сигнал: консоль управления SD-WAN Manager нельзя считать доверенной по умолчанию, даже если на нее накачены прошлые обновления.

🛡 ЧЕКЛИСТ ДЕЙСТВИЙ
Экстренный накат патча: обновиться до актуального таргетированного билда (прошлые заплатки бессильны против %6a).

Периметральная изоляция: порты TCP/443 (Web/API), TCP/22 (SSH) и TCP/830 (NETCONF) контроллеров vManage должны быть полностью отрезаны от публичного интернета. Доступ — строго через VPN / выделенный OOB Jump-хост.

Глубокий аудит логов: просканировать логи serviceproxy-access за сентябрь на наличие шестнадцатеричных последовательностей %XX_security_check.

Реакция на инцидент: при обнаружении совпадений снять диагностический бандл request admin-tech и немедленно эскалировать кейс в Cisco TAC.

#skills #cisco #sdwan #network #security #authbypass #cve #kev #sysadmin #admin_future

🗓 Patch Tuesday сегодня вечером: как разобрать бюллетень за 15 минут, а не за 3 часа

Коллеги, вторник, 13 октября. Октябрьские обновления Microsoft традиционно начнут раскатываться около 20:00 МСК. Сегодня же официально завершается фаза основной поддержки Windows Server 2022.

📌 АЛГОРИТМ ПРИОРИТИЗАЦИИ НА ВЕЧЕР
Zero-day и CISA KEV (эксплуатация в wild): единственный класс уязвимостей, требующий внеочередной установки в первые 24–48 часов.

Сетевые RCE на внешнем периметре: компоненты, смотрящие наружу (Exchange, RDS Gateway, IIS, Always On VPN), берутся во вторую очередь в рамках текущего спринта.

Внутренний контур (LPE, Client-side): штатный цикл тестирования (лабораторная среда → пилотные серверы → общий продакшен-пул).

Раздел Known Issues: обязательное чтение перечня известных проблем в KB до нажатия кнопки одобрения во WSUS/SCCM (в сентябре это уберегло бы RDS-фермы от мертвых зависаний).

🛠 АВТОМАТИЗАЦИЯ ВЫБОРКИ: KEV И EPSS НА BASH
Bash

# 1. Выгрузка свежих уязвимостей Microsoft, попавших в CISA KEV сегодня
curl -s https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json | \
  jq -r '.vulnerabilities[] 
    | select(.vendorProject=="Microsoft" and .dateAdded=="2026-10-13") 
    | "\(.cveID)\t\(.vulnerabilityName)"'

# 2. Экспресс-запрос скоринга вероятности эксплуатации (EPSS) через API FIRST
# Замените список CVE на целевые идентификаторы из вечернего бюллетеня
curl -s "https://api.first.org/data/v1/epss?cve=CVE-2026-XXXXX,CVE-2026-YYYYY" | \
  jq -r '.data[] | "\(.cve)\tEPSS: \(.epss)\t(процентиль: \(.percentile))"'

⚠️ КОНТРОЛЬНЫЙ ЧЕКЛИСТ ДО НАЧАЛА РАСКАТКИ
Снапшоты и бэкапы: контроллеры домена, базы данных и шлюзы аутентификации бэкапятся со сбросом транзакционных логов строго до применения обновлений.

NTLMv1 Enforce: клиентские рабочие станции на Windows 11 24H2 и серверы 2025 с корпоративным Wi-Fi/VPN через PEAP-MSCHAPv2 находятся в зоне риска отвала бесшовного входа при отсутствии Credential Guard.

Windows Server 2022: статус Mainstream завершён. Начиная со следующего месяца серверы ветки 2022 будут получать исключительно секьюрные патчи (Extended Support до 2031 года).

#patchtuesday #windows #security #kev #epss #patchmanagement #sysadmin #admin_future

🔥 Palo Alto PAN-OS: RCE с правами root через интерфейс управления. Плюс итоги недели по KEV

Коллеги, пятница. Перед выходными — закрываем периметр.

📌 ФАКТЫ
CVE-2026-0322, CVSS 4.0 — 8.6, внедрение кода (CWE-94) в management interface PAN-OS

Аутентифицированный атакующий с сетевым доступом выполняет код от root. Специальной конфигурации не требуется

Затронуты PA-Series, VM-Series и Panorama. Cloud NGFW и Prisma Access — нет

Palo Alto сообщает об «очень ограниченной эксплуатации». Обходного решения нет

Исправления — для веток 10.2, 11.1, 11.2, 12.1, 12.2 (например, 11.2.16). Неподдерживаемые версии патча не получат

📋 KEV ЗА НЕДЕЛЮ (CISA, сроки для госорганов США — 16–17 октября)
CVE-2026-0322 — Palo Alto PAN-OS

CVE-2026-76519 — Cisco Secure Email Gateway

CVE-2026-105133 / 105134 — AhsayCBS

CVE-2026-96951 — Windows Shell, обход MotW

🛡 ПЛАН НА СЕГОДНЯ
Интерфейс управления файрвола и Panorama — только из management-сети или с jump-хоста. Не из интернета

Обновить до исправленного hotfix в своей ветке

Сменить пароли администраторов и проверить список учёток: эксплуатация требует аутентификации, значит, атакующие используют украденные или слабые пароли

Логи управления — необычные входы, изменения конфигурации

💡 В ЧЁМ СУТЬ

«Требует аутентификации» не значит «не опасно». На практике это значит «опасно в связке с утёкшим паролем». Отдельная админ-сеть плюс MFA на вход в управление закрывают и эту CVE, и следующую.

#alert #paloalto #firewall #kev #cve #sysadmin #admin_future

🚨 BeyondTrust Remote Support: обход аутентификации, китайская APT и удалённые логи. Ещё один инструмент удалённого доступа под атакой

Коллеги, продолжаем тему «легитимный удалённый доступ как вход для атакующих».

📌 ФАКТЫ
CVE-2026-102764, CVSS 9.3 — обход аутентификации в BeyondTrust Remote Support

Эксплуатация с конца августа по сентябрь, пострадали минимум два клиента BeyondTrust

Mandiant видит пересечение с китайской группой UNC5221. После входа: повышение привилегий, горизонтальное перемещение, веб-шелл SAWFLY, туннель BARECLAW, удаление логов на устройстве

CISA добавила CVE в KEV

Privileged Remote Access (PRA) использует тот же код: эксплуатацию BeyondTrust не воспроизвела, но патч выпустила и рекомендует ставить

С версиями путаница: в одних источниках уязвимы версии до 26.2.3, в других исправлением названа 24.3.1. Сверяйте с бюллетенем BT26-05

🛡 ПЛАН
Обновить self-hosted Remote Support и PRA по BT26-05

Проверить устройство на компрометацию: Mandiant предупреждает, что часть механизмов закрепления переживает перезагрузку и сброс конфигурации

Сменить учётки, которые проходили через инструмент, — особенно привилегированные

Логи с устройства — во внешний SIEM, чтобы их нельзя было стереть на месте

💡 В ЧЁМ СУТЬ

Инструмент привилегированного доступа — это ключи от всего, к чему он подключается. Его логи должны уходить наружу в реальном времени: здесь атакующие удаляли их на самом устройстве.

#security #beyondtrust #remoteaccess #apt #kev #sysadmin #admin_future