Чеклист: подготовка к уязвимостям (Zero-Day Ready)

Админ всегда должен быть готов к внезапным zero-day уязвимостям. Вот быстрый чеклист, который снижает риски:

1️⃣ Включён централизованный аудит логов (SIEM или хотя бы syslog/Event Viewer forwarding).
2️⃣ Резервные копии отделены от продакшн-сети.
3️⃣ Сервера обновляются пакетами безопасности в автоматическом режиме.
4️⃣ Локальные учётки → минимум, пароли уникальные.
5️⃣ Сервисы мониторинга → оповещают в реальном времени (почта/Telegram/Slack).
6️⃣ Уязвимые сервисы (RDP, SSH) закрыты на прямой интернет.
7️⃣ План отката и тест восстановления проверены на практике.

Zero-day не предупредит. Но подготовленный админ = спокойная ночь.

#security #чеклисты #zeroday #adminlife

🚨 FortiMail CVE-2026-104286: Zero-day без патча, запись файлов без авторизации. Дедлайн CISA — сегодня

Коллеги, воскресенье, но если в вашем контуре почтовый поток или фильтрация завязаны на Fortinet FortiMail — бросайте текущие дела. В активной эксплуатации критический zero-day, официального патча на данный момент нет.

📌 ФАКТЫ
Уязвимость: CVE-2026-104286, оценка CVSS 9.8 (Critical). Вектор: Path Traversal с обходом проверок через NULL-байт (%00) в модуле IBE (Identity-Based Encryption).

Механика атаки: специально сформированный неаутентифицированный HTTP/HTTPS-запрос приводит к записи произвольных файлов в файловую систему с последующим выполнением кода с правами root.

Под ударом ветки: 7.2.0–7.2.9, 7.4.0–7.4.8, 7.6.0–7.6.6, 8.0.0–8.0.1.

Статус исправления: релизы 7.4.9, 7.6.7 и 8.0.2 ещё в разработке. Ветка 7.2 официального фикса не получит вовсе — вендор требует миграции на 7.4+.

Внесено в каталог CISA KEV 1 октября; жесткий срок реализации компенсационных мер и аудита — сегодня, 4 октября.

⚠️ ИНДИКАТОРЫ КОМПРОМЕТАЦИИ (IoC от Fortinet / Truesec)
Атакующие закрепляются на уровне системных библиотек Linux-ядра прошивки:

Plaintext

Созданные файлы:  /data/lib/liblog.so
                  /data/bin/webconsole
                  /data/etc/ld.so.preload
Модифицирован:    /bin/smit
Вредоносные IP:   79.141.169.187
                  45.129.0.192

Опасность: связка

ld.so.preload

+ инжектируемая библиотека

.so

гарантирует перехват системных вызовов каждым процессом в ОС. Закрепление наглухо переживает штатные ребуты устройства.

🛠 СРОЧНЫЕ ДЕЙСТВИЯ (CLI FortiMail)
Bash

# 1. Проверяем текущий билд
get system status

# 2. Включаем официальный Workaround: тушим IBE
config system encryption ibe
    set status disable
end

# 3. Ревизия открытых портов управления на внешних интерфейсах
show system interface

Аудит сетевого периметра (логи шлюзов / пограничных NGFW):

Bash

# Ищем следы контактов с известной инфраструктурой атаки
grep -E '79\.141\.169\.187|45\.129\.0\.192' /var/log/firewall/*.log

💡 В ЧЁМ СУТЬ

Почтовый ретранслятор обязан принимать SMTP-трафик снаружи (порты 25/587). Однако веб-интерфейс шифрования IBE и панель администрирования часто выставляются в интернет автоматически вместе с интерфейсом приёма почты.

Если IBE не используется в рабочих регламентах компании — отключите модуль немедленно.

Если функционал шифрованных писем необходим внешним адресатам — заворачивайте его строго за WAF / Reverse Proxy с белыми списками и жесткой валидацией URL.

Важно: хост с внедрённым

ld.so.preload

бессмысленно просто обновлять после выхода патча. Устройство подлежит полному вайпу, накату чистого образа «с нуля» и перевыпуску всех ключей и секретов.

🛡 ПЛАН РАБОТ НА СЕГОДНЯ
Немедленная митигация: отключить модуль IBE через CLI либо закрыть входящий доступ по TCP/443 и TCP/80 на внешних портах шлюза.

Форензика и сверка IoC: при малейших признаках аномального трафика или наличии указанных IP в логах — заводить P1-тикет в Fortinet TAC с полным дампом системы (debug system export).

План апгрейда: если шлюз на ветке 7.2.x, незамедлительно запланировать переход на 7.4.x.

Пост-патч регламент: сразу после релиза сборок 7.4.9 / 7.6.7 / 8.0.2 накатить обновления, провести принудительную ротацию паролей администраторов, сервисной учетной записи LDAP-bind и закрытых TLS-ключей.

#alert #fortinet #fortimail #mail #security #zeroday #cve #kev #sysadmin #admin_future

🚨 AhsayCBS: два zero-day, SYSTEM на сервере бэкапов без пароля. Эксплуатация началась через сутки после обнаружения

Коллеги, очередное жесткое подтверждение базового правила: сервер резервного копирования — приоритетная цель номер один для злоумышленников.

📌 ФАКТЫ (отчет Field Effect от 9 октября)
Связка уязвимостей:

CVE-2026-105133 (CVSS 5.5) — логическая ошибка аутентификации в функции проверки пароля checkSysPwd;

CVE-2026-105134 (CVSS 9.3) — критическая инъекция команд ОС (Command Injection) в компоненте Replication Receiver.

Результат цепочки: удаленное неаутентифицированное исполнение произвольного кода (RCE) с наивысшими правами NT AUTHORITY\SYSTEM.

Под ударом: все версии платформы до 10.3.4 включительно. Официальный исправленный релиз на момент публикации вендором не обозначен.

Активная эксплуатация: реальные атаки зафиксированы поздно вечером 7 октября — всего через сутки после первых сигналов. За первые 24 часа подтверждена компрометация как минимум 5 организаций.

Анатомия закрепления: злоумышленники конфигурировали поддельный приемник репликации, заливали JSP веб-шелл, разворачивали скрытый майнер XMRig под маской легитимного процесса Microsoft Edge и прописывали фальшивую службу обновления браузера для автозагрузки.

🛠 ФОРЕНЗИКА И ПОИСК СЛЕДОВ (PowerShell на хосте AhsayCBS)
PowerShell

# 1. Поиск свежих JSP-файлов и шеллов за последнюю неделю
$installDir = 'C:\Program Files\AhsayCBS'
Get-ChildItem -Path $installDir -Recurse -Filter *.jsp -ErrorAction SilentlyContinue |
  Where-Object { $_.LastWriteTime -gt (Get-Date).AddDays(-7) } |
  Select-Object FullName, LastWriteTime

# 2. Выявление процессов msedge, запущенных вне легитимной директории Microsoft
Get-CimInstance Win32_Process | 
  Where-Object { $_.Name -like 'msedge*' -and $_.ExecutablePath -notlike '*\Microsoft\Edge\*' } |
  Select-Object ProcessId, Name, ExecutablePath

# 3. Аудит подозрительных служб с «Edge» в названии
Get-CimInstance Win32_Service | 
  Where-Object { $_.DisplayName -match 'Edge' -or $_.Name -match 'Edge' } |
  Select-Object Name, DisplayName, PathName, StartMode

💡 В ЧЁМ СУТЬ

В данном кейсе атакующие ограничились установкой майнера, но уровень привилегий SYSTEM на сервере бэкапов автоматически означает полный доступ к архивам данных, теневым копиям и служебным учетным записям всех защищаемых хостов предприятия.

Правило изоляции едино для любого решения (Ahsay, Veeam, Proxmox Backup Server, Commvault):

Любые порты управления, API и сервисы репликации никогда не должны смотреть в публичный интернет — только выделенный Management VLAN, изолированный VPN или защищенный туннель.

Если на сервере бэкапов обнаружены следы веб-шелла или сторонних служб — машина считается скомпрометированной целиком. Она не «лечится» установкой патча, а подлежит полной переустановке с чистого образа с обязательным отзывом и перевыпуском всех ключей доступа.

#security #backup #zeroday #ahsay #threathunting #powershell #windows #sysadmin #admin_future

🚨 Cisco Secure Email Gateway: zero-day через вложение в письме, root на шлюзе. Второй почтовый шлюз за две недели

Коллеги, четверг. Вслед за инцидентами вокруг FortiMail под прицел попали решения Cisco. Почтовые шлюзы (Secure Email Gateway / ESA) окончательно утвердились в статусе приоритетного вектора атак на внешний периметр.

📌 ФАКТЫ
Идентификатор и скоринг: CVE-2026-76519, критический базовый балл CVSS 9.8. Затрагивает операционную систему AsyncOS и механизм анализа репутации файлов AMP (Advanced Malware Protection) File Reputation.

Вектор Zero-Click: неаутентифицированная атака через отправку специально сформированного письма с вредоносным вложением.

В процессе штатного парсинга вложения модулем сканирования происходит запись произвольных файлов в файловую систему appliance с последующим выполнением произвольного кода с правами суперпользователя root.

Каких-либо действий от конечного пользователя или администратора не требуется — разбор и триггер уязвимости происходят на лету самим шлюзом.

Необходимые условия уязвимости:

Функция File Reputation включена и назначена хотя бы на одну политику обработки входящей почты (Inbound Mail Policy);

Версия служебного компонента Content Scanner Tools ниже 25.3.0.5525.

Статус эксплуатации: активные атаки в дикой природе зафиксированы в октябре. Официальный security advisory опубликован 14 октября. Обходных путей (workarounds) и изолирующих твиков конфигурации не существует.

Векторы устранения:

Накат пакета определений Content Scanner Tools версии 25.3.0.5525 или новее (применяется динамически без ребута ноды);

Либо мажорный апгрейд образов системы до AsyncOS 15.5.5-014 / 16.5.0-780;

Облачная инфраструктура Cisco Secure Email Cloud Gateway уже пропатчена на стороне вендора.

🛠 ДИАГНОСТИКА И ПАТЧИНГ (CLI AsyncOS)
Проверку и принудительное обновление необходимо выполнять понодово на каждом физическом или виртуальном узле кластера:

Plaintext

# 1. Проверяем текущую установленную версию движков сканирования
contentscannerstatus

# 2. Если включен ручной режим обновлений — форсируем немедленную выкачку сигнатур
contentscannerupdate

# 3. Базовый поиск следов аномалий безопасности в системных журналах
grep "System Security" system_logs

⚠️ Важное замечание вендора по форензике:

Так как цепочка эксплойта даёт злоумышленнику права

root

на уровне базовой ОС FreeBSD/Linux шлюза, атакующий имеет возможность напрямую зачистить следы в локальных журналах

system_logs

и

mail_logs

. «Чистый» вывод журнала не гарантирует отсутствие компрометации.

💡 В ЧЁМ СУТЬ ДЛЯ СИСАДМИНА

Почтовый шлюз архитектурно обязан принимать входящие SMTP-соединения со всего интернета (

0.0.0.0/0

), поэтому доставка полезной нагрузки через стандартный почтовый конверт — идеальный сценарий для атакующих.

Два фундаментальных правила эксплуатации SEG:

Автообновление движков контента (Antivirus, AMP, Content Scanner): должно быть включено по умолчанию в режиме реального времени, без задержек и ручного подтверждения администратором.

Жёсткий Egress-контроль: почтовому шлюзу из внешних направлений нужны только порт TCP/25 для доставки почты и доступ к вендорским CDN/серверам репутации по портам 80/443. Любые внезапные исходящие TCP/UDP-сессии с IP шлюза в сторону неизвестных внешних серверов на пограничном межсетевом экране должны немедленно отправлять алерт в SIEM/Telegram.

#security #cisco #email #zeroday #mail #gateway #sysadmin #admin_future

🔌 Cisco ASA/FTD: второй zero-day в VPN с августа. Атакующие не взламывают VPN — они его просто выключают

Коллеги, классика жанра: «у нас VPN отвалился» — «перезагрузите роутер». Только теперь ваш пограничный шлюз перезагружают снаружи. Без спроса и пароля.

📌 ФАКТЫ
CVE-2026-76418 (CVSS 8.6) — критическая уязвимость в подсистеме SSL VPN / AnyConnect на платформах Cisco ASA и Firepower Threat Defense (FTD)

Позволяет неаутентифицированному удалённому атакующему отправить специально сформированные запросы и вызвать крах процесса с аварийной циклической перезагрузкой всего устройства (Denial of Service)

Под ударом конфигурации шлюзов, где настроена вторичная аутентификация (Secondary Authentication / 2FA)

Дыру активно эксплуатируют в дикой природе как zero-day. Это уже второй боевой 0-day в коде VPN-шлюзов Cisco с начала августа

CISA оперативно включила вектор в каталог обязательных к закрытию угроз CISA KEV

🛠 АУДИТ КОНФИГУРАЦИИ (CLI Cisco ASA)
Plaintext

# 1. Проверяем установленную версию софта
show version | include Version

# 2. Ищем признаки опасной связки: tunnel-group с двойной аутентификацией
show running-config tunnel-group | include secondary

# 3. Анализируем дампы падений и причину последнего ребута
show crashinfo | include Uptime|reload
show logging | include reload|Reload

Если в выводе присутствует директива secondary-authentication-server-group, хост находится в зоне прямого риска.

Сверяйте версии с официальным security advisory вендора: исправления выкачены для линеек 9.16, 9.18, 9.20 и соответствующих релизов FTD.

😅 ЖИЗНЕННОЕ
Внезапный ребут ASA в разгар рабочего дня гарантирует мгновенный взрыв всех корпоративных чатов: сотни удалёнщиков синхронно теряют сессии, RDP и телефонию.

Если пограничный маршрутизатор внезапно «устал» и перезагрузился в 3 часа ночи — это не плавающий аппаратный глюк памяти, а веский повод немедленно лезть в crashinfo и логи сислога.

💡 В ЧЁМ СУТЬ

Вектор DoS на периметровом шлюзе — это не просто «временный обрыв связи». В сценариях таргетированных атак принудительный ребут фаервола используется для:

Принудительного разрыва сессий и перехвата хэндшейков при повторном подключении;

Создания дымовой завесы («пока админы чинят упавший шлюз, внутри тихо эксфильтруют БД»);

Обхода механизмов failover/HA, если ноды падают по очереди.

Алерт в мониторинге на изменение аптайма периметра и лог

SYS-1-611103

(Device reload) — базовая гигиена любого сетевого инженера.

#cisco #asa #vpn #firewall #zeroday #юмор #sysadmin #admin_future