Дайджест уязвимостей от BI.ZONE EASM за сентябрь

В материале вы найдете разбор уязвимостей, рекомендации по устранению, советы по проверке возможных следов эксплуатации, а также ссылки на открытые исследования и официальные рекомендации производителей.

В этом выпуске:

• Удаленное выполнение команд и обход аутентификации в Citrix NetScaler.
• Удаленное выполнение кода в шлюзах и серверах управления Check Point.
• Обход аутентификации и захват управления MikroTik RouterOS.
• Чтение файлов сервера и раскрытие учетных данных в GitLab.
• Выполнение PHP‑кода через механизм шаблонов WordPress.

Указанные исправленные сборки закрывают соответствующие CVE, но не обязательно являются последними доступными версиями продуктов. Перед обновлением сверяйтесь с бюллетенем производителя.

27 сентября Citrix раскрыла две критические уязвимости в NetScaler ADC и NetScaler Gateway. CVE‑2026‑88771 позволяет выполнять произвольные команды без аутентификации. CVE‑2026‑88772 связана с повреждением памяти и может приводить к выполнению кода или отказу в обслуживании при включенном DTLS. Производитель подтвердил эксплуатацию обеих ошибок. Подробнее — в бюллетене Citrix.

Рекомендации по устранению уязвимостей и снижению риска

Установите исправление, соответствующее вашей ветке NetScaler:

• 14.1 — 14.1‑73.37 или новее.
• 13.1 — 13.1‑64.23 или новее.
• 14.1‑FIPS — 14.1‑73.37 FIPS или новее.
• 13.1‑FIPS и 13.1‑NDcPP — 13.1‑37.279 или новее.

Эти версии также новее первоначальных исправлений CVE‑2026‑19490. Матрица версий приведена в бюллетене Citrix.

Советы по проверке следов эксплуатации

• Проверьте /var/log/ns.log, его архивы и /var/log/messages. CERT‑EU рекомендует обращать внимание на сочетания pitboss, NSPPE, PPE missed too many heartbeats с неожиданными фрагментами команд. Дополнительные признаки — HTTP‑запросы с маркером INDEX: в User‑Agent, несанкционированные изменения /etc/httpd.conf и появление PHP‑веб‑шеллов. Отдельное совпадение требует анализа и само по себе не доказывает взлом. Подробности читайте в исследовании CERT‑EU.
• Запустите рекомендованную производителем проверку индикаторов через NetScaler Console. По возможности сохраните журналы, диагностические данные и подозрительные файлы до перезагрузки, обновления или восстановления устройства.

Полезные ссылки

• Citrix NetScaler ADC and Citrix NetScaler Gateway Security Bulletin for CVE‑2026‑88771, CVE‑2026‑88772, CVE‑2026‑88773, CVE‑2026‑88774, CVE‑2026‑88775, CVE‑2026‑88776, CVE‑2026‑88777, and CVE‑2026‑88778 // Citrix
• Taking execute logging a bit too literally — CVE‑2026‑88771 // CERT‑EU

CVE‑2026‑85102 связана с обработкой сертификатов при установлении VPN‑соединения. Она позволяет выполнять код без аутентификации в Security Gateway и Spark Firewall. Check Point наблюдала попытки эксплуатации уязвимости в Spark с 12 сентября. Производитель описал их в сообщении об активных атаках.

Другая ошибка, CVE‑2026‑85103, возникает при ASN.1‑декодировании VPN‑сертификатов и затрагивает Quantum Security Gateway и Quantum Security Management. Она также позволяет удаленному неаутентифицированному атакующему выполнить произвольный код. Обе уязвимости раскрыли 9 сентября.

Раскрытая 22 сентября CVE‑2026‑93616 затрагивает сервер управления инфраструктурой Check Point. Обход каталогов в веб‑сервисе позволяет до аутентификации запускать скрипты и загружать произвольные Java‑классы. Производитель сообщил об ограниченных целевых атаках, которые наблюдались еще 23 июля, в том же сообщении.

Рекомендации по устранению уязвимостей и снижению риска

• Установите исправления по бюллетеням sk1000117, sk1000118 и sk1000171 для соответствующих продуктов и веток. Не считайте установленный LivePatch Take 28/29 достаточным: он не закрывает CVE‑2026‑93616.
• Ограничьте доступ к интерфейсам управления, разрешив его только из доверенных административных сетей. Различия между исправлениями разъяснены в рекомендациях Check Point.

Советы по проверке следов эксплуатации

• Проверьте журналы на наличие аномальных подключений через Mobile Access с аутентификацией по сертификатам. Для подозрительных подключений отдельно проверьте признаки последующей активности атакующего. В частности, ищите сканирование портов и сервисов внутренней сети. Среди опубликованных значений Subject встречаются CN=vpn,OU=users,O=global, CN=vpn‑user и CN=vpnuser. Сопоставляйте совпадения с контекстом подключения: сами по себе эти значения не доказывают эксплуатацию. Источник индикаторов — сообщение Check Point.
• Для серверов управления дополнительно проверяйте новые скрипты и Java‑файлы, дочерние процессы сервисов управления и изменения административных учетных записей. Период анализа не стоит ограничивать сентябрем, учитывая указанную производителем июльскую активность.

Полезные ссылки

• Security Advisory: Action Required — Active Exploitation of CVE‑2026‑85102 and a Management Pre‑Authentication Vulnerability CVE‑2026‑93616 // Check Point
• CVE‑2026‑85102 ‑ Authentication Bypass and Remote Code Execution in Remote Access and Site‑to‑Site VPN // Check Point
• CVE‑2026‑85103 ‑ ASN.1 decoding heap overflow leading to a remote code execution // Check Point
• CVE‑2026‑93616: Directory Traversal and File upload allows execution of arbitrary script on the Management Server // Check Point

В начале сентября MikroTik и CERT Polska сообщили о серии уязвимостей в RouterOS. CVE‑2026‑67276 дает возможность обойти SSH‑аутентификацию при знании имени пользователя и публичного RSA‑модуля его ключа. CVE‑2026‑86060 позволяет повысить привилегии через обработку имени пользователя. CVE‑2026‑67277 затрагивает тест пропускной способности и приводит к утечке памяти или перезапуску устройства. Подробнее об уязвимостях — в исследовании CERT Polska.

CERT Polska подтвердила атаки на маршрутизаторы с доступным из интернета SSH.

Рекомендации по устранению уязвимостей и снижению риска

• Обновите RouterOS до 7.24.2, 7.23.4 или 6.49.21 — в зависимости от ветки.
• Ограничьте SSH и другие административные сервисы доверенными адресами. При подтвержденной компрометации восстановите устройство из доверенного состояния, предварительно сохранив необходимые для расследования данные. Исправления перечислены в бюллетене MikroTik.

Советы по проверке следов эксплуатации

Ищите записи login failure for user -2 и создание пользователей через ssh:-2@.... В наблюдавшихся атаках появлялась привилегированная учетная запись ops. Проверьте неизвестных пользователей, скрипты, задания планировщика, прокси и туннели. Эти признаки опубликованы в рекомендациях CERT Polska.

Механизм Flagged обнаруживает только часть следов компрометации. Отсутствие предупреждения не подтверждает безопасность устройства.

Полезные ссылки

• September 2026 vulnerability // MikroTik
• Vulnerabilities in MikroTik RouterOS actively exploited // CERT Polska

CVE‑2026‑85706 позволяет неаутентифицированному атакующему читать файлы сервера через API работы с коммитами. Проблема затрагивает GitLab CE/EE начиная с версии 18.7 и до соответствующих исправленных сборок. Подробности приведены в сообщении GitLab о критическом обновлении.

Рекомендации по устранению уязвимостей и снижению риска

Установите 19.3.2, 19.2.6, 19.1.8, 19.0.9 или 18.11.12 для соответствующей ветки. При подтвержденном раскрытии файлов определите, какие секреты могли попасть к атакующему, и замените их. Сведения об исправлениях опубликованы в документации GitLab.

Советы по проверке следов эксплуатации

• В api_json.log проверьте запросы с параметрами file.path и metadata.path, значения которых указывают за пределы разрешенного каталога. Учитывайте URL‑кодирование имен параметров и путей.
• Для оценки фактической утечки сопоставляйте запросы по correlation_id, анализируйте api_error в API‑журнале и written_bytes в журнале Workhorse. HTTP‑статус сам по себе не доказывает передачу содержимого файла. Порядок проверки описан в инструкции GitLab.

Сохраненные журналы могут содержать раскрытые секреты и требуют соответствующей защиты.

Полезные ссылки

• GitLab Critical Patch Release: 19.3.2, 19.2.6, 19.1.8 // GitLab
• Validating whether a file was actually exfiltrated via CVE‑2026‑85706 using Workhorse written bytes // GitLab

Раскрытая 22 сентября уязвимость, связанная с обходом каталогов в механизме выбора шаблона, позволяет включить локальный PHP‑файл за пределами активной темы. При выполнении дополнительных условий это приводит к удаленному выполнению кода без аутентификации. Техническое описание опубликовано в бюллетене WordPress.

Наличие этой уязвимости не означает, что каждый сайт на WordPress уязвим для ее эксплуатации. Среди условий — каталог верхнего уровня активной родительской или дочерней темы, имя которого начинается с page‑. Для выполнения кода также необходимы подходящий доступный локальный PHP‑файл и соответствующее окружение.

Рекомендации по устранению уязвимостей и снижению риска

Обновите WordPress до 7.1.2, 7.0.6, 6.9.9, 6.8.10 либо соответствующей исправленной версии другой ветки из бюллетеня производителя. При оценке подверженности проверьте активную тему и другие требования, необходимые для эксплуатации.

Советы по проверке следов эксплуатации

Дополнительно проверьте новые и измененные PHP‑файлы в каталогах тем, плагинов, uploads и mu‑plugins, неизвестных администраторов и задания cron. Сопоставьте подозрительные веб‑запросы с запуском системных процессов от PHP и исходящими соединениями.

Эти проверки предназначены для поиска компрометации в целом и не являются уникальными индикаторами CVE‑2026‑87902.

Полезная ссылка

BI.ZONE EASM помогает системно работать с критическими уязвимостями. Платформа автоматически сопоставляет новые CVE с внешними активами, выявляет уязвимые сервисы, приоритизирует риски с учетом эксплуатации в реальных атаках и позволяет контролировать их устранение до полного закрытия. Это сокращает время между публикацией уязвимости и принятием управленческого решения: пропатчить, ограничить доступ, изолировать сервис или провести дополнительную проверку.

Если инцидент подтвержден, команда BI.ZONE DFIR проводит полноценное реагирование, устанавливает механизм компрометации, определяет масштаб атаки и помогает локализовать ее последствия.