Американската Агенция за киберсигурност и инфраструктурна сигурност (CISA) добави пет уязвимости в сигурността, засягащи JFrog Artifactory, ConnectWise ScreenConnect и MikroTik RouterOS, към своя каталог с известни експлоатирани уязвимости (KEV), след съобщения за активна експлоатация в реална среда.

Подробностите за уязвимостите са следните:

  • CVE-2026-42016 (CVSS оценка: 8.1) - Уязвимост за некоректна авторизация в JFrog Artifactory, която би могла да доведе до ескалация на привилегии поради проверка за валидност на сигнатурата/издателя на токена, а не на обхвата (scope) на токена.
  • CVE-2026-42018 (CVSS оценка: 7.5) - Уязвимост за неправилна автентификация в JFrog Artifactory, която може да върне вътрешен токен на анонимен потребител на неавтентифициран заявител, когато анонимният достъп е деактивиран, потенциално разкривайки чувствителни ресурси.
  • CVE-2026-84869 (CVSS оценка: 9.9) - Уязвимост за неправилно управление на привилегии и липсваща авторизация в ConnectWise ScreenConnect, която може да позволи на атакуващ да прехвърля и изпълнява файлове през активна отдалечена сесия без авторизация или потвърждение от хоста.
  • CVE-2026-67277 (CVSS оценка: 8.8) - Уязвимост за липсваща автентификация за критична функция в MikroTik RouterOS, която може да позволи разкриване на паметта на ядрото и отказ на услуга (DoS) в услугата btest.
  • CVE-2026-86060 (CVSS оценка: 9.2) - Уязвимост за неправилно неутрализиране на разделители на аргументи в команда в MikroTik RouterOS, която може да позволи на атакуващ да промени доверената маска за политики на RouterOS и да постигне ескалация на привилегии.

Както бе съобщено по-рано от The Hacker News, забелязано е, че атакуващите комбинират верижно двете грешки в Artifactory заедно с CVE-2026-82329 (CVSS оценка: 9.8), за да поемат администраторски контрол над самостоятелно управлявани (self-hosted) сървъри и да инсталират задни врати (backdoors) между 15 август и 8 септември 2026 г. CVE-2026-82329 беше добавена към каталога KEV на CISA по-рано този месец.

„Атакуващите свързват тези уязвимости във верига, за да заобиколят автентификацията, да ескалират привилегии и да получат административен контрол върху уязвими инстанции на Artifactory“, заявяват от собствената на Google компания Wiz. „Забелязаната дейност след експлоатация включва създаване на персистентни администраторски акаунти, внедряване на злонамерени Groovy плъгини за изпълнение на код и инсталиране на задни врати, базирани на Rust, с цел осигуряване на трайно присъствие.“

Експлоатацията на CVE-2026-84869, от друга страна, е свързана със серия от три несвързани инцидента, документирани от Huntress, при които автори на заплахи са злоупотребили със ScreenConnect, за да разпространят злонамерен Visual Basic Script (VBScript) код към новосвързани системи.

ConnectWise описва грешката като „състояние“ в клиента на ScreenConnect, което „при определени обстоятелства може да позволи прехвърляне и изпълнение на файлове през активна отдалечена сесия без авторизация или потвърждение от хоста“. Проблемът не засяга сървърите ScreenConnect.

„При определени обстоятелства това може да даде възможност за прехвърляне и изпълнение на файлове в клиентската система на хоста, включително чрез действия с повишени привилегии“, заявяват от Huntress в актуализация, призовавайки организациите да инсталират актуализацията за ScreenConnect версия 26.6.5.“

Добавянето на CVE-2026-67277 и CVE-2026-86060 от CISA следва доклад от CERT Polska от миналата седмица, в който се посочва, че са наблюдавани неизвестни киберпрестъпници, експлоатиращи две грешки в MikroTik RouterOS с цел поемане на контрол върху уязвими устройства без автентификация. Агенцията за киберсигурност нарече тази верига от експлоати MikroTrick.

Агенциите от Федералната гражданска изпълнителна власт (FCEB) на САЩ са длъжни да отстранят уязвимостите в RouterOS до 13 септември 2026 г., уязвимостта в ScreenConnect до 14 септември 2026 г. и уязвимостите в Artifactory до 25 септември 2026 г.