Седмичният обзор тази седмица обхваща мащабен Microsoft Patch Tuesday с два експлоатирани нулеви дни, активна експлоатация на FortiGate, критична уязвимост за RCE на ниво root в PAN-OS, пробива на данни за KYC в Revolut и повече от 20 други истории, включващи кибератаки, базирани на изкуствен интелект, zero-day уязвимости в браузъри и защитни стени, както и разкрития за пробиви в предприятия.

Мащабен Microsoft Patch Tuesday през септември 2026 г.

Септемврийският Patch Tuesday на Microsoft за 2026 г. отстрани изумителните 973 уязвимости, обхващащи Windows, Office, SQL Server, Exchange, SharePoint, Azure и инструменти за разработчици. Проблемите с ескалация на привилегиите доминираха в изданието с 438 казуса, последвани от 258 грешки за отдалечено изпълнение на код (RCE), като само услугата Windows Biometric Service представлява 64 отделни уязвимости, което подсказва за системна слабост в подсистемата за автентификация.

Потвърдено е, че две zero-day уязвимости се експлоатират активно: CVE-2026-85880 в Windows ALPC и CVE-2026-81963 в Windows Update Stack, като и двете са грешки за ескалация на привилегии с оценка Важно. Критични корекции за сигурност бяха пуснати и за Windows Secure Kernel Mode, VBS Enclave и RCE уязвимости в Excel/Word, което прави този цикъл един от най-големите и най-спешните за годината за корпоративните ИТ екипи.

Защитните стени FortiGate са експлоатирани за внедряване на персонализиран зловреден код

Изследователи от SOCRadar разкриха активна кампания, експлоатираща CVE-2025-25249 — критична препълваща хипа уязвимост с рейтинг 9.8 в CAPWAP услугата на FortiOS и FortiSwitchManager, за внедряване на персонализиран Node.js RAT, наречен PivotC2. Зловредният код отваря изходящи TLS връзки за заобикаляне на ограниченията на защитната стена, събира конфигурации на устройства и декриптира съхранени идентификационни данни за VPN и SSL-VPN с помощта на AES подпрограми.

Атакуващите са сканирали над 30 000 FortiGate IP адреса и са компрометирали 178 устройства, с потвърдени пробиви срещу организации в САЩ, включващи източване на пощенски кутии на Exchange към облачното хранилище Wasabi. Изследователите оценяват с висока увереност, че рускоговоряща, финансово мотивирана група stoi зад кампанията, която също така се насочва към слабости във FortiManager и ArubaOS. Организациите трябва незабавно да актуализират до FortiOS 7.6.4/7.4.9/7.2.12/7.0.18 или по-нова версия.

Уязвимост при проверка на ZTNA във FortiOS и FortiProxy

Fortinet разкри CVE-2026-84393, дефект при валидирането на сертификати с висока строгост (CVSS 7.3) в портала Agentless ZTNA на FortiOS и FortiProxy, който позволява на неавтентифициран атакуващ да извърши прехващане тип „man-in-the-middle“ между ZTNA портала и крайните дестинации. Дефектът произтича от неправилно валидиране на сертификат (CWE-295) и може да разкрие подробности за сесията или съдържанието на приложението без наличието на идентификационни данни.

Засегнатите версии включват FortiOS 7.6.1–7.6.6 и FortiProxy 7.6.2–7.6.6, докато други клонове остават незасегнати. Все още няма доказателства за активна експлоатация в реална среда, но тъй като ZTNA порталите обикновено са достъпни от интернет, Fortinet настоява за незабавно обновяване до версия 7.6.7 или по-нова.

Уязвимост в Palo Alto PAN-OS позволява произволно изпълнение на код като потребител Root

Palo Alto Networks разкри CVE-2026-0310, буферен препълващ дефект (CWE-787) в обработката на XML в PAN-OS, който би могъл да позволи на неавтентифициран атакуващ да постигне изпълнение на код на ниво root върху хардуерни защитни стени от серията PA-Series. Дефектът носи CVSS-B оценка от 9.2, въпреки че сложността на експлоатация се оценява като висока; защитните стени от серията VM-Series са изправени само пред въздействие от тип отказ на услуга (DoS).

Засегнатите версии обхващат множество клонове под 12.2.3, 12.1.10, 11.2.13-h2, 11.1.16-h2 и 10.2.18-h10. Не съществува временно решение, така че Palo Alto препоръчва да се ограничи достъпът до интерфейса за управление само до доверени мрежи и да се актуализира незабавно. Доставчикът е открил дефекта вътрешно и не съобщава за известна експлоатация към 9 септември 2026 г.

LG Smart TV уловени да сканират мрежи

Разследване от Gamers Nexus, Level1Techs и независими изследователи установи, че LG OLED телевизорите, включително флагманът G5, продължават да сканират домашните мрежи и да прихващат аудио от микрофона дори в режим на готовност, след което качват кешираните данни при повторно свързване. Прихващането на пакети показва, че устройствата картират съседни Wi-Fi мрежи, откриват несвързани устройства и локално транскрибират говоримо аудио в текстови логове въпреки обществените твърдения на LG, че не записва фонови разговори.

Поведението се разпростира и извън домовете: автоматичното разпознаване на съдържание (ACR) продължава да работи дори когато телевизорите се използват като пасивни HDMI монитори, което поражда притеснения за болници, хотели и корпоративни заседателни зали. LG Ad Solutions е разширила този канал за данни до приблизително 33 милиона включени дисплея в САЩ. Изследователите препоръчват да изключите интелигентните телевизори от Wi-Fi и вместо това да насочвате поточното предаване през външни устройства.

Швейцария се отдалечава от Microsoft 365

Федералният съвет на Швейцария пилотира суверенно дигитално работно място с отворен код, за да намали дългосрочната си зависимост от Microsoft 365 за критични правителствени функции. След проучване за осъществимост (PoC BOSS) с участието на 172 участници, Федералната канцелария ще внедри базирана на браузър платформа, предлагаща електронна поща, календари, редактиране на документи и конферентни връзки за около 3000 служители до края на 2027 г., при първоначална цена от около 9 милиона швейцарски франка.

Инициативата е оформена като цифров суверенитет и устойчивост, а не като пълна подмяна на Microsoft 365, като ще работи като паралелна опция по време на прекъсвания или геополитически сътресения. Проучването установи, че големите видеоконференции са техническо ограничение, а решението за по-широко внедряване ще зависи от резултатите от пилотния проект през 2027 г.

12-годишна уязвимост в PostgreSQL

Cyera Research разкри CVE-2026-6471, наречена „PostGREShell“ — 12-годишна уязвимост, датираща от PostgreSQL 9.4 през 2014 г., която позволява на акаунти с ниски привилегии и атрибут REPLICATION да злоупотребяват с логическото декодиране и да принудят PostgreSQL да зареди управлявана от атакуващия споделена библиотека, постигайки изпълнение на код с разрешенията на сървърния процес.

Тъй като репликационните акаунти обикновено се използват за архивиране и възстановяване при бедствия, тази уязвимост превръща идентификационни данни с привидно нисък риск в път към пълно компрометиране на базата данни. Корекции за сигурност са налични в PostgreSQL 18.6, 17.11, 16.15, 15.19 и 14.24. Администраторите трябва да одитират акаунтите с привилегии REPLICATION, да затегнат правилата в pg_hba.conf и да следят за подозрително създаване на слотове за репликация.

Пробивът на данни в Revolut разкрива копия от паспорти на клиенти

Revolut разкри, че чувствителна KYC документация и финансови записи за ограничен брой клиенти са били изложени на риск, след като финтех компанията е получила измамна заявка за данни, имитираща легитимна правителствена агенция с използване на неоторизиран имейл акаунт, опериращ под официален домейн. Изложените данни включват копия от паспорти и шофьорски книжки, селфита за потвърждение на самоличността, пълни истории на трансакциите, включително биткойн активност, IBAN и лични данни за контакт.

Revolut твърди, че нейните основни системи и клиентски акаунти не са били компрометирани, като описва инцидента като сложна социално инженерство, а не като технически пробив. Изследователи на блокчейн веригата като ZachXBT изразиха притеснения, че потребители с висока нетна стойност на активите са били специално целеви, изправени пред повишен риск от фишинг, SIM-swapping и кражба на криптовалута. Епизодът подчертава, че имейлът с автентифициран домейн не е доказателство за легитимен изпращач.

Vulnerability в Windows Remote Desktop Client

Microsoft коригира уязвимост CVE-2026-69485, класифицирана като уязвимост от от значение Важно за отдалечено изпълнение на код (RCE) (CVSS 8.8) в Windows Remote Desktop Client, причинена от използването на неинициализиран ресурс. Автентифициран атакуващ с ниски привилегии може да изпрати специално изработена мрежова заявка за изпълнение на код, без да се изисква взаимодействие с потребителя.

Уязвимостта засяга Windows Server 2016 до 2025 и клиентските издания на Windows 10/11 в множество версии (builds). Microsoft оценява експлоатацията като „по-малко вероятна“ и не я е наблюдавала в реална среда, но препоръчва незабавно внедряване на септемврийските актуализации KB и ограничаване на достъпа до RDP само до доверени мрежи.

Хакери използват Claude AI агенти за автоматизиране на кибератаки

Екипът за анализ на заплахите (Threat Intelligence) на Anthropic разкри как групи, подкрепяни от държави, и киберпрестъпници са използвали Claude AI като оръжие за автоматизиране на цели вериги от атаки между декември 2025 г. и август 2026 г. Група, свързана с руската държава и проследявана като GTG-20006 (приравнена към Midnight Blizzard), е използвала Claude за автономно пренаписване на зловреден софтуер при откриване, отвличане на хотелски Wi-Fi за базирани на DNS примамки и кражба на над 300 000 национални лични документа от правителство в Северна Африка.

Отделна група, свързана с ShinyHunters, е използвала Claude за мащабиране на събирането на идентификационни данни в десет облачни работни среди, декомпилирайки 1,8 милиона приложения за Android за твърдо кодирани тайни, докато предполагаема китайска „леярна за експлойти“ (GTG-10007) е изкарала на повърхността над дузина потенциални уязвимости от тип нулев ден за един месец с помощта на паралелни рояци от AI агенти. От Anthropic заявяват, да самостоятелни субекти вече могат да поддържат кампании с множество жертви, които преди са изисквали специализирани екипи, ефективно демократизирайки възможностите за сложни кибератаки.

Уязвимост във FortiSandbox позволява на атакуващи да получат достъп до поверителни данни

Fortinet разкри CVE-2026-26084 (CVSS 8.9), уязвимост за неправилен контрол на достъпа (CWE-284) в уеб интерфейса на FortiSandbox, която позволява на неавтентифицирани атакуващи да създават HTTP заявки за заобикаляне на автентикацията и извличане на поверителни данни, включително подробности за конфигурацията и логове. Проблемът засяга FortiSandbox, FortiSandbox Cloud и FortiSandbox PaaS.

Собственият екип за сигурност на продуктите на Fortinet е открил проблема вътрешно, като няма доказателства за експлоатация в реална среда. Засегнатите версии включват FortiSandbox 5.0.0–5.0.5 и 4.4.0–4.4.8, заедно с определени версии на Cloud и PaaS; FortiSandbox 5.2 не е засегнат. Организациите трябва да актуализират до 5.0.6, 4.4.9 или по-нова версия според случая.

ShinyHunters получиха достъп до данните на 6 милиона клиенти

Единичен вишинг телефонен разговор през февруари 2026 г. позволи на ShinyHunters да пробият холандския телеком Odido и дъщерното му дружество Ben, разкривайки личните данни на приблизително 6,39 милиона клиенти. Говорещ холандски език обаждащ се се е представил за IT колега пред служител от бюрото за помощ (helpdesk), прихващайки потребителско име, парола и MFA токен, след което се е прехвърлил в Salesforce CRM на Odido, за да извлече 90 GB данни в 15 милиона реда чрез легитимни API.

Откраднатите данни включват пълни имена, адреси, IBAN-и и номера на документи за самоличност. ShinyHunters са поискали около 1 милион евро; Odido е отказала и данните са били публикувани на етапи до 1 март. Холандската полиция излъчи гласовия запис на заподозрения по националната телевизия през септември 2026 г., след като той игнорира призивите да се предаде, а случаят беше свързан с идентична вишинг тактика, използвана срещу над 100 организации, включително SoundCloud и Betterment.

Хакери активно експлоатират 0-Day RCE уязвимост в Magento и Adobe Commerce

Холандската компания за сигурност Sansec разкри „StyleSmuggler“ — zero-day уязвимост без автентикация, засягаща всяка настояща версия на Magento Open Source и Adobe Commerce, включително 2.4.9, за която към момента на публикуване няма официална корекция за сигурност. Атакуващите поставят злонамерен PHP код в файлове, които Magento записва по време на нормална работа, след което задействат изпълнението му чрез собствения шаблон за имейли на платформата „Напомняне за неуспешна платежна транзакция“, без да се изисква взаимодействие с жертвата.

Инжектираният код инсталира имплант на базата на Rust, маскиран като нишка на ядрото на Linux, който избягва откриването и в един от случаите е чел данни от сесии на живо чрез 28 едновременни връзки с Redis, вместо да извършва изходящи мрежови повиквания. На собствениците на магазини се препоръчва да деактивират GraphQL, където не е необходим, да приложат неофициални корекции за сигурност от изследователи и да деактивират функцията proc_open на PHP като временна защита.

WeWorm — Първият 0-Click червей

Фирмата за сигурност Calif демонстрира „WeWorm“ — концептуален (proof-of-concept) червей с нулев клик, експлоатиращ грешка с повреждане на паметта във VoIP стека на WeChat, за да компрометира акаунта на целта за секунди след обаждане, без жертвата да отговаря. Демонстрацията използва три телефона, за да докаже разпространение между различни платформи (iOS и Android), като всяко компрометирано устройство автоматично избира и инфектира следващото.

WeChat обслужва над 1,4 милиарда месечно активни потребители, което прави податливата на червеи уязвимост изключително значима. Експлоатацията дава пълен контрол върху акаунта в WeChat на жертвата, включително възможности за изпращане на съобщения и обаждания, а от Calif заявяват, че тя потенциално може да бъде верижно свързана до пълно превземане на устройството. Tencent е отстранила уязвимостта след уведомяване през юли, въпреки че пълните технически подробности остават скрити до конферентната презентация.

Хакери експлоатират уязвимост в MikroTik RouterOS

MikroTik потвърди на 3 септември 2026 г. сериозен проблем с неавтентифициран отдалечен достъп в RouterOS, свързан с SSH, даващ на атакуващите директен достъп до командния ред (shell) на изложени в интернет устройства, независимо от метода на автентикация. Националният CERT на Латвия потвърди скок в експлоатационната активност, а един администратор съобщи за неоторизиран акаунт „ops“, създаден на компрометиран рутер броени дни след разкриването.

Корекциите са доставени във всички канали за разпространение, включително 7.25 beta 3, 7.24.2 stable, 7.23.4 long-term и 6.49.21 long-term. RouterOS вече включва вграден статус на откриване „Flagged“ за манипулирани конфигурации след обновяване. Администраторите се призовават незабавно да инсталират корекциите за сигурност, да одитират всички устройства независимо от статуса им и да ограничат SSH достъпа само до доверени мрежи.

Хакери свързват във верига Zero-Day уязвимости в Chrome и Windows

Proofpoint идентифицира „BlueMoon“ — набор от експлойти (exploit kit), който свързва във верига грешка с объркване на типовете (type-confusion) в Chromium V8 (CVE-2026-85046), излизане от изолираната среда (sandbox) на V8 и уязвимост за ескалация на привилегии в Windows ALPC (CVE-2026-85880) за внедряване на задни врати (backdoors) срещу правителствени и отбранителни цели. Най-малко четири групи авторите на заплахи, най-вече свързани с Китай, включително TA412/Violet Typhoon, са възприели набора от експлойти броени дни след първата му потвърдена употреба на 28 август 2026 г.

И двете уязвимости в Chrome са биле zero-day уязвимости от тип „patch-gap“, възползващи се от приблизително четириседмичния прозорец между публичните коригирания в Chromium и внедряването на стабилната версия на браузъра. TA412 е използвал фалшиво разширение за браузър „Google Gemini“ за записване на натиснатите клавиши и кражба на бисквитки, докато други клъстери са внедрявали ShadowPad и базирани на Rust зареждащи модули (loaders) срещу цели в аерокосмическия сектор и правителства в Югоизточна Азия. Изследователите отбелязаха признаци за разработване на експлоати с помощта на изкуствен интелект в целия код на комплекта.

Критични уязвимости в Check Point VPN

Check Point отстрани две критични уязвимости във VPN, CVE-2026-85102 и CVE-2026-85103, и двете с максимална оценка 9.8 по CVSS и позволяващи RCE без автентификация. Първата произтича от неправилна проверка на доверието в сертификатите по време на VPN договарянето, засягаща Remote Access и Site-to-Site VPN; втората е препълване на буфера в динамичната памет (heap-based buffer overflow), задействано при разбора на ASN.1 сертификатни структури в средите на Quantum Security Gateway и Management.

Засегнатите клонове включват R81.20, R82 и R82.10 под коригираните Jumbo Hotfix Takes, докато R82.20 не е засегнат. Check Point не откри доказателства за активна експлоатация или публичен PoC. Клиентите на Live Patch са защитени автоматично; останалите трябва ръчно да инсталират Jumbo Hotfix Take 44+ (R82.10), Take 126+ (R82) или Take 166+ (R81.20) незабавно.

Хакери злоупотребяват с доверени услуги на Google, за да скрият фишинг за кражба на пароли

KnowBe4 Threat Lab установи широкоразпространена фишинг кампания, пренасочваща жертвите през легитимни услуги на Google, включително Meet, Search, DoubleClick, Custom Search, Tag Manager и Analytics, преди да достигнат до страници за събиране на идентификационни данни или фалшив процес за потвърждение, който инсталира софтуер за отдалечен достъп ScreenConnect. Кампанията е насочена към служители в производството, правителствения сектор, финансите и сдруженията с нестопанска цел, използвайки примамки на работна тематика.

Комплектът крие имейлите на жертвите след символа # в URL адресите, за да избегне регистрирането в сървърните логове, извършва проверки за откриване на ботове и персонализира фишинг страниците с логото на компанията на целевия потребител и екранна снимка на фона. След прихващане на паролата, той съзнателно показва фалшива грешка за „невалидна парола“, за да събере втори набор от идентификационни данни, преди да пренасочи жертвите към истинския сайт на компанията. Организациите трябва да нулират компрометираните идентификационни данни и да търсят неоторизирани инсталации на ScreenConnect.

0-day уязвимост ShieldCrash в Windows Defender

Изследователят MSNightmare публикува концептуално доказателство (proof-of-concept), наречено „ShieldCrash“, твърдейки, че Microsoft Defender остава уязвим за произволно четене на файлове с привилегии на ниво SYSTEM дори след корекцията от Microsoft за по-ранната уязвимост „ShieldBreak“ (CVE-2026-69414). Заобикалянето уж работи върху напълно актуализирани, поддържани среди на Windows след актуализациите от септември 2026 г.

Тъй като SYSTEM разполага със широки разрешения, успешната експлоатация би могла да разкрие идентификационни данни, частни ключове или защитени файлове на други потребители, въпреки че сама по себе си не позволява изпълнение на код. Microsoft не е потвърдила заобикалянето, което остава твърдение на изследователя до независимото му възпроизвеждане. Екипите за защита трябва да следят за съмнителни локални инструменти, взаимодействащи си с пътищата за сканиране на Defender, и неочаквани зареждания на DLL файлове.

Chrome 153 отстранява 230 уязвимости, включително една 0-day

Google пусна Chrome 153 (153.0.8010.36/.37) в стабилните канали, отстранявайки 230 проблема със сигурността, включително CVE-2026-87491 – zero-day уязвимост със средна степен на сериозност (Medium) за запис извън границите във V8, вече експлоатирана активно. Версията също така затваря пет грешки с критична оценка (Critical) в компонентите WebGL и Cast и 43 уязвимости с висока степен на сериозност (High) в модулите ANGLE, PDFium и Web Authentication.

Забележително е, че външни изследователи, включително екипът по сигурността на Codex от OpenAI, са използвали инструменти с изкуствен интелект, за да открият няколко проблема с висока сериозност, което отразява нарастващата автоматизация при откриването на уязвимости. Предвид потвърдената активна експлоатация, потребителите и предприятията трябва незабавно да актуализират до версия 153.0.8010.36 или по-нова.

Сривове на Remote Desktop Services в Windows Server

Администратори от цял свят съобщават за замръзване на Remote Desktop Services в Windows Server 2019, 2022 и 2025 след кумулативните актуализации от септември 2026 г. (KB5122876, KB5122882, KB5122871). Хостовете на сесии работят нормално с часове, преди да блокират при прекъсване на връзката на потребителска сесия, генерирайки Event ID 20498 и карайки Task Manager и Settings да спрат да отговарят.

Дебъгването на ниво ядро (kernel) сочи към блокиране (deadlock) в основната библиотека WDLIB_Close на RDP сървъра по време на прекратяване на сесия, което изисква рестартиране от бутона за захранване (hard reset) за възстановяване. Тъй като същата актуализация коригира активно експлоатираните zero-day уязвимости CVE-2026-81963 и CVE-2026-85880 плюс критична RCE уязвимост в RDS с оценка 9.8, организациите са изправени пред труден избор между стабилност и сигурност, докато неофициални решения чрез регистъра се разпространяват в очакване на официална корекция от Microsoft.

Историите от тази седмица разкриват ясна тенденция: устройствата за периметрова сигурност (Fortinet, Palo Alto, Check Point, MikroTik) остават основни цели както за държавни кибергрупи, така и за финансово мотивирани киберпрестъпници, докато инструментите с изкуствен интелект вече ускоряват разработването на експлоати и избягването на откриването от зловреден код като цяло.

В комбинация с рекордния цикъл на Microsoft от 973 CVE корекции и множество активно експлоатирани zero-day уязвимости, екипите по сигурността трябва да дадат приоритет на валидирането на инсталираните корекции за сигурност, ротацията на идентификационните данни след инциденти със социално инженерство като тези в Revolut и Odido, както и затегнатите процедури за потвърждение при високорискови заявки за данни.