Американската Агенция за киберсигурност и инфраструктурна сигурност (CISA) в петък добави два дефекта в сигурността, засягащи Microsoft SharePoint и Mikrotik RouterOS, към своя каталог с известни експлоатирани уязвимости (KEV), позовавайки се на доказателства за активна експлоатация.

Въпросните уязвимости са следните -

  • CVE-2026-65660 (оценка по CVSS: 8.8) - Уязвимост за инжектиране на код в Microsoft Office SharePoint, която позволява на оторизиран атакуващ да изпълнява код по мрежата.
  • CVE-2026-67279 (оценка по CVSS: 6.9) - Уязвимост, свързана с неправилно прилагане на поведенчески работен процес в Mikrotik RouterOS, която би могла да позволи на неавтентифициран клиент да отвори сесиен канал и да изпрати заявка за изпълнение (exec).

Както съобщи The Hacker News по-рано тази седмица, CVE-2026-65660 първоначално бе описана от Microsoft като уязвимост за фалшифициране (spoofing), засягаща SharePoint Server. Оттогава технологичният гигант актуализира бюлетина за сигурност, посочвайки, че тя може да бъде злоупотребена за отдалечено изпълнение на код (RCE).

„Към 25.09.2026 г. Microsoft разполагаше с надеждни доказателства за наблюдавани атаки, експлоатиращи тази уязвимост“, отбеляза производителят на Windows.

Microsoft не разкрива кой стои зад опитите за експлоатация, кога са започнали те, колко организации са били обект на атака, колко от тях са били успешни и какво са направили атакуващите, след като са проникнали в уязвимата услуга.

Втората уязвимост, добавена към каталога KEV, е CVE-2026-67279, която е верижно свързана с CVE-2026-86060 – уязвимост за инжектиране на аргументи в процеса на вход на RouterOS – като част от експлойт с кодово име MikroTrick.

Веригата от експлойти се използва за поемане на пълен администраторски контрол върху уязвими рутери, достъпни от интернет, без необходимост от парола, според CERT Polska.

„Комбинирането на двете уязвимости доведе до пълен достъп до административната конзола без автентификация“, заяви полската агенция за киберсигурност. „CVE-2026-67279 позволи на неавтентифициран клиент да създаде сесиен канал, докато CVE-2026-86060 му позволи да предостави данни за вход с маска на политиката, контролирана от атакуващия.“

В отделен анализ от Bishop Fox заявиха, че са успели да възпроизведат пълното административно превземане върху уязвими версии на RouterOS 7.x.

„MikroTrick комбинира две грешки на различни граници на доверие“, каза изследователят по сигурността Емилио Галегос. „Първата позволява на връзка без автентификация да достигне до функционалност, която RouterOS трябва да разкрива само след вход. Втората кара процеса на вход да третира данните от тази връзка като доверена административна идентичност.“

„MikroTrick разкрива риск в дизайна на привилегирования софтуер: функция, предназначена само за доверени локални извикващи, се превръща в отдалечена повърхност за атака, когато компонент от по-високо ниво изгуби следата за състоянието на автентификация.“

Варто да се отбележи, че CISA добави CVE-2026-86060 към своя каталог KEV на 11 септември 2026 г. Федералните цивилни агенции на изпълнителната власт (FCEB) имат срок до 28 септември 2026 г. да инсталират необходимите корекции за сигурност.