21 октомври 2026 г. донесе тежка комбинация от спешни обновления за сигурност, компрометирани софтуерни пакети и предупреждения за вече протичащи атаки. PHP сървърите се нуждаеха от спешни корекции за сигурност.

Софтуерен пакет за изкуствен интелект крадеше идентификационни данни. Други разследвания разкриха слабости в удостоверителните вериги на сертификати, отдалеченото управление и VPN достъпа.

Няколко инцидента започнаха преди 21 октомври, но дейностите по възстановяване съвпаднаха с нови разкрития през същия ден. За екипите, поддържащи производствени системи, непосредствената задача беше да идентифицират засегнатите услуги, да инсталират корекции за сигурност на уязвимия софтуер и да проверят дали атакуващите вече не са получили достъп. Инсталирането на обновяване може да затвори дадена уязвимост, но същевременно да остави активни откраднати идентификационни данни или задни врати.

Спешни корекции за сигурност в уеб платформите

Извънредната версия на PHP отстранява CVE-2026-109618 и CVE-2026-109619 – две критични уязвимости, известни като PHP2Shell. И двете получиха оценка 9.2 по CVSS и биха могли да позволят отдалечено изпълнение на код без автентикация при засегнатите конфигурации. Едната поврежда паметта, когато дадена операция изчерпи наличната памет. Другата позволява на последващи заявки да достигнат до невалидни данни, оставени от предходни заявки.

Изследователи демонстрираха изпълнение на код срещу Apache mod_php още преди стартирането на кода на самото приложение. Cloudflare съобщи за ранни опити за атака, без да потвърждава успешни компрометирания. Администраторите трябва да внедрят PHP 8.5.12, 8.4.27, 8.3.36 или 8.2.35, след което да рестартират засегнатите услуги и да потвърдят, че уеб процесите действително използват обновената компилация.

Обновленията за сигурност на Node.js коригираха десет уязвимости, включително четири с висока степен на сериозност. CVE-2026-111497 засяга декомпресирането с Brotli и може да позволи изпълнение на код чрез запис в паметта извън предвидената област. Други дефекти отслабват проверките на TLS имена на хостове или обработват неправилно DNS имена. Коригираните версии са 26.12.1, 24.22.1 и 22.23.4. Тези обновления също така актуализират списъците с доверени сертификати след инцидента с eMudhra. Прекомпилирайте контейнерните изображения, така че внедряванията да включват обновената среда за изпълнение.

Тази натовареност следва две критични корекции за отдалечено изпълнение на код (RCE) в Next.js, пуснати на 14 октомври. Те покриваха специфично поведение при кеширане на React Server Components и обработка на SVG изображения на Linux системи, използващи glibc. Екипите трябва да преминат към съответните версии на Next.js – 16.4.1 или 15.5.28. Обновяването само на Node.js не обновява тези зависимости на ниво приложение.

Осемте поправки за сигурност на Apache Tomcat добавиха още един приоритет. CVE-2026-101296 позволява автентикация без правилна парола, когато JNDIRealm използва механизми на SASL, различни от GSSAPI. Други проблеми могат да смесят отговорите между различни потребители или да доведат до изтичане на данни при AJP обработката. Недостатъкът при HTTP/2 включва грешки по време на асинхронна обработка, които оставят вътрешни обекти достъпни за повторна употреба. Apache оповести уязвимостите на 20 октомври. Коригираните версии са 11.0.27, 10.1.61 и 9.0.123, като рискът зависи от конфигурацията.

Атака по веригата за доставки

Компрометирането на веригата за доставки при LiteLLM създаде пряка заплаха за облачни и AI среди. Версия 1.107.0 достигна до PyPI и регистрите за контейнери, съдържайки инструмент за кражба на идентификационни данни и модул за зареждане на отдалечен код. Всички седем Python wheel пакета бяха засегнати, както и контейнерни етикети, включително latest и main-stable. Разработчикът заяви, че откраднати идентификационни данни за GitHub са позволили на атакуващите да пренасочат процеса на издаване на версии към фалшиво хранилище двойник.

Злонамерени куки за стартиране в Python (startup hooks) можеха да се задействат при стартирането на произволна несвързана команда в Python, дори без приложението да импортира LiteLLM. Сред мишените бяха облачни идентификационни данни, SSH ключове и секрети за услуги с изкуствен интелект. От Wiz са наблюдавали използване на откраднати идентификационни данни за AWS около четири часа и половина след кражбата на данните. Доставчикът препоръча фиксиране на версия 1.106.2. Засегнатите екипи се нуждаят и от чисто преизграждане на средата и ротация на идентификационните данни. Изпълнението на pip в замърсена среда може да активира куките отново, което прави простото връщане към по-стара версия несигурна първоначална стъпка.

Пробивът при разработчика на резервни копия за WordPress показа как откраднатите ключове за управление могат да компрометират стандартните проверки на доверие. Атакуващи получиха достъп до уебсайта на TeamUpdraft в периода 17–18 октомври и използваха ключове за връзка с UpdraftCentral, за да инсталират зловредни добавки на свързаните сайтове. Самите инсталационни пакети на UpdraftPlus не бяха променени. Администраторите трябва да проверят дали е инсталирана версия 1.26.13 Free или 2.26.13 Premium, да премахнат компрометираните ключове за връзка и да проверят сайтовете за задни врати и неочаквани администраторски профили. Обновяването не може да премахне вече инсталирания зловреден софтуер.

Атакуващи също така компрометираха версии на инструмента за команден ред OVHcloud CLI след превземане на акаунт на разработчик. Те подмениха изпълнимите файлове за версии от 0.11.0 до 0.15.0 в рамките на 94-минутен прозорец на 19 октомври. По-ранните сваляния не бяха засегнати. От OVHcloud пуснаха версия 0.16.0 и призоваха засегнатите потребители да сменят тайните данни, съхранявани на компрометираните машини. Инцидентът показа защо познатата локация за изтегляне не може да бъде гаранция, че файлът е безопасен.

Компрометиране на удостоверителен орган

Инцидентът с удостоверителния орган eMudhra засегна още по-дълбоко доверието в интернет. Компрометирани бяха осем междинни ключа за подписване. Актуализираното съобщение посочва, че неправилно генериране на ключове ги е направило възстановими от публичните сертификати, създавайки риск от подправени сертификати. Mozilla установи, че и осемте засегнати частни ключа P-384 са били цели числа под 256, което позволява почти мигновеното им извличане.

Производителите на браузъри издадоха блокирания, но приложения, които използват отделни хранилища за сертификати или пропускат проверките за оттегляне, могат да останат уязвими. Организациите трябва да обновят браузърите, операционните системи, средите за изпълнение и хранилищата за доверени сертификати. Публичните данни към момента не показват извършени атаки срещу потребители чрез тези ключове.

Междувременно експлоатацията на Palo Alto GlobalProtect показа как слабост във VPN услуга може да осигури по-широк достъп до мрежата. CVE-2026-0257 позволява на атакуващите да заобиколят автентикацията, включително многофакторната (MFA), при засегнатите конфигурации. Експлоатацията изисква бисквитки за отмяна на автентикацията и уязвима настройка на сертификатите.

От Unit 42 описаха как киберпрестъпници достигат до VMware vCenter, отслабват контролите в ESXi и извличат идентификационни данни директно от виртуалния диск на домейн контролер. Четенето на диска извън гост операционната система заобикаля нейния мониторинг на крайни точки. Защитниците трябва да инсталират корекции за сигурност на засегнатите портали и да проверят за подозрителни успешни VPN сесии.

Сървърите на Plex също бяха обект на активни атаки. Веригата от уязвимости Plex2Shell комбинира четири дефекта за изпълнение на код без автентикация. Тя злоупотребява с вътрешни заявки, разкрива токен на собственика, записва файл и зарежда зловреден кодек. Атакуващите инсталираха копачи на криптовалута и прокси софтуер на компрометираните сървъри. От Plex посочват, че версии 1.43.3.10861 и по-нови съдържат необходимите поправки.

Администраторите трябва да проверят инсталациите на мрежови устройства за съхранение (NAS) и контейнери, да изследват неочаквани процеси и да изградят наново системите, където е открито компрометиране или то не може да бъде изключено.

Оповестяването на изтичане на данни от State Bank of India добави още едно притеснение. SBI идентифицира 3897 клиентски записа, съдържащи лична информация, измежду приблизително 375 000 анализирани записа в тъмната мрежа.

По-голямото число не трябва да се счита за потвърден брой засегнати клиенти. Докладваните полета включват имена, мобилни номера, адреси и данни, свързани със заеми. Банката заяви, че услугите остават активни, докато разследващите установяват автентичността и източника на данните. Разкритието не доказва пробив в основните банкови системи или кражба на средства на клиенти.

Започнете със системи, изложени на директни и активни атаки, след което преминете към уязвимите среди за изпълнение и засегнатите зависимости. След рестартиране проверете работещите версии, изградете отново компрометираните среди и оттеглете тайните данни от чисти системи.

Прегледайте облачната активност, VPN сесиите и промените при администраторските акаунти за признаци на злоупотреба. Важният урок от 21 октомври е, че възстановяването трябва да обхване всеки път, до който атакуващият е получил достъп, включително достъп, който остава активен дори след успешно инсталирана корекция за сигурност.