Атакуващите активно експлоатират уязвимости в критична мрежова инфраструктура, а пропуски в PHP, известни като „PHP2Shell“, излагат на риск уеб интерфейсите за управление на защитни стени, VPN устройства, контролери за доставка на приложения (ADC) и други мрежови устройства.

Констатациите идват от октомврийския брой на InfraTrust Pulse на Eclypsium — месечен бюлетин, който проследява бюлетините за сигурност, засягащи мрежови устройства, сървъри, фърмуер, чипове и друга инфраструктура.

Между 18 септември и 14 октомври InfraTrust е проследил 133 нови бюлетина за сигурност от 18 доставчика, обхващащи 2813 уязвимости.

От тези бюлетини 37 са оценени като критични, пет са с максимална оценка 10.0 по CVSS, а 58 могат да бъдат експлоатирани дистанционно без автентикация.

Шестнадесет новопубликувани бюлетина включват уязвимости, добавени в каталога с известни експлоатирани уязвимости (KEV) на CISA, тъй като срещу тях са наблюдавани активни атаки.

Докладът също така предупреждава, че много мрежови устройства, включително защитни стени, VPN портали, контролери за доставка на приложения и мрежови системи за съхранение на данни (NAS), вграждат PHP в своите интерфейси за управление.

Тъй като производителите компилират PHP директно във фърмуера на устройствата, потребителите обикновено не могат да инсталират последните актуализации за сигурност на PHP сами, а трябва да изчакат съответният доставчик да пусне обновен фърмуер.

Поради тази причина InfraTrust препоръчва на администраторите да се уверят, че базираните на PHP интерфейси за управление не са достъпни от интернет, докато изчакват корекциите за сигурност за PHP2Shell.

Критичната инфраструктура е подложена на атаки

Някои от най-сериозните уязвимости засягат системи в периметъра на корпоративните мрежи или такива, използвани за управление на друга инфраструктура.

Злонамерените субекти се насочват към тези устройства, защото те могат да осигурят първоначален достъп до корпоративната среда или да послужат като трамплин за последващи атаки.

Сред активно експлоатираните пропуски, подчертани от InfraTrust, са:

  • Citrix NetScaler ADC и Gateway: CVE-2026-88771 и CVE-2026-88772 бяха оповестени на 27 септември, след като вече бяха наблюдавани атаки срещу устройства без инсталирани корекции за сигурност. Отделна уязвимост в NetScaler — CVE-2026-88779, засягаща устройства, конфигурирани за SAML, също беше добавена по-късно в каталога KEV на CISA след засичане на злонамерена експлоатация.
  • Ivanti Connect Secure: CVE-2026-104935 позволява на отдалечен атакуващ без автентикация да изпълнява произволни команди върху уязвими VPN портали. От Ivanti заявиха, че пропускът е бил използван срещу ограничен брой клиенти към момента на публикуване на бюлетина. По-късно CISA го добави към KEV.
  • Check Point Security Management Server: CVE-2026-93616 позволява на неавтентициран атакуващ да качва и изпълнява скриптове върху системи за управление и регистриране на събития. Check Point Research наблюдава целенасочени атаки, използващи слабостта, на 12 септември срещу клиенти на Spark.
  • Cisco Catalyst SD-WAN Manager: CVE-2026-76504 позволява на атакуващ без автентикация да заобиколи защитите и да получи администраторски достъп до API за управление. Cisco установи активна злонамерена експлоатация през септември.
  • Arista VeloCloud Orchestrator: CVE-2026-93952 е уязвимост с максимално ниво на опасност, засягаща системата за конфигуриране на SD-WAN Edge устройства. Arista посочва, че пропускът се експлоатира активно, като на 22 октомври компанията разкри и втора, отделна експлоатирана уязвимост (CVE-2026-114625) в същия продукт.
  • FortiMail: CVE-2026-104286 е критична уязвимост от тип обхождане на директории (path traversal), позволяваща на неавтентициран атакуващ да записва произволни файлове през уеб интерфейса. Fortinet потвърди, че тя е била използвана в атаки.
  • Cisco Secure Email Gateway: CVE-2026-76519 позволява прикачен зловреден файл в имейл да доведе до запис на произволни файлове и изпълнение на команди с привилегии на root в уязвимите системи. Cisco научи за експлоатацията през октомври.
  • F5 BIG-IP APM: CVE-2026-94127 представлява критично препълване на динамичната памет (heap overflow), което може да позволи отдалечено изпълнение на код без автентикация върху системи, конфигурирани като сървъри за оторизация чрез OAuth. F5 съобщава, че уязвимостта вече се експлоатира.
  • Интерфейс за управление на PAN-OS: Palo Alto Networks съобщи за експлоатация на CVE-2026-0322 при атаки срещу защитни стени, позволяваща на автентициран администратор с мрежов достъп да изпълнява код като root.

PHP2Shell разкрива още един проблем

InfraTrust предупреждава също, че наскоро разкритите уязвимости PHP2Shell показват друга слабост в мрежовата инфраструктура, тъй като редица мрежови устройства директно вграждат PHP в своите интерфейси за управление.

Двата пропуска в PHP — CVE-2026-109618 и CVE-2026-109619, позволяват отдалечено изпълнение на код без автентикация, като екипът на проекта PHP отстрани уязвимостите на 21 октомври.

Макар вниманието да е насочено предимно към уебсайтове и уеб приложения, написани на PHP, технологията се използва и в интерфейсите за управление на защитни стени, контролери за доставка на приложения, VPN устройства и мрежови устройства за съхранение на данни.

При засегнатите устройства администраторите обикновено не могат сами да обновят PHP, тъй като доставчиците го компилират директно във фърмуера. Вместо това клиентите трябва да чакат производителят да изгради отново и да публикува обновен фърмуер или софтуер, съдържащ поправената версия на PHP.

Скоро след публикуването Palo Alto Networks, F5, NetScaler, Check Point и QNAP потвърдиха, че някои техни продукти са засегнати, докато все още разработваха корекции за сигурност за устройствата си.

Докладът отбелязва подобен проблем и при други софтуерни компоненти, които вендорите на инфраструктура включват в продуктите си.

CVE-2026-31431 — уязвимост за ескалация на привилегии в ядрото на Linux, позната като Copy Fail, вече присъства в 29 бюлетина на осем доставчика, в сравнение с 19 бюлетина от шест доставчика през миналия месец.

InfraTrust откри и по-стари, активно използвани уязвимости във вградени компоненти, включително пропуск в ядрото на Android, засягащ принтери HP LaserJet Enterprise, както и уязвимост от 2020 г. в jQuery в софтуера Dell Data Lakehouse.

InfraTrust препоръчва на администраторите приоритетно да инсталират корекции за сигурност за NetScaler и Ivanti Connect Secure, тъй като тези портали за отдалечен достъп могат да послужат като входна врата към корпоративните мрежи. На следващо място се препоръчват актуализациите за сигурност от 22 октомври за FortiOS, FortiManager и FortiAnalyzer на Fortinet за устройства, свързани с интернет.

Докладът съветва след това фокусът да се насочи към Check Point Security Management Server, Cisco Catalyst SD-WAN Manager, VeloCloud Orchestrator, FortiMail, Cisco Secure Email Gateway, засегнатите системи BIG-IP APM и интерфейсите за управление на PAN-OS.

След като атакуващите получат валидни идентификационни данни, се блокират едва 37% от действията им

Общите показатели за превенция могат да прикрият какво се случва след първоначалния пробив. Щом атакуващите започнат да използват валидни идентификационни данни, ефективността на превантивните мерки рязко спада.

Докладът Blue Report 2026 измерва защитите техника по техника чрез 338 милиона симулации, проведени в реални производствени среди на клиенти.