Еженедельный обзор: уязвимости WordPress RCE, уязвимости нулевого дня SonicWall, атаки на сервисы с использованием ИИ и др.

[zender]

Один-единственный запрос не должен был привести к таким результатам. Но на этой неделе даже небольшие входные данные привели к выполнению кода, потере памяти, краже ключей и отключению средств безопасности.

Пути распространения вредоносного ПО часто были простыми: уязвимые системы, слабые проверки, старые драйверы, поддельные запросы и открытый код, используемый для доставки вредоносных программ. Некоторые уязвимости были новыми. Другие уже использовались до того, как специалисты по защите успели установить патчи.

Вот полный обзор того, что сломалось, что было использовано в злоумышленниках и на что необходимо обратить внимание прямо сейчас.

Угроза недели ​

wp2shell без Компания Searchlight Cyber сообщила об обнаружении уязвимости удаленного выполнения кода в ядре WordPress, позволяющей анонимно использовать уязвимость аутентификации на стандартной установке WordPress, без необходимости использования каких-либо плагинов или других специальных условий. Это комбинация уязвимостей CVE-2026-63030 (путаница пакетной маршрутизации REST API) и CVE-2026-60137 (SQL-инъекция в ядро WordPress), которые можно объединить для преобразования анонимного запроса в выполнение кода. Компания watchTowr заявила, что уже наблюдает распространение демонстрационных эксплойтов (PoC) и начинает видеть первые признаки эксплуатации в реальных условиях. «Это будет иметь серьезные последствия», — сказал генеральный директор watchTowr Бенджамин Харрис. «WordPress работает на сотнях миллионов веб-сайтов по всему миру. Некоторые из них будут автоматически обновлены их хостинг-провайдерами, но многие — нет, и именно здесь будет нанесен ущерб. Наш совет прост: обновляйте системы как можно быстрее и не останавливайтесь на этом. Внедрите средства контроля и проводите расследования, чтобы определить, проник ли злоумышленник первым, и обнаружить и удалить любые бэкдоры, которые могли быть установлены до обновления». Компания, занимающаяся кибербезопасностью, заявила, что это последний пример уязвимостей, выявляемых с помощью инструментов, использующих искусственный интеллект, и того, как эта технология используется злоумышленниками для создания оружия.

Главные новости ​

• Уязвимости нулевого дня в устройствах SonicWall SMA используются злоумышленниками, ранее не описанными в материалах компании, и получившими кодовое название UTA0533. Они использовали уязвимости нулевого дня в недавно представленных VPN-устройствах SonicWall Secure Mobile Access (SMA) серии 1000 до их публичного выпуска 22 июня 2026 года. Обнаружение было сделано в ходе расследования инцидента, начатого ранее в этом месяце. Затронутая организация пока не идентифицирована. «Было замечено, что этот злоумышленник использовал множество уязвимостей нулевого дня, вредоносное ПО, специально разработанное для VPN-устройств SonicWall SMA, а также другие методы атаки», — сообщила компания Volexity. Речь идёт об уязвимостях CVE-2026-15409 (оценка CVSS: 10.0) и CVE-2026-15410 (оценка CVSS: 7.2), которые могут быть объединены для выполнения произвольных команд и захвата уязвимых устройств. Компания SonicWall выпустила исправления для обеих уязвимостей на прошлой неделе.
• Уязвимость типа DoS в OpenSSL — команда Okta Red Team раскрыла подробности уязвимости HollowByte, представляющей собой угрозу отказа в обслуживании (DoS) в OpenSSL. «Отправляя вредоносный код размером всего в 11 байт, удаленный неаутентифицированный злоумышленник может заставить сервер выделить непропорционально большие объемы памяти еще до начала процедуры установления безопасности», — заявила Okta. Иными словами, неаутентифицированный злоумышленник — с помощью 11 байт тщательно подобранных данных — может убедить OpenSSL зарезервировать до 128 КБ памяти кучи для сообщения о подтверждении безопасности, которое фактически никогда не поступает, что приводит к исчерпанию доступной оперативной памяти сервера и запуску DoS-атаки. Команда OpenSSL устранила проблему в версиях 4.0.1, 3.6.3, 3.5.7, 3.4.6 и 3.0.21. «Вместо того чтобы полностью доверять заголовку, OpenSSL теперь увеличивает буфер только по мере фактической передачи байтов. Запрос без последующего выполнения теперь ничего не стоит серверу», — заявила компания Okta.
• CISA добавляет новую уязвимость нулевого дня RCE для SharePoint в каталог известных эксплуатируемых уязвимостей (KEV) — Агентство кибербезопасности и защиты инфраструктуры США (CISA) добавило недавно исправленную уязвимость безопасности, затрагивающую Microsoft SharePoint Server, в свой каталог известных эксплуатируемых уязвимостей (KEV), требуя от федеральных гражданских исполнительных органов (FCEB) применить исправления до 19 июля 2026 года. Уязвимость CVE-2026-58644 (оценка CVSS: 9,8) представляет собой критическую уязвимость десериализации ненадежных данных, которая позволяет неавторизованному злоумышленнику выполнять произвольный код. Исправления для этой уязвимости были выпущены в рамках обновлений Patch Tuesday, выпущенных 14 июля 2026 года. Microsoft пересмотрела свой бюллетень, чтобы уточнить, что CVE-2026-58644 была использована в реальных условиях, то есть эта уязвимость была использована в качестве уязвимости нулевого дня до того, как стали доступны исправления. Эти события произошли на фоне того, что Microsoft выпустила самое масштабное в своей истории обновление Patch Tuesday, устранившее 622 уязвимости .
• Вредоносная программа OkoBot заражает Windows для фишинга крипто-сид-фраз — новая вредоносная программа под названием OkoBot предназначена для захвата содержимого окон криптовалютных кошельков. OkoBot — это обновленная версия TookPS, программы для загрузки вредоносных команд и скриптов с контролируемых злоумышленниками серверов для дальнейшего распространения атак, включая информационный шпион на основе Python и троян удаленного доступа TeviRAT. «Эта кампания отличается от предыдущих тем, что использует новую структуру для доставки всех вредоносных модулей и их управления через SSH-туннель», — заявили в Kaspersky. «В общей сложности структура включает более 20 вредоносных полезных нагрузок и имплантатов, охватывающих широкий спектр функций. На момент написания статьи угроза остается активной». Цепочка заражения использует ClickFix и вредоносное ПО, распространяемое через GitHub, которое маскируется под легитимное программное обеспечение для первоначального доступа. В комплект также входит загрузчик расширений для веб-браузера, позволяющий распространять Rilide — программу для кражи данных в браузере, а также внедрять имплант в процессы Trezor Suite, Ledger Wallet и Ledger Live для сбора сид-фраз, регистрации нажатий клавиш и содержимого буфера обмена, создания скриншотов, а также захвата нажатий клавиш и видеопотока окна целевого приложения с помощью модуля OkoSpyware. Сотни жертв кампании OkoBot были обнаружены более чем в 25 странах, с наибольшей концентрацией в Бразилии, Вьетнаме, Канаде, Мексике и Турции. Причины активности остаются неизвестными.
• NadMesh сканирует открытые сервисы ИИ на предмет облачных ключей и токенов Kubernetes — Замечено, что новый ботнет на Go под названием NadMesh охотится за открытыми сервисами ИИ, связанными с ComfyUI, Ollama, n8n, Open WebUI, Langflow и Gradio, чтобы украсть ключи AWS и токены Kubernetes. «Он объединяет сканирование, эксплуатацию и сбор учетных данных/информации о сервисах ИИ в единую автономную платформу», — заявили в QiAnXin XLab. «На жертве бот устанавливает постоянное присутствие по трем независимым путям: бэкдор с открытым ключом SSH (.ssh/authorized_keys), файлы постоянного присутствия в нескольких местах (/dev/shm/.a, /var/tmp/.a, /tmp/.a) и скрытые сторожевые таймеры cron (/etc/cron.d/.sys_monitor, /etc/cron.d/.s)».

‎️ Актуальные CVE-уязвимости ​

Еженедельно появляются новые ошибки, и промежуток между патчем и эксплойтом быстро сокращается. Вот самые распространённые ошибки этой недели: серьёзные, широко распространённые или уже используемые злоумышленниками в реальных условиях.


Проверьте список, установите необходимые обновления и в первую очередь устраните уязвимости, отмеченные как срочные: CVE-2026-63030, CVE-2026-60137 (WordPress Core), CVE-2026-58644, CVE-2026-56164 (Microsoft SharePoint Server), CVE-2026-56155 (Microsoft Active Directory Federation Services), CVE-2026-53412 (Zoom Desktop Client for Windows и Zoom VDI Client for Windows), CVE-2026-44747, CVE-2026-27690, CVE-2026-44761 (SAP), CVE-2026-57219, CVE-2026-57221 (RabbitMQ), CVE-2026-59208, CVE-2026-54305 (n8n), CVE-2026-60105 (Monsta FTP), CVE-2026-14960, CVE-2026-14961 (драйвер tdeio64.sys), CVE-2026-33894, CVE-2026-33895 (Digital Bazaar node-forge), CVE-2026-6875 (ServiceNow AI Platform), CVE-2026-42533 , CVE-2026-60005 , CVE-2026-56434 (F5 NGINX Plus и NGINX Open Source ), CVE-2026-20296 , CVE-2026-20297 (Splunk Enterprise), CVE-2026-15265 (Tenable Agent), CVE-2026-6423 (ESET Inspect Connector), CVE-2026-15053 (Tanium Server), CVE-2026-44909, CVE-2026-59173, CVE-2026-59762 (реализации HTTP/2-сервера), CVE-2026-14890 (SGLang), CVE-2026-14266 (7-Zip), CVE-2026-59084 (Apache Tomcat), CVE-2026-15682 (AnyDesk) и CVE-2026-54523 (Kyverno).

Вебинары по кибербезопасности ​

• У вашего ИИ-агента есть учетные данные. Сможете ли вы остановить его, когда он выйдет из-под контроля? Практическое тестирование OpenClaw показывает, как агентный ИИ может раскрывать секреты, обходить средства защиты и создавать новую мощную поверхность для атак. Присоединяйтесь к директору Okta по анализу угроз Джереми Кирку, чтобы изучить, как злоумышленники злоупотребляют ИИ-агентами, и узнать практические способы контроля доступа, обеспечения принципа минимальных привилегий, обнаружения теневого ИИ и отключения рискованных агентов до того, как они причинят ущерб.
• Когда ИИ создает в 50 раз больше кода, масштабируемость человеческой проверки исчерпывается → Разработка с помощью ИИ выводит производство кода за рамки возможностей традиционных проверок безопасности и устранения уязвимостей на основе CVE. Этот вебинар предоставляет руководителям служб безопасности практическую основу для управления расширяющейся поверхностью атаки, создания средств контроля, обеспечивающих безопасность по умолчанию, и предоставления командам возможности разрабатывать программное обеспечение со скоростью машинного обучения, не теряя при этом контроля над рисками.

Вокруг кибермира ​

• Новая кампания по распространению вредоносного ПО Remcos RAT использует авторитет государственных учреждений для повышения вероятности успешного заражения. Цель атаки – индийские предприятия и налогоплательщики, использующие темы, связанные с налогом на товары и услуги ( GST ), для распространения вредоносного ПО. «Злоумышленники выдавали себя за легитимные государственные ведомства и рассылали вредоносные электронные письма, замаскированные под официальные уведомления, касающиеся налогообложения, возврата средств, требований соответствия и нормативных актов», – заявили в Seqrite Labs . «Злоумышленники используют убедительные документы и имена файлов, которые очень похожи на официальные уведомления GST, что затрудняет получателям различение вредоносного содержимого от легитимной правительственной корреспонденции». Конечная цель – распространение Remcos RAT и кража конфиденциальной информации.
• На атомной электростанции Куданкулам в Индии произошла утечка данных — АЭС Куданкулам, расположенная в индийском штате Тамилнад, пострадала от случайного выброса данных после того, как компания Reliance Infra (RPOWER) подверглась атаке группы вымогателей World Leaks , ответвления Hunters International, которая, в свою очередь, является еще одним вариантом семейства программ-вымогателей Hive. По данным исследователя безопасности Ракеша Кришнана , утечка состоит из 18 997 файлов общим объемом 14,3 ГБ данных. Они содержат предполагаемые чертежи систем вентиляции и охлаждения, используемых в энергоблоках № 3 и № 4, а также полную планировку «общей диспетчерской». По оценкам, Reliance Infra не пострадала напрямую, а через стороннего поставщика услуг Yotta.
• Группа Blind Eagle не собирается останавливаться — спустя почти год после того, как деятельность Blind Eagle была задокументирована, новый отчет LevelBlue показал, что эта группа злоумышленников продолжает свою деятельность, переместив часть своей инфраструктуры доставки VBScript на российский защищенный хостинг-провайдер Proton66 с июня 2025 года. По данным LevelBlue, группа также разработала собственную схему обфускации строк, загрузчик RunPE, полностью построенный на основе чистого интерпретатора AutoIt3, и модернизированную версию AsyncRAT, которая включает внедрение процесса Windows Notification Facility (WNF), пользовательское кодирование полезной нагрузки Base28, полный модуль Hidden VNC (HVNC) для банковского мошенничества с клонированием профиля браузера и обход шифрования Chrome App-Bound Encryption (ABE ) .
• Использование вредоносной программы Qilin EDR Killer — Замечено, что вредоносная программа Qilin использует агрессивные методы обхода защиты на уровне ядра, чтобы ослепить и отключить продукты безопасности конечных точек до выполнения основной вредоносной программы в сети жертвы. EDR Killer , упакованный с помощью упаковщика Shanya , продается на нелегальных торговых площадках за 2000 долларов. «EDR Killer сравнивает возвращаемый локаль с известным черным списком локалей, чтобы избежать атак на страны Содружества Независимых Государств (СНГ), такие как Россия и Беларусь», — сообщает Flashpoint . «Затем EDR Killer записывает уязвимый драйвер на диск и загружает его через Service Manager. Этот драйвер — ThrottleStop из бесплатного и легального приложения TechPowerUp LLC с тем же названием, используемого для обхода регулирования процессора. Однако драйвер имеет уязвимость, позволяющую вредоносной программе отображать физическую память на виртуальную память в режиме ядра для выполнения прямых операций чтения и записи в ядро». Также используется специально написанный на Rust загрузчик, который выполняет рефлексивную загрузку исполняемого файла (PE) полезной нагрузки программы-вымогателя.
• DeFiTuna пострадала от инцидента безопасности — 16 июля 2026 года DeFiTuna, автоматизированный маркет-мейкер (AMM) на блокчейне Solana, подвергся взлому, в результате которого было захвачено 569 601 USDC. «Злоумышленники создали крайне неликвидный пул TUNA/USDC и использовали его в качестве пункта назначения для заимствованных USDC, перенаправляемых через Jupiter», — сообщила компания CertiK . «Поскольку в результате обмена было возвращено лишь незначительное количество TUNA, расчет стоимости DeFiTuna округлил общую сумму активов позиции до нуля. Затем протокол ошибочно посчитал позицию здоровой, что позволило злоумышленникам обойти проверку платежеспособности и вывести USDC через контролируемые злоумышленниками позиции ликвидности».
• Next.js переходит на плановые выпуски обновлений безопасности — компания Vercel объявила о том, что Next.js внедряет официальную программу выпуска обновлений безопасности, заменяя ею внеплановые патчи для исправления уязвимостей, появившиеся после всплеска обнаружения уязвимостей с помощью ИИ . «Такой плановый, заранее анонсированный выпуск обновлений безопасности стал стандартной практикой для крупных проектов с открытым исходным кодом, и мы считаем, что это правильная модель для Next.js в его нынешних масштабах», — заявили в Vercel . «Вот чего вы можете ожидать в будущем: примерно раз в месяц мы будем публиковать предварительное уведомление о предстоящих выпусках обновлений безопасности. Каждое объявление будет включать ожидаемые сроки выпуска и наивысшую ожидаемую степень серьезности среди уязвимостей, которые оно охватывает. Это время позволяет вам планировать обновления, а нам — координировать действия с хостинг-провайдерами и другими партнерами по платформе для развертывания мер защиты, таких как правила брандмауэра, которые помогают защитить приложения, которые еще не были обновлены».
• В Бразилии появились приложения для азартных игр, замаскированные под обычные приложения . Новый анализ от 9to5Mac выявил более 60 «приложений-оболочек» в App Store, которые маскируются под простые игры и утилиты, превращаясь в онлайн-платформы для ставок при доступе с бразильских IP-адресов. Большинство приложений опубликованы разработчиками, имеющими всего одну запись в App Store, а дальнейшее расследование связало их с «общедоступным репозиторием GitHub, содержащим инструкции для агента Cursor по созданию простых приложений с использованием Vibe-кода, которые служат прикрытием для платформ ставок».
• Статистика по программам-вымогателям за 2 квартал 2026 года : группа The Gentlemen стала самой активной группой программ-вымогателей во 2 квартале 2026 года, забрав 300 жертв и обогнав Qilin (289), DragonForce, Akira и LockBit. Другая группа, Deadlock, вновь появилась после 11 месяцев молчания, забрав 75 жертв в июне. В общей сложности на долю 11 ведущих отслеживаемых групп пришлось 1368 заявлений о жертвах во 2 квартале в 99 странах. «Что отличает The Gentlemen, так это их пакет услуг, в рамках которого партнеры получают готовые инструменты, которые доставляются и обновляются быстрее, чем большинство конкурирующих программ», — заявила компания ReliaQuest .
• Двое членов китайской сети по отмыванию денег обвинены в отмывании 43 миллионов долларов, полученных в результате мошенничества с инвестициями . Министерство юстиции США обнародовало обвинения против жителя Нью-Йорка и жительницы города в сговоре с целью отмывания денег, полученных в результате кибермошенничества с инвестициями. «В период с 2020 по 2022 год 27-летний Чжуоин Чен из Бруклина, Нью-Йорк, и 38-летний Хаоцзе Чжан из Куинса, Нью-Йорк, управляли сетью из более чем десятка человек, проживающих в Куинсе и Бруклине, которые открыли 140 банковских счетов на имя примерно 45 подставных компаний для отмывания не менее 43 миллионов долларов, полученных в результате мошенничества с инвестициями», — говорится в заявлении министерства . «Затем Чен и Чжан, предположительно, вступили в сговор с сообщниками из Китая, чтобы перевести за границу средства, задействованные в мошеннических схемах. Мошеннические схемы заключались в том, что преступники связывались с жертвами через мессенджеры или социальные сети. Преступники устанавливали контакт с жертвами и завоевывали их доверие, убеждая их отправлять деньги на выгодные инвестиционные возможности. Преступники показывали жертвам фальшивую прибыль от якобы осуществленных инвестиций и побуждали их вкладывать больше. Затем они похищали средства жертв».
• Агентство кибербезопасности США использует Mythos для аудита правительственного кода — сообщило Агентство кибербезопасности и защиты инфраструктуры США (CISA) со ссылкой на трех источников, знакомых с ситуацией, что агентство использует модель искусственного интеллекта Mythos от компании Anthropic для проверки правительственного программного обеспечения на наличие дефектов, которые потенциально могут открыть путь для иностранных шпионов и киберпреступников.

Инструменты кибербезопасности ​

• VisionSec → Это платформа для анализа угроз с открытым исходным кодом, размещаемая на собственном сервере, которая объединяет мониторинг доменов, обнаружение фишинга, сканирование открытых сервисов, обнаружение секретов GitHub, проверку утечек данных, оценку безопасности электронной почты и оповещения Telegram в модульном развертывании на основе Docker. Проект находится на ранней стадии разработки, и на момент написания статьи опубликованных релизов нет.
• owLSM → Это агент безопасности Linux с открытым исходным кодом, использующий eBPF LSM для выполнения правил Sigma с сохранением состояния внутри ядра, блокировки вредоносной активности, корреляции событий по нескольким зондам и предоставления подробного контекста для мониторинга безопасности и реагирования.

Предупреждение: Данный код предназначен исключительно для исследований и обучения. Он не проходил формальную проверку безопасности, поэтому не следует просто так внедрять его в рабочую среду. Изучите код, сначала протестируйте его в изолированной среде и убедитесь, что все ваши действия соответствуют законодательству.

Заключение ​

Вот такая ситуация на этой неделе: уязвимые системы, слабые проверки, устаревшие инструменты и злоумышленники, действующие быстрее, чем обновляются патчи.

Проанализируйте имеющиеся данные, сначала устраните очевидные пробелы и исходите из того, что все общедоступные материалы уже были протестированы.

Источник