CISA внесла уязвимости SharePoint и MikroTik в список активно эксплуатируемых
Американское агентство по кибербезопасности предупредило об атаках с использованием CVE-2026-65660 в SharePoint и CVE-2026-67279 в RouterOS. Во втором случае уязвимость применяют в цепочке MikroTrick для захвата административного доступа к маршрутизаторам.
Агентство США по кибербезопасности и защите инфраструктуры (CISA) добавило две уязвимости — в Microsoft SharePoint и MikroTik RouterOS — в каталог Known Exploited Vulnerabilities. Включение в этот перечень означает, что у CISA есть свидетельства их эксплуатации в реальных атаках.
Уязвимость CVE-2026-65660 в Microsoft Office SharePoint получила оценку 8,8 балла по CVSS. Она связана с внедрением кода и позволяет авторизованному злоумышленнику выполнить код через сеть. Как сообщает The Hacker News, Microsoft первоначально классифицировала проблему как уязвимость подмены данных, но затем обновила описание: теперь в бюллетене говорится о возможности удалённого выполнения кода. По состоянию на 25 сентября Microsoft располагала надёжными свидетельствами атак с эксплуатацией этой уязвимости.
Подробностей об этих атаках компания не раскрыла: Microsoft не раскрыла организаторов атак, время их начала, число затронутых организаций, успешность попыток и действия злоумышленников после проникновения в сервис.
Вторая проблема, CVE-2026-67279 в MikroTik RouterOS, имеет оценку 6,9 балла. Ошибка в механизме контроля рабочего процесса позволяет неаутентифицированному клиенту открыть канал сессии и отправить запрос на выполнение команды.
По данным CERT Polska, CVE-2026-67279 объединяют с ранее известной CVE-2026-86060 — ошибкой внедрения аргументов в процессе входа RouterOS. Эта связка получила название MikroTrick и позволяет получить полный административный доступ к уязвимым маршрутизаторам, доступным из интернета, без пароля. Исследователи Bishop Fox сообщили, что воспроизвели полный захват административного управления на уязвимых сборках RouterOS 7.x.
CISA внесла CVE-2026-86060 в каталог KEV ещё 11 сентября. Федеральным гражданским ведомствам США предписано применить необходимые исправления до 28 сентября 2026 года.