CISA внесла в KEV семь уязвимостей, которые уже используют в атаках
В каталог известных эксплуатируемых уязвимостей вошли проблемы в SonicWall SMA 1000, Sangoma Switchvox, JFrog Artifactory, Kestra OSS и других продуктах. В связанных атаках исследователи зафиксировали обратные оболочки, майнеры криптовалюты и попытки получить доступ к данным.
Агентство по кибербезопасности и защите инфраструктуры США (CISA) добавило семь уязвимостей в каталог Known Exploited Vulnerabilities (KEV). Это перечень проблем безопасности, для которых подтверждено применение в реальных атаках.
В список вошли CVE-2026-83548 и CVE-2026-83549 в устройствах SonicWall SMA 1000, CVE-2026-9586 в Sangoma Switchvox, CVE-2026-82329 в JFrog Artifactory, CVE-2026-48710 в Kludex Starlette, CVE-2026-49869 в Kestra OSS и CVE-2026-59822 в MCP Streamable HTTP endpoint платформы Berri LiteLLM.
SonicWall сообщала, что расследовала инцидент с признаками активной эксплуатации CVE-2026-83548 и CVE-2026-83549. Первая из этих уязвимостей позволяет неаутентифицированному удалённому атакующему обращаться к внутренним функциям устройства и выполнять несанкционированные операции, а вторая связана с внедрением команд ОС после аутентификации.
По данным Horizon3.ai и watchTowr, неизвестные злоумышленники применяли уязвимости в Sangoma Switchvox и JFrog Artifactory для развёртывания обратных оболочек. При этом злоумышленники также создавали административные токены, чтобы затем изучать пользователей, группы, наборы учётных данных и схему федеративного доступа.
Отдельно Microsoft сообщала о вероятной эксплуатации CVE-2026-49869 в Kestra OSS в конце июня 2026 года. По оценке компании, злоумышленник получил обратную оболочку, изучал окружение Docker-контейнеров, пытался скрыть следы, установил майнер криптовалюты и собирал данные. Microsoft указала, что компрометация затронула выполнение команд через движок рабочих процессов, доступ к окружению контейнеров через Docker socket, захват ресурсов хоста майнером и последующий сбор информации через задачи Kestra.
Также Microsoft фиксировала атаки на шлюзы LiteLLM с использованием CVE-2026-42271 и CVE-2026-48710: после проверки характеристик хоста злоумышленники завершали конкурирующие процессы майнинга и запускали XMRig через ELF-бинарник. CVE-2026-42271 CISA добавила в KEV примерно в то же время. Wiz связывала эксплуатацию этой цепочки с группировкой-вымогателем Qilin, также известной как Agenda.
CVE-2026-59822 позволяет без аутентификации установить MCP-сессию, используя произвольный Bearer-токен. Wiz сообщала, что наблюдала в своих ловушках попытки эксплуатации этой проблемы для проверки конечных точек перечисления моделей.