Нулев ден в BeyondTrust, атаки по Collabora и FortiOS

BeyondTrust потвърди на 16 октомври, че е закърпила нулев ден в продуктите си за дистанционна поддръжка, който е бил използван в реални атаки от края на август. Пропускът CVE-2026-102764 позволява заобикаляне на автентикацията и според BleepingComputer е бил експлоатиран месеци, преди да се появи поправка.

Новината идва в седмица с още две активно експлоатирани дупки — в Collabora Online при инсталации на Nextcloud и в мрежовите устройства на Fortinet. Общото между трите е, че става дума за софтуер, който стои на ръба на мрежата и има достъп до всичко вътре.

BeyondTrust: от web shell до root

Засегнати са Remote Support и Privileged Remote Access във версии 26.2.3 и по-стари. Уязвимостта е от тип заобикаляне на автентикацията (CWE-290), а BeyondTrust е обновила автоматично облачните (SaaS) инстанции на 8 октомври. Самостоятелно хостваните инсталации трябва да бъдат обновени ръчно до 26.2.4 или по-нова, ако автоматичните обновления са изключени.

Mandiant и Google Threat Intelligence Group приписват атаките на групата Armory Castle (по-рано известна като UNC5221, а в номенклатурата на CrowdStrike — Warp Panda). След пробива нападателите са качвали web shell от семейството Sawfly и тунелиращ малуер Bareclaw. „След като получи опорна точка чрез web shell, атакуващият ескалира от акаунта на уеб услугата до контрол на ниво root“, описва веригата Mandiant.

Съветът на Mandiant е рядко категоричен:

Всяко устройство, което е било достъпно от интернет на уязвима версия през прозореца на експлоатация, трябва да се смята за потенциално компрометирано, докато не бъде проверено.

Прозорецът е от края на август до октомври — тоест над шест седмици. Shadowserver проследява над 1400 изложени в интернет инстанции на BeyondTrust, а компанията обслужва над 20 000 клиенти, включително 75% от Fortune 100. Ако имате такова устройство, обновяването е само половината работа — другата половина е преглед на логовете и ротация на пароли и ключове.

Collabora: една заявка до proxy.php

Вторият случай е по-коварен, защото поправката излезе преди месец, а CVE номерът — едва сега. CVE-2026-110447 е инжектиране на команди през endpoint-а proxy.php на вградения CODE сървър в Nextcloud (приложението richdocumentscode) и не изисква автентикация.

Снимка: Collabora Online

Хронологията обяснява защо толкова администратори са пострадали: поправката е качена в кода на 9 септември, първите потвърдени атаки започват на 10 септември, а версия 26.4.303 излиза на 11 септември. Предупреждение в общността се появява на 3 октомври, а официалното CVE и съветът — на 14 октомври. По пътя нападателите са оставяли PHP web shell-ове и са търсели пароли, крипто портфейли и артефакти от password manager-и, а според BleepingComputer има и непотвърдени сигнали за ransomware оператори.

Важно уточнение: уязвимо е само опционалното вградено приложение за CODE сървър. Ако ползвате самостоятелен Collabora сървър, не сте засегнати. Друга особеност — за експлоатация вграденият сървър трябва да е спрян, което прави изоставените и полузабравени инсталации най-лесната плячка.

FortiOS: малуер, който не пише нищо на диска

Третият доклад е от Palo Alto Networks Unit 42 и описва атака срещу телеком доставчик на управлявани услуги. Първоначалният достъп е през критичния пропуск в FortiManager CVE-2024-47575 (известен като FortiJump), а след това нападателите използват CVE-2025-61624 — path traversal в интерпретатора на командния ред с оценка CVSS 5.4, който позволява на привилегирован потребител да пише и трие произволни файлове. Fortinet го закърпи през април 2026 в FortiOS, FortiPAM, FortiProxy и FortiSwitchManager.

От FortiManager нападателите са изнесли конфигурациите на над 500 управлявани FortiGate устройства — административни и SSL/VPN идентификационни данни в шифрован вид, публични IP адреси, серийни номера, топология и маршрутни таблици, както и криптографски материали и частни ключове.

Истинската новост обаче е малуерът PEERSTITCH — 64-битов ARM64 изпълним файл на C, който работи само в паметта и се закача за легитимните процеси miglogd и iked. „PEERSTITCH не оставя постоянен файл на диска, не отваря слушащи портове и не инициира изходящи връзки. Вместо това комуникира през трафика, генериран от легитимни процеси на заразената машина“, пишат изследователите Daniel Gott и Shawn Westfall в The Hacker News. Кампанията е проследена като CL-STA-0954 (известна и като UNC5820), а инцидентът е от септември 2024 г.

Какво да направите

Три различни вендора, един и същ извод — периметърните устройства са предпочитаната врата. Ако управлявате някое от тях:

Моделът се повтаря и в предишните седмици — вижте нулевия ден в Cisco Secure Email Gateway и активно експлоатираните дупки в Palo Alto и Ivanti. Общият знаменател е прозорецът между първата атака и публичното предупреждение: при Collabora той е около месец, при BeyondTrust — близо два. В тези седмици кърпенето не ви помага, ако вече сте били вътре в обхвата — помага само проверката какво е останало след нападателя.