Нулеви дни в Palo Alto и Ivanti, Chrome падна за 6 дни

Седмицата донесе три лоши новини за всеки, който държи периметъра на мрежа. Palo Alto Networks потвърди, че уязвимост в управляващия интерфейс на PAN-OS вече се използва в реални атаки. Ivanti пусна спешна поправка за нулев ден в Connect Secure, който неизвестна досега група експлоатира от 3 октомври. А изследователи от стартъпа Xbow обявиха, че са сглобили пълна експлойт верига срещу Chrome за шест дни — браузър с около милиард потребители.

Palo Alto: root на firewall-а, но с валиден акаунт

CVE-2026-0322 получава 8.6 по CVSS и позволява изпълнение на произволен код с root права върху firewall-а. Условията са две: атакуващият трябва да е автентикиран и да има мрежов достъп до управляващия интерфейс. Самата компания описва наблюдаваната активност като „много ограничена експлоатация“, но е вдигнала нивото на спешност до най-високото, ако интерфейсът гледа към интернет.

Засегнати са PAN-OS 10.2, 11.1, 11.2, 12.1 и 12.2 върху PA-Series и VM-Series, както и Panorama във виртуален вид и M-Series. Cloud NGFW и Prisma Access остават извън обхвата. Според BleepingComputer пачът за 11.2.16 се очакваше на 15 октомври, а в атаките са забелязани три IP адреса — 66.42.72.14, 208.83.239.114 и 149.248.47.234.

Официалният бюлетин на Palo Alto е категоричен: няма заобиколно решение. Единственото смекчаване е ограничаване на достъпа до управляващия интерфейс само до доверени вътрешни адреси. Дупката е открита вътрешно от Сурадж Сидхарудх, старши принципен изследовател по продуктова сигурност в компанията. CISA вкара случая в каталога си с експлоатирани уязвимости със срок за федералните агенции до 17 октомври.

Ivanti: трета поредна година с нулев ден в Connect Secure

При Ivanti положението е по-грубо, защото тук автентикация не е нужна. CVE-2026-104935 (също 8.6) е заобикаляне на автентикацията, което води до изпълнение на команди от разстояние без никакви права. The Register пише, че уязвими са Connect Secure 25.1.1.1 и по-стари, 25.1.2.2 и по-стари, както и 22.8R2.4 и по-стари; поправката е във версия 25.1.3.0 и бекпортове към останалите клонове.

Volexity, която откри атаките, описва верига от уязвимости: заобикаляне на автентикацията, което пренасочва заявки към защитени CGI файлове, плюс запис на файл в wu.cgi през race condition между качването и проверката. Трета дупка за повишаване на правата използва доверието на услугата dsinvoked към DSCache конфигурацията и още чака поправка — Ivanti обещава фикс „през следващите седмици“.

Снимка: Ivanti

Групата е каталогизирана като UTA0576 и според Volexity по-скоро е криминална, отколкото шпионска. Интересното е как работи: никакъв малуер, никакви web shell-ове — само собствените команди на устройството. Атакуващите са извличали пароли, събирали метаданни от Active Directory, пускали собствен Kerberoast инструмент, снифвали LDAP пакети и избирателно са чистили логове. Volexity подозира, че при подготовката са ползвали големи езикови модели.

The Hacker News съобщава, че honeypot-ите на Previdian са засекли 105 опита за експлоатация от 50 различни IP адреса в Сингапур и САЩ, а Defused Cyber потвърждава атаки още от 1 октомври — преди всякакво публично оповестяване. Срокът на CISA за федералните агенции беше 16 октомври. Клонът 22.8 излиза от поддръжка на 31 януари 2027.

Chrome: три бъга, шест дни, 250 000 долара

Третата история е от друг жанр. The Register разказва, че екип на Xbow — Брендън Долан-Гавит, Андрес Луксенберг, Баул Ли и Вилем Пинкерс — е сглобил пълна верига срещу Chrome между 2 и 7 август, докато течаха Black Hat и DEF CON. Цената: около 40 000 долара за токени към gpt-5.6-sol на OpenAI.

Веригата минава през три бариери. Първо, бъг в Maglev — средния оптимизатор на V8 — кара два отделни JavaScript обекта да споделят едно променливо число при деоптимизация. Второ, грешка в декодера за анимиран WebP, където кешираната геометрия не отговаря на променените байтове на изображението, дава един прецизно насочен запис извън пясъчника на V8. Трето, на Windows Crashpad повтаря неуспешно четене с дължина, изчислена до края на страницата; експлойтът сменя правата на страницата по време на повторението и поврежда памет вече извън пясъчника на рендерера. Демонстрацията стартира калкулатора на Windows.

Google плати 250 000 долара — първата награда по новите правила на програмата за пълни вериги, въведени през април 2026. Поправката е в Chrome 152.0.7977.82 или по-нов. Хората са избирали целите и са решавали какво да се свързва; моделът е търсил из сорса на Chrome, проверявал хипотези и писал отделните етапи.

Какво да направите днес

И трите случая сочат към едно и също. Публично достъпният управляващ интерфейс е риск сам по себе си — независимо дали е на firewall, на VPN конзола или на email шлюз, както видяхме и при нулевия ден в Cisco Secure Email Gateway. Проверете версиите на PAN-OS и Connect Secure, обновете Chrome и рестартирайте браузъра, за да влезе пачът в сила.

Ако поддържате Ivanti Connect Secure, не разчитайте само на обновяването: при log tampering наличието на пач не изчиства вече компрометирано устройство, така че минете през индикаторите на Volexity и сменете всичко, което е минало през уреда. А фактът, че 1411 уязвимости се изсипаха в един Patch Tuesday тази седмица, подсказва, че темпото няма да спадне.