СигурностДве дупки в MikroTik RouterOS вече се ползват за атаки, а кръпката е от 3 септемвриНа 10 септември CISA вписа CVE-2026-86060 и CVE-2026-67277 в RouterOS сред активно експлоатираните, със срок 13 септември. MikroTik пусна поправките седмица по-рано и съветва SSH да не е отворен към недоверени мрежи.СигурностChrome 153 закърпи 230 дупки, а една от тях във V8 вече се ползва за атакиGoogle пусна Chrome 153 на 8 септември с 230 поправки по сигурността и написа, че знае за експлойт в реална среда за CVE-2026-87491. На следващия ден CISA вписа уязвимостта в каталога на активно експлоатираните. Засяга и други браузъри на Chromium.СигурностТри устройства, които пазят мрежата, влязоха в каталога на атакуваните за един ден, със срок три дниНа 9 септември CISA вписа като активно експлоатирани дупки в Cisco Secure Firewall Management Center, NetScaler ADC и Gateway и FortiOS. Срокът за трите е 12 септември. Тази в Cisco е обявена още през март, с най-високата възможна оценка.СигурностДупка в Magento с оценка 10 влезе в каталога на атакуваните, а срокът за закърпване е три дниНа 8 септември CISA вписа четири уязвимости като активно експлоатирани. Най-близката до онлайн магазина е в Adobe Commerce и Magento Open Source: изпълнение на код без вход, оценка 10.0 по Adobe, кръпка от предния ден. До нея стоят N-able N-central и два локални пробива в Windows.СигурностПолският CERT потвърди атаки срещу рутери на MikroTik през SSH, започнали поне ден преди бюлетина за кръпкатаНа 5 септември CERT Polska съобщи, че две от шестте дупки, които е открил в RouterOS, се ползват заедно за пълен контрол над рутери с отворен към интернет SSH. Поправките са обявени на 3 септември, а успешните атаки вървят поне от 2 септември.СигурностChrome запуши дупка във V8, за която Google знае, че вече се използваНа 3 септември Google пусна Chrome 152 с 12 поправки по сигурността. За CVE-2026-85046, объркване на типове във V8, компанията пише, че експлойт вече съществува в реалния свят. На 4 септември CISA я сложи в каталога KEV със срок 18 септември.СигурностСедем дупки за ден в каталога на активно експлоатираните, сред тях LiteLLM и ArtifactoryНа 2 септември CISA добави седем CVE в KEV. За хората, които държат AI инфраструктура, две стоят отгоре: LiteLLM пуска всеки с измислен токен до MCP инструментите, а Artifactory дава администраторски права без вход. Срокът за Artifactory и SonicWall е 5 септември.СигурностДве дупки в PaperCut влязоха в каталога на активно експлоатираните и се връзват във веригаНа 31 август CISA добави CVE-2026-82078 и CVE-2026-81578 в PaperCut NG и MF към каталога KEV. Двете се връзват във верига до изпълнение на код. Производителят съобщи на 27 август, че разследва активна експлоатация, и съветва уеб интерфейсът да се затвори за интернет веднага.
83 материала