Atacatorii exploatează vulnerabilități din echipamente aflate la marginea rețelelor corporative, de la gateway-uri VPN și firewall-uri până la platforme de administrare SD-WAN. Raportul lunar InfraTrust Pulse al Eclypsium avertizează și asupra breșelor PHP2Shell: interfețele de management ale unor aparate pot rămâne vulnerabile până când producătorii livrează firmware actualizat.
Între 18 septembrie și 14 octombrie, Eclypsium a urmărit 133 de alerte noi de securitate publicate de 18 furnizori, care însumează 2.813 vulnerabilități. Dintre alerte, 37 au fost clasificate critice, cinci vulnerabilități au primit scorul CVSS maxim, 10,0, iar 58 puteau fi exploatate de la distanță fără autentificare.
Gateway-urile și platformele de management, ținte cu acces privilegiat
Șaisprezece alerte nou publicate includeau vulnerabilități deja înscrise în catalogul Known Exploited Vulnerabilities (KEV) al CISA, ceea ce indică exploatarea lor activă. Miza este ridicată: aceste sisteme pot oferi atacatorilor primul punct de sprijin într-o rețea corporativă sau pot deveni o rampă de lansare pentru accesul la alte infrastructuri.
În cazul Citrix NetScaler ADC și Gateway, CVE-2026-88771 și CVE-2026-88772 au fost dezvăluite pe 27 septembrie, după ce fuseseră observate atacuri împotriva unor aparate neactualizate. O altă breșă, CVE-2026-88779, afectează configurațiile NetScaler care folosesc SAML și a fost adăugată ulterior în KEV, după detectarea exploatării.
Ivanti a raportat că CVE-2026-104935 permite unui atacator de la distanță, fără autentificare, să execute comenzi arbitrare pe gateway-uri Connect Secure vulnerabile. La publicarea alertei, compania a spus că fusese exploatat un număr limitat de clienți; ulterior, CISA a inclus vulnerabilitatea în KEV.
Check Point Research a observat pe 12 septembrie atacuri țintite care exploatau CVE-2026-93616 în Security Management Server, inclusiv asupra clienților Spark. Breșa permite unui atacator neautentificat să încarce și să execute scripturi pe sisteme de management și de jurnalizare, adică pe componente cu vizibilitate și control asupra infrastructurii.
Sursă foto: www.bleepstatic.comCisco a aflat în septembrie despre exploatarea activă a CVE-2026-76504 din Catalyst SD-WAN Manager, care permite ocolirea autentificării și obținerea accesului de administrator la API-ul de management. În VeloCloud Orchestrator, Arista a confirmat exploatarea CVE-2026-93952, o vulnerabilitate de severitate maximă, apoi a dezvăluit pe 22 octombrie o a doua breșă exploatată, CVE-2026-114625.
Lista include și CVE-2026-104286 din FortiMail: o vulnerabilitate critică de traversare a căilor, care permite scrierea arbitrară de fișiere prin interfața web, exploatarea fiind confirmată de Fortinet. În Cisco Secure Email Gateway, un atașament malițios poate duce, prin CVE-2026-76519, la scrierea de fișiere și executarea de comenzi cu privilegii root; Cisco a aflat despre atacuri în octombrie.
F5 a confirmat exploatarea CVE-2026-94127, o depășire de heap critică ce poate permite execuție de cod de la distanță fără autentificare pe sistemele BIG-IP APM configurate ca servere de autorizare OAuth. Palo Alto Networks a raportat atacuri asupra interfeței de management PAN-OS prin CVE-2026-0322, care permite unui administrator autentificat, cu acces la rețea, să execute cod ca root.
PHP2Shell scoate la iveală dependența ascunsă de firmware
Două vulnerabilități PHP, CVE-2026-109618 și CVE-2026-109619, permit execuție de cod de la distanță fără autentificare. Proiectul PHP a publicat remedierile pe 21 octombrie, însă riscul nu se limitează la site-uri și aplicații web: PHP este folosit și în interfețele de administrare ale firewall-urilor, VPN-urilor, controllerelor de livrare a aplicațiilor și dispozitivelor NAS.
În multe produse, furnizorii compilează PHP direct în firmware, astfel că administratorii nu pot instala singuri versiunea corectată. Organizațiile trebuie să aștepte ca fiecare producător să reconstruiască și să publice firmware-ul sau software-ul remediat, lăsând o perioadă în care vulnerabilitatea poate persista chiar dacă patch-ul PHP există deja.
După dezvăluire, Palo Alto Networks, F5, NetScaler, Check Point și QNAP au confirmat că unele dintre produsele lor sunt afectate, în timp ce pregăteau remedieri. Până la publicarea actualizărilor, recomandarea InfraTrust este ca interfețele de management bazate pe PHP să nu fie expuse direct pe internet.
Raportul arată că problema componentelor integrate nu se oprește la PHP. Vulnerabilitatea de escaladare a privilegiilor din kernelul Linux CVE-2026-31431, cunoscută drept Copy Fail, apare acum în 29 de alerte ale opt furnizori, față de 19 alerte și șase furnizori în luna precedentă.
Eclypsium a identificat și vulnerabilități mai vechi, dar exploatate, în componente incluse în produse: o breșă din kernelul Android care afectează imprimante HP LaserJet Enterprise și o vulnerabilitate jQuery din 2020 în software-ul Dell Data Lakehouse. Exemplele arată de ce inventarierea produselor nu este suficientă fără vizibilitate asupra componentelor software încorporate și a versiunilor acestora.
Ce înseamnă raportul pentru organizațiile din România și UE
Pentru companiile și instituțiile românești, riscul imediat se concentrează asupra echipamentelor accesibile din internet și a sistemelor care permit administrarea de la distanță. Gateway-urile VPN și platformele de management pot deschide acces către rețele interne; compromiterea lor poate transforma o vulnerabilitate de margine într-un incident care afectează servicii, date și continuitatea operațională.
Prioritatea recomandată de InfraTrust este aplicarea patch-urilor pentru NetScaler și Ivanti Connect Secure, urmată de actualizările Fortinet din 22 octombrie pentru FortiOS, FortiManager și FortiAnalyzer, în special pe dispozitivele expuse internetului. Apoi, administratorii ar trebui să verifice Check Point Security Management Server, Cisco Catalyst SD-WAN Manager, VeloCloud Orchestrator, FortiMail, Cisco Secure Email Gateway, BIG-IP APM și interfețele PAN-OS.
Dacă un patch nu este disponibil, organizațiile ar trebui să reducă expunerea: să retragă interfețele administrative de pe internet, să limiteze accesul la rețele de management și să urmărească alertele furnizorilor. Aceste măsuri nu înlocuiesc actualizarea, dar pot micșora fereastra de oportunitate pentru atacatori; echipele de securitate trebuie să caute și semne de acces neautorizat, nu doar să instaleze remedieri.
Raportul citează separat Blue Report 2026, care măsoară eficiența apărării tehnică prin tehnică, pe baza a 338 de milioane de simulări desfășurate în medii de producție ale clienților. Concluzia relevantă este că, după ce atacatorii folosesc acreditări valide, prevenția scade puternic: doar 37% dintre acțiunile lor sunt blocate, un avertisment că patch-urile trebuie însoțite de monitorizare și control al accesului.
