Агентство кибербезопасности и безопасности инфраструктуры (CISA) предупреждает, что злоумышленники используют уязвимости в программном обеспечении Plex Media Server, SiteGuard Server и Siemens Software Center.
В настоящее время злоумышленники эксплуатируют уязвимости в программном обеспечении Plex Media Server, системе безопасности SiteGuard от компании EG Secure Solutions и в центре разработки программного обеспечения Siemens. Уязвимости в Plex даже получили кодовое название: "Plex2Shell".
Американское агентство CISA, занимающееся вопросами кибербезопасности, предупреждает об обнаруженных атаках и рекомендует немедленно установить обновления. В первую очередь, агентство указывает на четыре уязвимости в программном обеспечении Plex, которые используются в атаке "Plex2Shell". Наиболее серьезной является уязвимость, позволяющая осуществлять внешний контроль над именем файла или путем к файлу (CVE-2026-96656, CVSS4 8.6, уровень риска – "высокий"). Эта уязвимость может быть использована через функцию статистики, которая включена по умолчанию. Она устранена в версиях 8.00 Update 5 (для Apache httpd, Nginx, IIS) и 7.00 Update 6 (для Apache httpd и Nginx под FreeBSD); для более старых версий производитель предоставляет исправление. Вторая уязвимость связана с некорректной обработкой закодированных URI в веб-страницах (CVE-2026-96654, CVSS4 6.9, уровень риска – "средний"). Кроме того, к этому комплексу уязвимостей относятся две проблемы, связанные с подделкой запросов на стороне сервера (Server-Side Request Forgery) (CVE-2026-96652, CVE-2026-96655, CVSS4 5.3, уровень риска – "средний").
В то время как CISA, как обычно, указывает только конкретные уязвимости и не предоставляет подробной информации об атаках, аккаунт AGTPinsights в X предоставляет дополнительную информацию. Согласно этим данным, использование выявленных уязвимостей позволяет злоумышленникам выполнять вредоносный код из сети без предварительной аутентификации. Эксплойт для этой цели уже был опубликован на GitHub еще в прошлую пятницу. В субботу была успешно атакована "ловушка" (honeypot), созданная одним из специалистов по информационной безопасности. Компания Plex подтверждает многочисленные атаки на серверы, не получившие обновлений и доступные из интернета. Распространяемое вредоносное ПО включает в себя криптомайнер (XMRig) и инструмент-прокси, который превращает жертв в невольных прокси-серверов. Затронуты версии Plex Media Server 1.43.2 и более ранние; начиная с версии 1.43.3.10861 включены исправления безопасности, о чем компания Plex сообщает в своем уведомлении о безопасности.
Другие случаи злоупотребления уязвимостями безопасности.
Другие уязвимости связаны с бизнес-средой. Веб-приложение межсетевого экрана (WAF) SiteGuard Server Edition содержит уязвимость, позволяющую злоумышленникам выполнять произвольные команды на операционной системе с правами root или SYSTEM. Японский CERT также предупреждает об этой уязвимости, которую, по данным CISA, уже активно эксплуатируется в реальных условиях (CVE-2026-106931, CVSS4 8.5, уровень риска – "высокий").
Компания Siemens сообщила о кибератаках на свой программный центр в своем сообщении об информационной безопасности. Уязвимость связана с механизмом загрузки DLL-файлов (DLL sideloading), при котором программа загружает библиотеки из пути поиска, а не из контролируемой и ожидаемой директории (CVE-2026-110936, CVSS4 8.4, уровень риска "высокий"). Подвержены этой уязвимости все версии программного центра Siemens до версии V4.0.9.8. Компания рекомендует автоматически обновлять существующие установки до безопасной версии при следующем запуске. По данным Siemens, злоумышленники использовали эту уязвимость, используя оригинальную версию программного центра Siemens 3.5.8.7 и размещая рядом с программой собственные вредоносные DLL-файлы. Компания Siemens сообщает, что пакет был распространялся вне официальных каналов под названием AllMyBasic.msi в рамках кампании Romulus. Поскольку программа не проверяла загружаемые DLL-файлы, это позволило выполнить вредоносный код. Siemens также предоставляет администраторам информацию об IP-адресах и доменах, а также хэшах файлов (индикаторы компрометации - Indicators of Compromise, IOC), которые могут указывать на атаки, и рекомендации по действиям, которые следует предпринять.
Первоисточник — Heise
Сообщите редакции. Существенные исправления мы отмечаем в материале