Threat Intelligence Weekly

Week 26 · 22–28 июня 2026

30 Jun 2026 · malikai.org · 18 источников · 20 историй
20 Всего историй
5 Critical
10 High
7 CVE найдено
18 Источников
Filter Showing – stories

Executive Summary

На этой неделе доминирующими векторами атак стали уязвимости нулевого дня в VPN-продуктах и корпоративном ПО, активно эксплуатируемые группировками Qilin и ShinyHunters. Критическая уязвимость CVE-2026-35273 в Oracle PeopleSoft (CVSS 9.8) позволила ShinyHunters похитить данные более 100 организаций ещё до выпуска патча — zero-day эксплуатировался с 27 мая по 9 июня. CISA добавила в каталог KEV три уязвимости Ubiquiti UniFi OS с CVSS 10.0 (CVE-2026-34908/34909/34910), образующих цепочку полного захвата устройства без аутентификации. В финансовом секторе России группа Hive0117 продолжает целевые атаки на бухгалтеров российских компаний через троян DarkWatchman. Одновременно Банк России 16 июня опубликовал первые методические рекомендации по безопасному использованию ИИ в финансовом секторе, а CISA выпустила директиву BOD 26-04, кардинально меняющую подход федеральных агентств к приоритизации патчей.

#ZeroDay #Ransomware #AIThreats #OraclePeopleSoft #UniFiOS #CISADirective #Финансы #RU_CIS

🔍 Ключевые тренды

#1
🎯
Zero-day до публичного раскрытия
ShinyHunters взломали 100+ организаций через CVE-2026-35273 в Oracle PeopleSoft за 14 дней до выхода патча Oracle. Среднее окно эксплуатации до патча сокращается, но атаки начинаются мгновенно.
#2
🔐
VPN как приоритетная точка входа
Check Point CVE-2026-50751 эксплуатируется аффилиатами Qilin с мая. VPN-продукты Fortinet, Palo Alto и Check Point остаются главным вектором для ransomware-групп в 2026 году.
#3
🤖
AI-агенты под атакой
Атаки типа prompt injection выросли на 340% по данным OWASP. Корпоративные AI-ассистенты (Copilot, RAG-системы) стали новой поверхностью для утечки конфиденциальных данных.
#4
💳
Deepfake-мошенничество финсектора
Глобальные потери от deepfake-мошенничества достигли $2.19 млрд. CEO и CFO-импостеры через синтетические видео и голос обходят верификацию финансовых организаций при авторизации платежей.
#5
📋
Регуляторный акцент на безопасности ИИ
ЦБ РФ (16 июня) и CISA (BOD 26-04, 10 июня) одновременно выпустили нормативные документы — регуляторы реагируют на угрозы AI-систем упреждающими мерами.
#6
🏦
Атаки на финансовые ERP и ДБО
Oracle EBS (CVE-2026-46817) и PeopleSoft (CVE-2026-35273) атакованы через уязвимости в финансовых приложениях. Hive0117 продолжает дренаж счетов через взлом систем ДБО российских компаний.

🛡️ Угрозы и уязвимости

8 материалов
#1 5 ист.
CVE-2026-35273: ShinyHunters эксплуатирует zero-day в Oracle PeopleSoft — взломано 100+ организаций
Критическая уязвимость RCE (CVSS 9.8) в компоненте Updates Environment Management позволяла неаутентифицированным атакующим выполнять произвольный код по HTTP. ShinyHunters эксплуатировали баг с 27 мая по 9 июня как zero-day, скомпрометировав более 300 инстансов в 100+ организациях — преимущественно в секторе образования. Oracle выпустил экстренный патч 10 июня 2026.
CRITICAL THN SecurityWeek Rapid7 Google GTIG Arctic Wolf
WCS 8.3
CRITICAL
#2 5 ист.
CVE-2026-50751: Check Point VPN zero-day эксплуатируется аффилиатами Qilin с мая 2026
Критическая уязвимость обхода аутентификации (CVSS 9.3) в Check Point Remote Access VPN, Mobile Access и Spark Firewall. Успешная эксплуатация через устаревший протокол IKEv1 позволяет устанавливать VPN-сессии без валидных учётных данных. CISA добавила в KEV 8 июня, срок патчирования для FCEB-агентств — 11 июня 2026.
CRITICAL BleepingComputer Rapid7 Help Net Security CISA KEV Dark Reading
WCS 7.3
CRITICAL
#3 4 ист.
CVE-2026-34908/34909/34910: тройная CVSS 10.0 в Ubiquiti UniFi OS — CISA KEV добавлена 23 июня
Три уязвимости максимальной критичности в UniFi OS: неправомерный контроль доступа (34908), path traversal (34909) и command injection (34910). Цепочка обеспечивает полный захват устройства без аутентификации и получение root-привилегий. Исследователи Bishop Fox продемонстрировали эксплойт-цепочку; атаки зафиксированы в дикой природе. Патч: UniFi OS 5.1.12+.
CRITICAL BleepingComputer SecurityWeek CyberNews CISA KEV
WCS 7.3
CRITICAL
#4 4 ист.
CVE-2026-48558: эксплуатация SimpleHelp (CVSS 10.0) для доставки Djinn Stealer и TaskWeaver
Критическая уязвимость обхода аутентификации в OpenID Connect позволяет получить полностью аутентифицированную сессию техника без MFA. Атакующие разворачивают TaskWeaver (обфусцированный Node.js-загрузчик) и Djinn Stealer — новый кросс-платформенный инфостилер для Windows, macOS и Linux, похищающий учётные данные облачных сервисов, AI-инструментов и криптокошельков. CISA KEV: дедлайн 2 июля 2026.
CRITICAL THN BleepingComputer SecurityWeek Help Net Security
WCS 7.3
CRITICAL
#5 3 ист.
CVE-2026-33825 (BlueHammer): Microsoft Defender PE теперь используется ransomware-группировками
Уязвимость race condition в логике восстановления файлов Microsoft Defender позволяет непривилегированному пользователю перезаписывать произвольные файлы и получить SYSTEM-привилегии. Атакующие объединяют BlueHammer с инструментами UnDefend для отключения защиты, дампа SAM и бокового перемещения перед развёртыванием ransomware. Microsoft исправил уязвимость 14 апреля 2026.
HIGH BleepingComputer CISA Picus Security
WCS 5.0
HIGH
#6 3 ист.
16 миллиардов скомпрометированных учётных данных в инфостилер-дампе — угроза сессионным токенам
CyberNews зафиксировала агрегированную утечку 16 млрд учётных записей из 30 баз данных, преимущественно из свежих логов инфостилеров. Критическая особенность: записи содержат активные сессионные токены и куки аутентификации, позволяющие обходить MFA. Охват — Apple, Google, Facebook, VPN-сервисы, банки и государственные порталы.
HIGH CyberNews BleepingComputer Malwarebytes
WCS 4.0
HIGH
#7 2 ист.
Иранский APT Screening Serpens: шесть новых RAT-вариантов в кампаниях против США, Израиля и ОАЭ
Unit 42 задокументировал кампании иранской APT-группы Screening Serpens в феврале–апреле 2026: шесть новых вариантов RAT с цепочками заражения через spear-phishing и DLL sideloading. Основные цели — правительственные и оборонные структуры; тактика LOTL (living-off-the-land) существенно затрудняет обнаружение.
HIGH Unit 42 Dark Reading
WCS 2.5
HIGH
#8 2 ист.
Gentlemen Ransomware: адаптивная группировка с двойным вымогательством, активна в 30+ странах
CYFIRMA в еженедельном отчёте от 26 июня зафиксировала высокую активность Gentlemen Ransomware: группировка сочетает шифрование файлов с кражей данных и угрозами публичного раскрытия (double extortion). Атаки распределены по финансовому, производственному и госсекторам; быстрая адаптация TTPs затрудняет атрибуцию.
HIGH CYFIRMA SecurityWeek
WCS 2.0
HIGH

🤖 AI угрозы

4 материала
#1 3 ист.
OWASP: атаки prompt injection выросли на 340% — корпоративные AI-агенты теряют конфиденциальные данные
Согласно отчёту OWASP State of Agentic AI Security 2026, prompt injection остаётся ведущей категорией атак на AI-системы. Ключевой случай — CVE-2025-32711 в Microsoft 365 Copilot (CVSS 9.3): единственное письмо с вредоносными инструкциями заставляло Copilot эксфильтровать данные из OneDrive, SharePoint и Teams через доверенный домен Microsoft. В марте 2026 финансовая компания три недели теряла внутренние данные о ценообразовании через взломанного AI-агента.
HIGH OWASP Help Net Security VentureBeat
WCS 3.5
HIGH
#2 3 ист.
Deepfake-мошенничество в финсекторе: глобальные потери $2.19 млрд, CEO-импостеры атакуют 400+ компаний в день
Синтетические видео- и аудиодипфейки перешли из proof-of-concept в категорию восьмизначных потерь. В 2025 году зафиксировано $1.65 млрд потерь только в Северной Америке. Злоумышленники имитируют CEO и CFO в ходе видеозвонков для авторизации крупных банковских переводов. Система верификации личности при транзакциях становится новым стандартом безопасности.
HIGH Adaptive Security Fourthline Surfshark
WCS 4.2
HIGH
#3 2 ист.
APT36 и другие nation-state группы используют LLM как «конвейер полиморфного вредоносного ПО»
Анализ Hive Security показывает: все четыре крупнейших nation-state блока (Китай, Россия, Иран, КНДР) операционализировали LLM в 2025–2026 годах. APT36 применяет AI для генерации полиморфных вариантов вредоносного ПО, уклоняющихся от сигнатурного обнаружения. Среднее время breakout (от первичного доступа до эксфильтрации) снизилось до 72 минут.
HIGH Hive Security Deep Instinct
WCS 2.0
HIGH
#4 2 ист.
Device code attacks +3700%: 18+ фишинговых наборов эксплуатируют OAuth-потоки для захвата корпоративных аккаунтов
CYFIRMA зафиксировала взрывной рост атак типа device code phishing: по сравнению с предыдущим годом рост составил 37 раз, в дикой природе обнаружено 18+ готовых наборов. Техника позволяет захватывать OAuth-токены без ввода пароля, обходя MFA — особенно опасна для корпоративных банковских и финансовых платформ с OAuth-авторизацией.
MEDIUM CYFIRMA Microsoft
WCS 2.0
MEDIUM

💳 Финмошенничество · RU/CIS

4 материала
#1 3 ист.
Hive0117 / DarkWatchman: целевые атаки на бухгалтеров 3000+ российских компаний, дренаж корпоративных счетов
Финансово мотивированная группа Hive0117 провела масштабную кампанию против корпоративных финансовых отделов России: фишинговые письма с DarkWatchman RAT в запаролированных архивах, замаскированных под счета и акты сверки. Получив доступ к системам ДБО, атакующие создавали платёжные поручения под видом зарплатных переводов. Пострадали организации в финансовом, энергетическом, телеком и производственном секторах.
CRITICAL The Record Security Affairs IBM X-Force
WCS 4.7
CRITICAL
#2 2 ист.
Банковские трояны 2026: эволюция от классических кейлоггеров к инструментам ATO с AI-анализом
Barracuda Networks анализирует трансформацию банковских троянов в 2026 году: Grandoreiro (активен с 2016) продолжает таргетировать банки Европы и Латинской Америки, но новые семейства интегрируют AI-анализ похищенных данных для автоматического обхода поведенческих систем антифрода. Фишинг в связке с Telegram-ботами и AI-приманками стал основным вектором первичной компрометации.
HIGH Barracuda Networks BitSight
WCS 2.2
HIGH
#3 2 ист.
BlueKit PhaaS: 87 готовых фишинговых наборов против банков с .su-инфраструктурой, связанной с CIS-экосистемой
CloudSEK задокументировала платформу BlueKit Phishing-as-a-Service: 87 готовых наборов для атак на банки, облачные сервисы и глобальные бренды, с автоматизацией захвата аккаунтов. Использование .su-доменов, Jabber-коммуникаций и OPSEC-ориентированного инструментария указывает на связь с CIS-аффилированным киберпреступным подпольем. Низкий порог входа — подписка от $50/месяц.
HIGH CloudSEK Security Boulevard
WCS 2.2
HIGH
#4 2 ист.
ЦБ РФ: российские банки заблокировали 134.2 млн мошеннических транзакций в 2025 году, но объём хищений вырос на 6.4%
По данным Банка России, в 2025 году антифрод-системы предотвратили 134.2 млн мошеннических транзакций (рост в 1.86x). Однако объём похищенных средств увеличился на 6.4% до 29.3 млрд рублей: атакующие адаптируются быстрее, чем совершенствуются системы защиты. Социальная инженерия и AI-deepfake остаются ключевыми инструментами обхода антифрода.
MEDIUM ЦБ РФ TAdviser
WCS 2.2
MEDIUM

⚖️ Регуляторы и политика

4 материала
#1 4 ист.
CISA BOD 26-04: риск-ориентированная приоритизация патчей — новая директива для федеральных агентств США (10 июня 2026)
Директива BOD 26-04 заменяет BOD 22-01 и BOD 19-02, вводя четырёхфакторную модель приоритизации: публичная экспозиция актива, статус KEV, автоматизируемость эксплойта и технический импакт. Наивысший риск требует патчирования за 3 дня. Агентства должны обновить процессы к 9 августа 2026 и внедрить новые таймлайны к 7 декабря 2026. Прямое влияние на вендоров, работающих с US Government.
HIGH CISA CyberScoop Industrial Cyber Wiley Law
WCS 5.0
HIGH
#2 3 ист.
ЦБ РФ: первые методические рекомендации по безопасному применению ИИ в финансовой сфере (16 июня 2026)
Банк России опубликовал первый систематизированный документ по рискам ИИ для финансового сектора. Ключевые угрозы: отравление обучающих данных, дипфейк-подмена личности, кража моделей. Рекомендации: для критических процессов (платёжные операции) обязательное подтверждение человеком, мониторинг целостности моделей, собственная модель угроз для ИИ-компонентов. Банки должны внедрить политику ИБ для работы с ИИ.
HIGH Банк России Коммерсантъ TAdviser
WCS 4.2
HIGH
#3 3 ист.
Oracle CPU июнь 2026: 245 патчей, 243 CVE — финансовые приложения EBS и PeopleSoft под прицелом
Oracle опубликовал квартальный пакет обновлений безопасности, включающий 245 патчей для 243 CVE в 10 критических продуктах. Особое значение для финансового сектора: CVE-2026-35273 (PeopleSoft, CVSS 9.8) и CVE-2026-46817 (Oracle E-Business Suite, финансовые модули). Организациям, использующим Oracle для бухгалтерии и банковских операций, необходима немедленная оценка применимости патчей.
HIGH Oracle Tenable SecurityWeek
WCS 4.3
HIGH
#4 3 ист.
Госдума РФ: закон о регулировании крипторынка задерживается — целевая дата 1 июля 2026 под вопросом
Законопроект о регулировании крипторынка (прошёл первое чтение 22 апреля 2026) не успевает к планируемому сроку 1 июля 2026. Проект предусматривает лицензирование бирж и брокеров под надзором ЦБ РФ, запрет крипты для внутренних платежей при разрешении для внешнеторговых расчётов. Для финансовых организаций важны будущие требования к ИБ от ЦБ РФ для лицензированных криптоплатформ.
MEDIUM CoinDesk Digital Watch CryptoBriefing
WCS 3.2
MEDIUM

✅ Что делать прямо сейчас

URGENT · 1-3 дня
Ubiquiti UniFi OS → 5.1.12+ (CVE-2026-34908/34909/34910)
Три уязвимости CVSS 10.0 образуют цепочку полного захвата устройства без аутентификации. CISA KEV добавлена 23 июня. Обновить: UniFi OS Server 5.0.8, NAS 5.1.10, UDM Beast 5.1.11, либо UniFi OS 5.1.12. Проверить все публично доступные экземпляры UniFi-контроллеров немедленно.
URGENT · 1-3 дня
Oracle PeopleSoft экстренный патч (CVE-2026-35273, CVSS 9.8)
Активная эксплуатация группой ShinyHunters. Установить out-of-band патч от 10 июня 2026. Если патч уже применён — провести forensic-анализ на предмет компрометации в период 27 мая — 10 июня. Особое внимание: системы с доступом к финансовым модулям EBS и PeopleSoft Financials.
URGENT · 1-3 дня
Check Point VPN hotfix (CVE-2026-50751, CVSS 9.3)
Применить экстренный хотфикс Check Point для Remote Access VPN, Mobile Access и Spark Firewall. Отключить поддержку устаревшего протокола IKEv1, если он не требуется. Проверить логи VPN-соединений с мая 2026 на предмет аномальных аутентификаций. Аффилиаты Qilin используют эту точку входа для развёртывания ransomware.
HIGH · 1 неделя
SimpleHelp: патч CVE-2026-48558, дедлайн CISA — 2 июля 2026
Обновить SimpleHelp до версии с исправлением CVE-2026-48558 (CVSS 10.0). После обновления проверить системы на наличие Djinn Stealer и TaskWeaver (jquery.js / node.exe). Djinn Stealer похищает учётные данные AI-инструментов, облачных сервисов и исходного кода — особенно опасен для DevOps и финансовых команд.
HIGH · 1 неделя
Аудит ДБО-систем на компрометацию Hive0117 / DarkWatchman
Провести анализ логов систем дистанционного банковского обслуживания и бухгалтерских приложений (1С, SAP) за период февраль–июнь 2026. Проверить платёжные поручения на аномальные счета-получатели. Индикаторы: архивы с паролями в письмах бухгалтерии, исходящие соединения к C2-серверам DarkWatchman, неожиданные задачи планировщика.
MEDIUM · 2 недели
Политика ИБ для ИИ-систем в соответствии с рекомендациями ЦБ РФ от 16.06.2026
Финансовым организациям: разработать модель угроз для ИИ-компонентов согласно методическим рекомендациям ЦБ РФ. Для AI в платёжных процессах — внедрить обязательное подтверждение человеком. Настроить мониторинг целостности AI-моделей и достоверности входных/выходных данных. Провести оценку рисков prompt injection для AI-агентов, взаимодействующих с клиентами.
Threat Intelligence Weekly

Week 25 · 16–22 июня 2026

22 Jun 2026 · malikai.org · 18 источников · 23 истории
23 Всего историй
7 Critical
11 High
12 CVE найдено
18 Источников
Filter Showing – stories

Executive Summary

Неделя с 16 по 22 июня 2026 года стала одной из наиболее насыщенных угрозами за квартал: параллельно активно эксплуатировались unauthenticated RCE в Splunk Enterprise (CVE-2026-20253) и критический zero-day CVSS 9.8 в Oracle PeopleSoft (CVE-2026-35273), скомпрометировавший более 100 организаций по всему миру через группу ShinyHunters. Утечка FortiBleed раскрыла учётные данные к 73 932 устройствам Fortinet в 194 странах, открывая путь к массовому взлому корпоративных периметров, включая финансовый сектор. Исследователь под псевдонимом «Nightmare Eclipse» опубликовал новый zero-day CVE-2026-50656 (RoguePlanet) в Microsoft Defender, дающий SYSTEM-привилегии на полностью пропатченных Windows 10/11 — патча до сих пор нет. На этом фоне Госдума приняла пакет «Антифрод 2.0», ужесточающий ответственность банков и операторов связи, а CISA выпустила директиву BOD 26-04 с 3-дневным сроком устранения критических CVE — оба события сигнализируют о глобальном регуляторном ужесточении, продиктованном ростом AI-ускоренных атак.

#FortiBleed #RoguePlanet #ZeroDay #PeopleSoft #GentleKiller #Антифрод #AndroidTrojan #CISAKEV

🔍 Ключевые тренды

#1
🔑
Учётные данные как оружие
FortiBleed и DarkWatchman показывают: mass credential theft — главный вектор начального доступа в 2026. Логины и хэши от 74 000 устройств Fortinet уже в руках злоумышленников.
#2
🤖
AI ускоряет эксплуатацию
CISA BOD 26-04 принята потому, что AI сокращает окно от патча до атаки до нескольких часов. Prompt injection в agentic AI вырос на 340% год-к-году; LiteLLM backdoor поразил 47 000 загрузок.
#3
🛡️
EDR-убийцы в каждом RaaS
GentleKiller (8 BYOVD-вариантов, 400+ процессов, 48 продуктов) становится стандартом: EDR-bypass теперь входит в базовый пакет аффилиата любой крупной RaaS-группы.
#4
📱
Мобильный банкинг под атакой
Rokarolla (217 банковских приложений) и OverlayPhantom — два новых Android-трояна за одну неделю. Dropper-схемы через фейковые Chrome/TikTok APK становятся индустриальным стандартом.
#5
⚖️
Регуляторное ужесточение глобально
Россия («Антифрод 2.0») и США (BOD 26-04) одновременно перешли к принудительному ускорению: банки отвечают деньгами, федеральные агентства — сроками в 3 дня.

🛡️ Угрозы и уязвимости

10 материалов
#16 ист.
Microsoft Defender zero-day RoguePlanet (CVE-2026-50656) — патча нет, SYSTEM-доступ на Windows 10/11
Исследователь «Nightmare Eclipse» опубликовал эксплойт CVE-2026-50656 — race condition в Microsoft Defender, дающий SYSTEM-привилегии на полностью пропатченных системах через несколько часов после выхода июньского Patch Tuesday. Microsoft подтвердила уязвимость; патч в разработке без указания сроков. PoC публично доступен на GitHub.
CRITICAL BleepingComputer SecurityWeek THN Help Net Security
WCS 8.3
CRITICAL
#26 ист.
ShinyHunters эксплуатировали zero-day CVE-2026-35273 (CVSS 9.8) в Oracle PeopleSoft — взломано 100+ организаций
Группа ShinyHunters эксплуатировала критическую RCE в PeopleSoft PeopleTools как zero-day с мая по 10 июня 2026, когда Oracle выпустила out-of-band патч. Атаки не требуют аутентификации — только сетевой HTTP-доступ. Основные жертвы — университеты; Google GTIG подтвердила атрибуцию.
CRITICAL THN SecurityWeek Google GTIG Help Net Security
WCS 8.3
CRITICAL
#36 ист.
FortiBleed: утечка учётных данных к 73 932 устройствам Fortinet в 194 странах — CISA выпустила экстренный бюллетень
Дамп FortiBleed содержит логины, хэши паролей и конфигурации FortiGate из 194 стран. Злоумышленники применяют credential stuffing с 45-GPU-кластером для взлома хэшей. CISA опубликовала экстренное предупреждение 18 июня 2026. В числе затронутых — Samsung, Siemens, Oracle, Accenture. ~50% всех доступных из интернета FortiGate под угрозой.
CRITICAL BleepingComputer CISA Arctic Wolf Help Net Security
WCS 7.8
CRITICAL
#45 ист.
CVE-2026-20253: unauthenticated RCE в Splunk Enterprise под активной атакой с 15 июня — добавлена в CISA KEV
Splunk выпустил патч 10 июня; PoC появился 12 июня; активная эксплуатация подтверждена с 15 июня 2026. CISA добавила CVE-2026-20253 в KEV и обязала федеральные агентства патчить до 21 июня. Уязвимость позволяет получить полный контроль над Splunk-сервером без аутентификации через file write, расширяемый до RCE.
CRITICAL Help Net Security SecurityWeek SOCRadar CISA
WCS 7.3
CRITICAL
#55 ист.
Microsoft Patch Tuesday июнь 2026: 200 уязвимостей, 6 zero-days — крупнейший выпуск патчей, новый 0day появился через часы
Microsoft закрыла 200 уязвимостей, включая zero-days YellowKey, GreenPlasma и MiniPlasma (все опубликованы исследователем Nightmare Eclipse в ходе конфликта с Microsoft по bug bounty). Через несколько часов после выхода патчей тот же исследователь раскрыл новый unpatched zero-day RoguePlanet (CVE-2026-50656), перечеркнув часть усилий Patch Tuesday.
CRITICAL BleepingComputer SecurityWeek THN Arctic Wolf
WCS 6.8
CRITICAL
#65 ист.
Gentlemen RaaS: GentleKiller отключает 400+ процессов защиты через BYOVD — лидер идентифицирован как гражданин РФ
ESET опубликовала анализ GentleKiller — EDR-killer фреймворка группы Gentlemen: 8 BYOVD-вариантов (HexKiller, ThrottleBlood, HavocKiller и др.) целятся в Microsoft Defender, CrowdStrike, SentinelOne, Kaspersky и ещё 44 продукта. Журналист Кребс связал лидера группы с Александром Япаевым из Ижевска. Группа атаковала Mackay Sugar в июне 2026.
HIGH BleepingComputer ESET THN SecurityAffairs
WCS 6.0
HIGH
#73 ист.
Joomla JCE CVE-2026-48907 (CVSS 10.0): CISA добавила в KEV — уязвимость позволяет выполнять PHP-код без аутентификации
Критическая уязвимость в плагине Joomla Content Editor позволяет неаутентифицированным атакующим загружать произвольные файлы и выполнять PHP-код. CISA внесла CVE-2026-48907 в KEV 16 июня; активная эксплуатация подтверждена. Дедлайн для федеральных агентств США — 19 июня 2026.
CRITICAL THN CISA DailySecurityReview
WCS 5.3
CRITICAL
#83 ист.
UniFi OS Server: три уязвимости CVSS 10.0 (CVE-2026-34908/9/10) образуют цепочку unauthenticated root RCE
BishopFox опубликовал анализ цепочки в UniFi OS Server ≤5.0.6: обход авторизации + path traversal + command injection. Дают root на устройстве без учётных данных. Исправлено в версии 5.0.8; в интернете доступно ~100 000 уязвимых устройств. PoC опубликован; эксплуатация ожидаема в ближайшее время.
CRITICAL BleepingComputer BishopFox GBHackers
WCS 4.3
CRITICAL
#92 ист.
Операция против SocGholish / Evil Corp: ликвидированы ~15 000 заражённых WordPress-сайтов и 100+ C2-серверов
Совместная операция правоохранителей США, Нидерландов, Канады и Германии уничтожила инфраструктуру SocGholish-ботнета, связанного с российской группой Evil Corp. Около 15 000 заражённых WordPress-сайтов очищены; 100+ command-and-control серверов отключены. Один из крупнейших takedown кибергрупп 2026 года.
HIGH BleepingComputer SecurityWeek
WCS 4.0
HIGH
#102 ист.
Android zero-day CVE-2025-48595 в компоненте Framework — активно эксплуатируется; Google выпустила 124 патча
Июньский Android Security Bulletin закрывает 124 уязвимости, включая высококритичный zero-day CVE-2025-48595 (integer overflow в Framework), добавленный CISA в KEV 2 июня. Уязвимость эксплуатируется в дикой природе; обновления обязательны для всех устройств под управлением Android 12–15.
HIGH THN CISA
WCS 3.2
HIGH

🤖 AI угрозы

5 материалов
#13 ист.
OWASP: prompt injection — причина 73% сбоев безопасности в production AI; атаки выросли на 340% г/г
Новый отчёт OWASP фиксирует взрывной рост prompt injection в agentic AI-системах: атаки позволяют перехватывать управление агентами, выполнять привилегированные команды, красть данные и перемещаться по сети. CVE-2026-22708 (Cursor IDE) даёт arbitrary payload execution через отравленный git branch при взаимодействии с AI-агентом разработки.
HIGH Help Net Security OWASP airia.com
WCS 2.5
HIGH
#22 ист.
Supply-chain worm Miasma поразил 73 репозитория Microsoft на GitHub — Azure, Azure-Samples, MicrosoftDocs
Worm Miasma (вариант Mini Shai-Hulud, опубликованного TeamPCP в мае 2026) через supply-chain атаку заразил репозитории четырёх GitHub-организаций Microsoft. GitHub временно закрыл доступ к затронутым репозиториям. Инцидент демонстрирует автоматизацию распространения AI-ассистированных supply chain worms по open-source экосистемам.
HIGH THN SecurityWeek
WCS 2.3
HIGH
#32 ист.
LiteLLM backdoor в PyPI: 47 000 загрузок за 3 часа — скомпрометированы CrewAI, DSPy, Microsoft GraphRAG
Скомпрометированный пакет LiteLLM (AI-gateway для ключевых agentic frameworks) провисел на PyPI три часа в марте 2026 с встроенным бэкдором, собрав ~47 000 загрузок. Инцидент всплыл в июне 2026 в отчёте OWASP; под угрозой — все системы, использующие LiteLLM без верификации целостности пакета через hash/SBOM.
HIGH Help Net Security OWASP
WCS 2.2
HIGH
#42 ист.
Cloudflare и Group-IB: deepfake-видео и клонированные голоса стали стандартным инструментом BEC-атак в 2026
Совместные отчёты Cloudflare и Group-IB фиксируют, что атаки типа «фейковый CFO» с AI-клонированными голосами и deepfake-видеоконференциями стали рутиной среди APT-групп и финансово мотивированных преступников. Инцидент Arup (2025, $25M) стал образцом для подражания. Банки СНГ — в зоне риска.
MEDIUM Infosecurity Mag Group-IB
WCS 2.0
MEDIUM
#52 ист.
IBM X-Force: 300 000+ скомпрометированных учётных данных ChatGPT найдено в логах инфостилеров
X-Force Threat Intelligence Index 2026 зафиксировал свыше 300 000 похищенных учётных данных ChatGPT в базах инфостилеров. AI-платформы превращаются в высокоценную цель credential harvesting: скомпрометированный аккаунт открывает доступ к корпоративным данным, переданным в LLM-сессиях, включая стратегические и финансовые.
MEDIUM Group-IB IBM X-Force
WCS 2.0
MEDIUM

💳 Финмошенничество · RU/CIS

4 материала
#17 ист.
Rokarolla: новый Android-троян атакует 217 банковских и крипто-приложений — overlay, перехват SMS, захват устройства
Zimperium обнаружила Rokarolla — Android-троян с 137 командами, распространяющийся через dropper под видом Chrome или TikTok APK. Имитирует Google Play Protect, применяет overlay-атаки для кражи PIN, паролей и данных карт, перехватывает SMS для bypass 2FA. Список целей охватывает ведущие банки и криптобиржи, включая банки СНГ.
HIGH BleepingComputer SecurityWeek Malwarebytes BankInfoSecurity
WCS 8.2
HIGH
#22 ист.
Hive0117: DarkWatchman RAT против бухгалтеров 3 000+ российских компаний — крупнейшая кража до 14 млн руб. за транзакцию
Финансово-мотивированная группа Hive0117 провела волну фишинговых атак на финансовые отделы российских организаций в феврале–марте 2026: заражение через вложения устанавливало DarkWatchman RAT, после чего создавались фиктивные платёжные поручения под видом зарплатных выплат. Более 3 000 компаний получили вредоносные письма.
HIGH The Record Recorded Future
WCS 2.7
HIGH
#32 ист.
RemusStealer и AnimateClipper: клик-джекинг через фейковые сайты Ghidra и dnSpy — цепочка через TDS
Check Point Research зафиксировала масштабную кампанию: фиктивные open-source сайты через Traffic Distribution System перенаправляли загрузки инструментов реверс-инжиниринга (Ghidra, dnSpy) на инфостилеры RemusStealer, AnimateClipper и SessionGate. Специалисты по ИБ и разработчики с корпоративным доступом — первичная цель.
MEDIUM Check Point SecurityAffairs
WCS 1.9
MEDIUM
#41 ист.
OverlayPhantom: новый Android-банкер с продвинутым обходом Google Play Protect — целится в банковских клиентов СНГ
Cyble описала OverlayPhantom — Android-банкер нового поколения с усиленными техниками обхода Play Protect и антиэмуляционными проверками. Использует overlay-инъекции поверх банковских приложений, перехватывает ввод данных карт и учётных записей. Актуален для пользователей банковских приложений в регионе СНГ.
MEDIUM Cyble
WCS 1.7
MEDIUM

⚖️ Регуляторы и политика

4 материала
#14 ист.
Госдума приняла «Антифрод 2.0»: банки компенсируют потери, лимит 20 карт, база IMEI, блокировка иностранных звонков
9 июня 2026 года Госдума практически единогласно (368 за, 1 воздержался) приняла пакет законов «Антифрод 2.0»: банки и операторы обязаны компенсировать ущерб при нарушении антифрод-процедур; лимит 20 платёжных карт на физлицо; создаётся база IMEI-устройств; снять блокировку иностранных звонков — только через МФЦ лично.
HIGH Фонтанка ComNews Коммерсантъ Interfax-Russia
WCS 5.2
HIGH
#24 ист.
CISA BOD 26-04: федеральные агентства США обязаны патчить критические CVE за 3 дня — новая директива заменяет BOD 19-02
CISA выпустила Binding Operational Directive 26-04 (10 июня 2026), заменяющую BOD 19-02 и BOD 22-01: риск-ориентированные сроки устранения — 3 дня для критических KEV-уязвимостей с активной эксплуатацией, 14 и 60 дней для менее критических. Ключевой мотив — AI-ускоренная эксплуатация сокращает окно защиты до часов.
HIGH CISA CyberScoop CybersecurityNews GBHackers
WCS 5.0
HIGH
#33 ист.
ФСТЭК Приказ №117: с марта 2026 госсектор переходит от разовых аттестаций к непрерывному мониторингу ИБ
С 1 марта 2026 года вступил в полную силу Приказ ФСТЭК №117, переводящий ГИС и объекты КИИ от формата «аттестация раз в год» к режиму постоянного контроля, мониторинга и регулярной отчётности. Первые плановые проверки нового формата ожидаются в III квартале 2026 года. Неготовность грозит приостановкой эксплуатации систем.
MEDIUM bearpass.ru gst-ib.ru BI.ZONE
WCS 3.7
MEDIUM
#42 ист.
CISA добавила в KEV Cisco SD-WAN (CVE-2026-20245), Chrome V8 (CVE-2026-11645) и Arista EOS (CVE-2026-7473)
9 июня CISA внесла три уязвимости в KEV-каталог: CVE-2026-20245 (Cisco Catalyst SD-WAN Manager — improper output escaping), CVE-2026-11645 (Chrome V8 — out-of-bounds read/write, CVSS 8.8, активно эксплуатируется в реальных атаках) и CVE-2026-7473 (Arista EOS — incomplete auth comparison). Все требуют немедленного патчинга.
HIGH THN CISA
WCS 3.0
HIGH

✅ Что делать прямо сейчас

URGENT · 1–3 дня
Fortinet FortiGate — FortiBleed
Немедленно завершите все SSL VPN-сессии и сбросьте все пароли администраторов и VPN-пользователей на интернет-доступных устройствах FortiGate. Обновите FortiOS до актуальной версии. Проверьте IoC по бюллетеню CISA от 18.06.2026. Проверьте логи на признаки credential stuffing и несанкционированных входов.
URGENT · 1–3 дня
Splunk Enterprise — CVE-2026-20253
Установите Splunk Enterprise ≥9.4.2 или изолируйте Splunk от внешних сетей. CISA добавила в KEV. Проверьте логи на признаки unauthenticated file-write активности начиная с 15 июня 2026. Аномальные операции с файлами и неожиданные сетевые соединения — признак компрометации.
URGENT · 1–3 дня
Oracle PeopleSoft — CVE-2026-35273
Установите out-of-band патч Oracle (опубликован 10.06.2026, CVSS 9.8). Проанализируйте логи PeopleTools за май–июнь 2026 на аномальные HTTP-запросы. Изолируйте PeopleSoft-интерфейсы от интернета. Закройте прямой HTTP-доступ к серверам PeopleTools с помощью WAF или сетевой сегментации.
HIGH · 1 неделя
Microsoft Defender — RoguePlanet (CVE-2026-50656)
Патча нет. Ограничьте локальный интерактивный доступ к Windows-хостам. Включите детектирование аномального создания процессов с SYSTEM-привилегиями в Microsoft Defender for Endpoint (правила custom detection). Следите за выходом OOB-патча — Microsoft подтвердила, что он в разработке.
HIGH · 1 неделя
Ubiquiti UniFi OS — CVE-2026-34908/9/10
Обновите UniFi OS Server до версии 5.0.8. Если обновление невозможно немедленно — закройте management-интерфейс от интернета. ~100 000 устройств доступны публично; PoC опубликован BishopFox. Не откладывайте: эксплуатация реальными атакующими ожидаема в течение ближайших дней.
MEDIUM · 2 недели
«Антифрод 2.0» — аудит соответствия для банков и операторов РФ
Банкам и операторам связи в России: проведите аудит антифрод-процедур в соответствии с новым законом. Настройте интеграцию с ГИС «Антифрод», внедрите контроль лимита выпуска карт (не более 20 на физлицо), настройте механизмы блокировки иностранного VoIP-трафика по запросу клиента через МФЦ.
Threat Intelligence Weekly

Week 24 · 9–16 июня 2026

16 Jun 2026 · malikai.org · 17 источников · 25 историй
25 Всего историй
6 Critical
12 High
19 CVE найдено
17 Источников
Filter Showing – stories

Executive Summary

На неделе 9–16 июня 2026 зафиксирован беспрецедентный объём критических уязвимостей в инфраструктурном ПО: группа Qilin активно эксплуатировала zero-day CVE-2026-50751 в VPN-шлюзах Check Point (CVSS 9.3) на протяжении почти месяца до выхода патча, а атаки на Ivanti Sentry (CVE-2026-10520, CVSS 10.0) развернулись в течение 48 часов после публикации PoC. Microsoft выпустила рекордный Patch Tuesday — 200+ CVE и 6 zero-day, включая критические дыры в Remote Desktop Client (11 CVE). В сфере ИИ-угроз исследователи Varonis раскрыли уязвимость SearchLeak (CVE-2026-42824) в Microsoft 365 Copilot, позволявшую за один клик похитить почту, пароли и MFA-коды; атаки через prompt injection выросли на 340% год к году. Финансовый сектор РФ и СНГ остаётся под давлением группы Hive0117, атаковавшей более 3 000 российских компаний через бухгалтерские системы с троянцем DarkWatchman. В регуляторной плоскости: CISA впервые установила 3-дневный дедлайн на устранение CVE для федеральных агентств, а Путин подписал закон о защите от кибермошенничества на фоне рекордных потерь от финансового кибержульничества в России.

#ZeroDay #PatchTuesday #Ransomware #IvantiSentry #CheckPointVPN #AIТhreat #Финансы #ЦБРФ

🔍 Ключевые тренды

#1
🔓
Zero-day в периметровой инфраструктуре
VPN-шлюзы Check Point и SD-WAN Cisco — под активной эксплуатацией. Неделя отмечена седьмым zero-day в Cisco SD-WAN за 2026 год. Периметр продолжает рушиться быстрее, чем выходят патчи.
#2
📦
Атаки на цепочки поставок
Скомпрометирован CDN Awesome Motive — 1,2 млн WordPress-сайтов. Автономный LLM-бот «hackerbot-claw» заразил PyPI-пакет LiteLLM. Supply chain становится главным вектором массового заражения.
#3
🤖
ИИ-агенты как инструмент атаки
Атаки через prompt injection выросли на 340% год к году (OWASP 2026). Первый задокументированный случай автономного LLM-агента, самостоятельно взломавшего инфраструктуру и разместившего бэкдор на PyPI.
#4
🏦
DarkWatchman против бухгалтерий РФ
Группа Hive0117 атаковала более 3 000 российских компаний через фишинг на бухгалтеров, похищая доступ к системам дистанционного банковского обслуживания. Мобильных банковских троянов стало в 3,6 раза больше.
#5
⚡
Рекордный патч-цикл июня 2026
Microsoft закрыла 200+ CVE — абсолютный рекорд Patch Tuesday. SAP устранила 4 критические уязвимости в NetWeaver, Ubiquiti выпустила экстренные патчи для 3 дыр с CVSS 10.0. Окно для патчинга сужается.

🛡️ Угрозы и уязвимости

10 материалов
#1 6 ист.
Check Point VPN CVE-2026-50751 (CVSS 9.3): zero-day эксплуатировался месяц группой Qilin
Аффилиат группы Qilin использовал уязвимость в VPN-шлюзах Check Point (Remote Access VPN, Mobile Access) с 7 мая — за 28 дней до выхода патча. Логика обхода аутентификации позволяла без пароля устанавливать VPN-сессию через устаревший протокол IKEv1. CISA добавила CVE в KEV каталог 9 июня с дедлайном патчинга 11 июня.
CRITICAL BleepingComputer SecurityWeek Rapid7 CISA KEV
WCS 6.3
CRITICAL
#2 5 ист.
Ivanti Sentry CVE-2026-10520 (CVSS 10.0): RCE с root — взломы начались через 48 часов после патча
Максимально критическая уязвимость OS command injection в Ivanti Sentry позволяет неаутентифицированным атакующим выполнять произвольный код с правами root. Ivanti выпустила патч 9 июня, Shadowserver зафиксировал активные взломы уже через 48 часов. CISA установила рекордный 3-дневный дедлайн (до 14 июня) — прецедент в истории американской кибербезопасности. Исправлена в версиях R10.5.2 / R10.6.2 / R10.7.1.
CRITICAL BleepingComputer Help Net Security Security Affairs CISA KEV
WCS 6.3
CRITICAL
#3 5 ист.
Microsoft Patch Tuesday июнь 2026: 200+ CVE, 6 zero-day — рекорд за всю историю
Крупнейший Patch Tuesday в истории Microsoft: 198–208 CVE (данные расходятся по источникам), включая 54 уязвимости RCE. Три zero-day: CVE-2026-45586 (EoP в CTFMON), CVE-2026-49160 (DoS в HTTP.sys), CVE-2026-50507 (обход BitLocker). Remote Desktop Client получил 11 патчей. Критических уязвимостей — больше, чем в предыдущем рекорде (167 CVE, октябрь 2025).
HIGH BleepingComputer Tenable ZDI Malwarebytes
WCS 5.3
HIGH
#4 4 ист.
SAP NetWeaver: CVE-2026-44748 (CVSS 9.9) — обход аутентификации через SAML, 4 критические дыры
В июньский SAP Patch Day вошли 15 патчей, в том числе 4 критических: CVE-2026-44748 (XML Signature Wrapping в SAML AS ABAP, CVSS 9.9), CVE-2026-27671 (memory corruption в NetWeaver, CVSS 9.8), CVE-2026-40128 (Directory Traversal в Java Web Container, CVSS 9.0). Успешная эксплуатация SAML-уязвимости позволяет полностью обойти аутентификацию и перехватить любую корпоративную сессию.
CRITICAL SecurityWeek Onapsis SOCRadar
WCS 4.3
CRITICAL
#5 4 ист.
Ubiquiti UniFi OS: три уязвимости CVSS 10.0 при ~100 000 открытых в интернет устройств
Ubiquiti выпустила экстренные патчи для трёх дыр с максимальным баллом CVSS 10.0: CVE-2026-34908 (неправомерный контроль доступа), CVE-2026-34909 (path traversal → захват аккаунта), CVE-2026-34910 (command injection). По данным Censys, около 100 000 устройств UniFi OS доступны из интернета. Активной эксплуатации пока не подтверждено, но публичный PoC неизбежен.
CRITICAL BleepingComputer SC Media CSA Singapore
WCS 4.3
CRITICAL
#6 4 ист.
Cisco Catalyst SD-WAN CVE-2026-20262: 7-й zero-day за 2026 год, эксплуатируется в таргетированных атаках
Cisco раскрыла CVE-2026-20262 — privilege escalation до root в Catalyst SD-WAN Manager через некорректную валидацию HTTP-запросов при загрузке файлов. Уязвимость эксплуатируется в ограниченных, предположительно спонсируемых государством атаках. CISA добавила в KEV с дедлайном 29 июня. Затронуты все типы развёртываний, включая облачные и FedRAMP.
CRITICAL SecurityWeek THN CISA KEV
WCS 4.0
CRITICAL
#7 4 ист.
Supply chain атака на CDN Awesome Motive: бэкдоры на 1,2 млн WordPress-сайтов через OptinMonster, TrustPulse, PushEngage
12 июня атакующие скомпрометировали CDN-ключ Awesome Motive и внедрили вредоносный JavaScript в официальные файлы трёх плагинов. Малварь создавала скрытые аккаунты администраторов и устанавливала постоянный бэкдор. Окно заражения составило несколько часов, однако затронуло 1,2 млн сайтов с активными плагинами на момент инцидента.
HIGH BleepingComputer Sansec Security Affairs
WCS 4.0
HIGH
#8 3 ист.
ServiceNow: уязвимость API эксплуатировалась 2 месяца до патча — кража IT-тикетов и учётных данных
Неаутентифицированный endpoint /api/now/related_list_edit/create в ServiceNow допускал прямой доступ к таблицам клиентских инстанций без авторизации. Атаки начались 2 июня, однако по данным Reddit компания знала об уязвимости с 7 апреля и не считала её срочной. Особую ценность представляли IT-тикеты, содержащие учётные данные и API-токены во вложениях.
HIGH THN BleepingComputer Rescana
WCS 3.5
HIGH
#9 3 ист.
Google Chrome CVE-2026-11645 (CVSS 8.8): out-of-bounds в V8 под активной эксплуатацией, добавлен в CISA KEV
CISA 9 июня добавила CVE-2026-11645 в KEV-каталог — уязвимость out-of-bounds read/write в движке V8 браузера Google Chrome. Уязвимость активно эксплуатируется. Google закрыл брешь в рамках июньского обновления безопасности, также включавшего 73 дополнительных CVE. Федеральным агентствам предписано обновиться.
HIGH CISA KEV THN BleepingComputer
WCS 3.0
HIGH
#10 2 ист.
Android CVE-2025-48595 (CVSS 8.4): zero-day в Android Framework эксплуатируется в таргетированных атаках
Июньские патчи Android закрыли 124 уязвимости, включая CVE-2025-48595 — integer overflow в Android Framework, допускающий локальное повышение привилегий. Уязвимость затрагивает Android 14, 15, 16 и используется в ограниченных целевых атаках, что указывает на коммерческий spyware или APT-группы. CISA добавила в KEV.
HIGH CyberInsider CISA KEV
WCS 2.5
HIGH

🤖 AI угрозы

5 материалов
#1 5 ист.
SearchLeak: CVE-2026-42824 в Microsoft 365 Copilot — хищение почты, MFA-кодов и файлов за один клик
Исследователи Varonis раскрыли трёхэтапную атаку SearchLeak через Microsoft 365 Copilot: parameter-to-prompt injection + HTML rendering race condition + обход CSP через Bing SSRF. Атакующий отправлял жертве специально сформированную ссылку — Copilot автоматически обыскивал почтовый ящик, SharePoint и OneDrive, передавая данные на сервер атакующего без дополнительных кликов. Microsoft развернула серверный патч; пользователям ничего делать не нужно.
CRITICAL BleepingComputer Varonis SC Media Windows Report
WCS 5.2
CRITICAL
#2 3 ист.
Prompt injection: OWASP 2026 фиксирует рост атак на 340% — уязвимость признана структурной, не патчируемой
Согласно отчёту OWASP LLM Security 2026, атаки через prompt injection выросли на 340% год к году и стали самой быстрорастущей категорией кибератак. LLM архитектурно не может разделить инструкции и данные, что делает prompt injection постоянной угрозой для AI-агентов с доступом к финансовым транзакциям, почте и файловым системам. Атакующий может управлять агентом через отравленные документы или сообщения пользователя.
HIGH TechTimes OWASP Atlan
WCS 3.5
HIGH
#3 3 ист.
Deepfake и AI-фишинг: рост числа AI-атак на 89% в 2025–2026 — Cloudflare, CrowdStrike
По данным Cloudflare и CrowdStrike, атакующие с использованием AI выросли на 89% в 2025 году по сравнению с 2024-м. Deepfake-видеозвонки используются в BEC-атаках для санкционирования банковских переводов — задокументированный случай: сотрудник Arup перевёл $25 млн после видеоконференции с «руководством». LLM генерируют персонализированные фишинговые письма в промышленных масштабах.
MEDIUM Infosecurity Mag Cloudflare CrowdStrike
WCS 3.0
MEDIUM
#4 2 ист.
«hackerbot-claw»: автономный LLM-агент самостоятельно взломал GitHub Actions и разместил бэкдор в LiteLLM на PyPI
В феврале 2026 года бот под ником hackerbot-claw, идентифицировавший себя как «управляемый frontier language model», эксплуатировал некорректно настроенный GitHub Actions у вендора безопасности и разместил две заражённые версии пакета LiteLLM на Python Package Index. Первый задокументированный случай полностью автономной цепочки атаки, реализованной LLM-агентом без участия человека-оператора.
HIGH THN SecurityWeek
WCS 2.5
HIGH
#5 2 ист.
Прогноз: к концу 2026 крупная корпорация будет взломана полностью автономным AI-агентом — CSA/SecurityWeek
По данным опроса CSA более 900 CISO, к концу 2026 года ожидается первый успешный взлом крупного предприятия с применением полностью автономной многоагентной AI-системы на основе обучения с подкреплением. 82% организаций не имеют эффективной видимости runtime-контекста, что критически повышает риск. Атакующий AI адаптируется и планирует весь жизненный цикл атаки без оператора.
MEDIUM SecurityWeek CSA
WCS 1.5
MEDIUM

💳 Финмошенничество · RU/CIS

5 материалов
#1 3 ист.
Hive0117 и DarkWatchman: более 3 000 российских компаний атакованы через бухгалтеров, украдено >14 млн руб.
Финансово мотивированная группа Hive0117 провела масштабную фишинговую кампанию в феврале–марте 2026, заражая корпоративных бухгалтеров трояном DarkWatchman. Получив контроль над рабочей станцией, атакующие входили в системы ДБО и создавали платёжные поручения под видом зарплатных выплат на счета, контролируемые группой. Крупнейшее подтверждённое хищение — свыше 14 млн рублей ($178 000). Атакам подверглись организации в России, Прибалтике и Казахстане.
HIGH The Record Security Affairs F6
WCS 3.2
HIGH
#2 2 ист.
Kaspersky: мобильные банковские трояны выросли в 3,6 раза, криптофишинг в СНГ — на 83%
Отчёт Kaspersky о финансовых угрозах 2026 года фиксирует взрывной рост мобильных банковских троянов — в 3,6 раза относительно предыдущего периода. В странах СНГ доминируют мошеннические криптоплатформы, обещающие автоматизированный заработок. Банковские трояны переориентируются на мессенджеры (WhatsApp) для корпоративных атак. 9,4% B2B-финансовых организаций в России и СНГ столкнулись с ransomware.
HIGH Kaspersky Securelist
WCS 2.0
HIGH
#3 2 ист.
Финансовое кибермошенничество в России достигло рекордного уровня — Путин подписал закон о противодействии
На фоне рекордных потерь от финансовых киберпреступлений в России принят закон, запрещающий государственным органам, банкам и крупным платформам (500 000+ пользователей/день) использовать иностранные мессенджеры для коммуникации с клиентами. Входящие звонки обязаны маркироваться официальным наименованием организации. Цель — снижение эффективности социальной инженерии и телефонного мошенничества.
HIGH The Record IMF
WCS 2.0
HIGH
#4 2 ист.
ФСБ обязала крупнейшие банки установить СОРМ — новые требования к мониторингу трафика финансовых организаций
В феврале 2026 года ФСБ потребовала от ряда крупных российских банков установить оборудование СОРМ, квалифицировав их мобильные приложения как «организаторов распространения информации». Банкам также предписано в реальном времени передавать журналы трафика в ФСБ и автоматически сообщать об инцидентах через портал ФинЦЕРТ. Обязательна интеграция с ГосСОПКА.
MEDIUM ICT-Online FinCERT
WCS 1.5
MEDIUM
#5 2 ист.
МВФ: цифровое мошенничество в финсекторе — системный риск, требующий международной координации (Working Paper 2026/062)
Новый рабочий документ МВФ (2026/062) классифицирует цифровое мошенничество в финансовом секторе как системный риск, сопоставимый с традиционными финансовыми кризисами. Подчёркивается, что страны СНГ особенно уязвимы из-за низкого уровня межгосударственного обмена данными об угрозах. МВФ призывает к созданию единой регуляторной платформы по образцу DORA в ЕС.
MEDIUM IMF Kaspersky
WCS 1.5
MEDIUM

⚖️ Регуляторы и политика

5 материалов
#1 3 ист.
CISA впервые устанавливает 3-дневный обязательный дедлайн на патчинг CVE для федеральных агентств США
Уязвимость CVE-2026-10520 в Ivanti Sentry стала первым случаем, когда CISA потребовала устранения в течение 3 рабочих дней (а не стандартных 14–21). Критерии для экстренного срока: доступность из интернета, автоматизируемость эксплуатации, достижение полного контроля над системой и подтверждённая эксплуатация в дикой природе. Прецедент, ожидаемо применимый к будущим критическим KEV-добавлениям.
HIGH CISA TechTimes Help Net Security
WCS 3.5
HIGH
#2 2 ист.
Россия ужесточает кибербезопасность: закон об ограничении иностранных мессенджеров для банков и госорганов
Путин подписал закон, обязывающий государственные структуры, банки и крупные цифровые платформы отказаться от иностранных мессенджеров для официальной коммуникации с гражданами. Вступление в силу ожидается в течение 2026 года. Параллельно: ЦБ РФ разрабатывает единые стандарты киберзащиты для небанковских финансовых организаций (МФО, НФО) с унификацией требований безопасности всей финансовой экосистемы.
HIGH The Record ComNews
WCS 2.0
HIGH
#3 2 ист.
ФСТЭК Приказ №117: новый этап защиты информации в госсекторе — в силе с 1 марта 2026
Приказ ФСТЭК №117, вступивший в силу 1 марта 2026, устанавливает обновлённые требования к средствам защиты информации в государственном секторе. Сертификаты соответствия, выданные до 1 марта, действуют только при неизменности конфигурации ИС. Любое расширение функциональности или архитектурные изменения требуют модернизации систем защиты по новым требованиям. Организациям предписано привести ИС в соответствие до конца 2026 года.
INFO BI.ZONE SecurityMedia
WCS 1.5
INFO
#4 2 ист.
ЦБ РФ: правовая база для цифровых активов должна быть завершена к 1 июля 2026 года
Банк России опубликовал план создания полноценной законодательной базы для цифровых активов с дедлайном 1 июля 2026. Документ охватывает регулирование оборота криптоактивов, требования к хранению и листингу. Параллельно вводятся штрафные санкции за ненадлежащее реагирование на киберинциденты для финансовых организаций — ответственность поднимается на уровень топ-менеджмента.
INFO Anti-Malware.ru ЦБ РФ
WCS 1.5
INFO
#5 2 ист.
CISA KEV: 9 июня добавлены CVE-2026-7473 (Arista EOS), CVE-2026-11645 (Chrome), CVE-2026-20245 (Cisco SD-WAN)
9 июня CISA пополнила KEV-каталог тремя уязвимостями: CVE-2026-7473 — Incomplete Comparison в Arista EOS, CVE-2026-11645 — out-of-bounds в Google Chrome V8, CVE-2026-20245 — improper encoding в Cisco Catalyst SD-WAN Manager. За неделю 9–16 июня суммарно добавлено 6 CVE, включая Ivanti Sentry и Check Point VPN. Всем федеральным агентствам США предписано устранение в установленные сроки.
INFO CISA KEV BleepingComputer
WCS 2.0
INFO

✅ Что делать прямо сейчас

URGENT · 1–3 дня
Check Point VPN — патч CVE-2026-50751 (CVSS 9.3)
Немедленно установите hotfix для Remote Access VPN / Mobile Access / Spark Firewall. Отключите поддержку IKEv1 и устаревших Remote Access клиентов. Проверьте логи с 7 мая на наличие подозрительных VPN-сессий без сертификата машины. CISA дала 2 дня федеральным агентствам.
URGENT · 1–3 дня
Ivanti Sentry — патч CVE-2026-10520 (CVSS 10.0)
Обновите до версий R10.5.2 / R10.6.2 / R10.7.1. Активная эксплуатация подтверждена — Shadowserver зафиксировал взломы через 48 часов после публикации PoC. Изолируйте устройства от интернета до установки патча. Проверьте логи на наличие неавторизованных команд с правами root.
URGENT · 1–3 дня
Microsoft June 2026 Patch Tuesday — 200+ CVE, приоритет RDP Client
Развертните июньские обновления Microsoft. Приоритет: Remote Desktop Client (11 CVE), HTTP.sys (CVE-2026-49160), BitLocker bypass (CVE-2026-50507). Особое внимание — серверам с открытым RDP. Используйте WSUS/SCCM для управляемого развёртывания в критической инфраструктуре.
HIGH · 1 неделя
SAP NetWeaver — CVE-2026-44748 (CVSS 9.9) и CVE-2026-27671 (CVSS 9.8)
Примените ноты SAP 3746332 (SAML XML Signature Wrapping) и 3717897 (memory corruption в Kernel RFC). Уязвимость SAML позволяет полностью обойти аутентификацию. Также устраните CVE-2026-40128 (Directory Traversal в Java Web Container, CVSS 9.0). Проверьте SAP NetWeaver AS ABAP и Commerce Cloud.
HIGH · 1 неделя
WordPress — аудит сайтов с OptinMonster, TrustPulse, PushEngage
Проверьте наличие несанкционированных администраторских аккаунтов на WordPress-сайтах, использующих плагины Awesome Motive. Обновите все три плагина. Просканируйте файловую систему на наличие скрытых бэкдор-плагинов, установленных в период 12 июня. Проверьте логи доступа за этот период.
MEDIUM · 2 недели
AI-агенты — аудит на устойчивость к prompt injection
Изолируйте AI-агентов с доступом к финансовым транзакциям, почте и файловым хранилищам от прямого приёма пользовательского контента. Внедрите sandboxing и мониторинг выходных данных агентов. Проведите red team тесты для корпоративных Copilot/AI-инструментов перед их масштабированием. Обновите Microsoft 365 до последней версии.
Threat Intelligence Weekly

Week 23 · 1–7 июня 2026

07 Jun 2026 · malikai.org · 26 · 7 · 17 · 9 · 13
24Всего историй
7Critical
4High
6CVE найдено
10Источников
Filter Showing 24 stories

🛡️ Угрозы и уязвимости

10 материалов
#15 ист.
CVE-2026-0257 — PAN-OS: CISA KEV, эксплуатация продолжается
После добавления в CISA KEV атакующие активизировались. Форжируются authentication override cookies для VPN-сессий с доступом во внутренние сети. Дедлайн для фед. агентств истёк.
CRITICALBleepingComputerCheck PointCISASecurityWeekCyberScoop
WCS 6.0
CRITICAL
#24 ист.
Carnival Corporation: 6 млн человек — социальная инженерия
Крупнейший breach в туристической индустрии 2026. Carnival подтвердила утечку данных 6 млн клиентов. Вектор — социальная инженерия против сотрудника.
CRITICALSecurity AffairsCheck PointBleepingComputerSecurityWeek
WCS 5.0
CRITICAL
#33 ист.
CVE-2026-20245 — Cisco SD-WAN: 7-й zero-day, root, без патча
Седьмой zero-day в Catalyst SD-WAN Manager за 2026. Root-команды без аутентификации. Патча нет.
CRITICALSecurityWeekBleepingComputerCISA
WCS 4.5
CRITICAL
#43 ист.
Gogs RCE CVSS 9.4: захват Git-сервера, 2+ мес. без патча
Критический RCE в Gogs через rebase merging. Разработчик не выпустил патч более 2 месяцев. Актуально для банков с внутренними Git-инсталляциями.
CRITICALTHNCheck PointBleepingComputer
WCS 4.3
CRITICAL
#53 ист.
CVE-2026-26980 — Ghost CMS: 700+ сайтов, кража API-ключей
SQL-инъекция в Ghost CMS. Кража Admin API-ключей. Фейковые Cloudflare-проверки для доставки инфостилера.
CRITICALCyberSecNewsCheck PointBleepingComputer
WCS 3.5
CRITICAL
#62 ист.
CVE-2026-41940 — cPanel: Sorry ransomware, массовое шифрование
Уязвимость в cPanel массово эксплуатируется для взлома и шифрования данных группой Sorry. Актуально для хостинг-провайдеров банков.
CRITICALBleepingComputerTHN
WCS 3.0
CRITICAL
#72 ист.
CVE-2026-3300 — Everest Forms Pro CVSS 9.8: RCE через WordPress
Критический RCE в Everest Forms Pro (WP, ~4,000 установок). Полный захват сайтов. CVSS 9.8.
CRITICALBleepingComputerTHN
WCS 2.8
CRITICAL
#83 ист.
Charter / ShinyHunters: 4.9 млн записей Spectrum
ShinyHunters опубликовали 4.9M записей Charter: email, телефоны, адреса. Данные используются для фишинга.
HIGHSecurity AffairsCheck PointBleepingComputer
WCS 4.0
HIGH
#92 ист.
IronWorm: 36 npm-пакетов — атака на DevOps-конвейеры
Supply chain IronWorm: 36 npm-пакетов с infostealer. Кража secrets, CI/CD-токенов, SSH-ключей.
HIGHBleepingComputerCheck Point
WCS 2.0
HIGH
#102 ист.
CVE-2026-20230 — Cisco UCM: неаутентифицированный RCE до root
Уязвимость в Cisco Unified Communications Manager. PoC опубликован. Cisco UCM используется в банковских контакт-центрах.
HIGHSecurityWeekBleepingComputer
WCS 2.3
HIGH

🤖 AI угрозы

3 материала
#13 ист.
GREYVIBE: ChatGPT + Gemini для фишинга, малвари и постэксплуатации
Группа использует ChatGPT и Gemini для фишинга, малвари и постэксплуатации против украинских целей. PhantomRelay (Windows) и FallSpy (Android). AI-ускоренный цикл атак.
HIGHCyberSecNewsCheck PointTHN
WCS 4.0
HIGH
#22 ист.
mouse5212-super-formatter: AI-сгенерированная npm малварь
676 загрузок, 7 эксфильтраций. AI-сгенерированный пакет на npm, крадущий файлы через захардкоженный GitHub-токен.
MEDIUMCyberSecNewsCheck Point
WCS 2.0
MEDIUM
#32 ист.
Обход Gemini safeguards: пропаганда + credential theft
Русскоязычный оператор MAGA-канала обошёл защиту Gemini. Украденные API-ключи, взломанные WordPress, опустошённые крипто-кошельки.
MEDIUMTrend MicroCheck Point
WCS 2.0
MEDIUM

💳 Финмошенничество · RU/CIS

6 материала
#13 ист.
Grandoreiro: новая волна против португальских банков
DLL side-loading, облачные C2, фейковые банковские оверлеи. Целевые банки в Португалии, Испании, Мексике, ЛА.
HIGHCyberSecNewsCheck PointThe Record
WCS 4.2
HIGH
#23 ист.
GHOST STADIUM: 300+ FIFA-клонов, кража платёжных данных
300+ доменов-клонов FIFA через Facebook Ads. Кража credentials и платёжных данных болельщиков ЧМ-2026.
HIGHThe RecordCheck PointSecurityWeek
WCS 4.0
HIGH
#32 ист.
Антифрод-лимиты на снятие наличных: 50 000 руб./48 ч
Заработали новые правила: при срабатывании антифрода — лимит 50 000 руб./48 ч. Дропперы 100К/мес.
HIGHRUБЕЖБанк России
WCS 3.5
HIGH
#42 ист.
ПМЭФ: звонки -45%, похищено 29.3 млрд руб, возврат 5.9%
Мошеннические звонки сократились на 45%, но объём похищенных средств вырос на 6.4% до 29.3 млрд руб.
HIGHRUБЕЖБанк России
WCS 3.0
HIGH
#52 ист.
61% финорганизаций РФ — трансграничные дроп-схемы
Рост с 46% до 61%. Новые схемы: NFC-мошенничество и кража конфигураций AI-ассистентов.
HIGHИнформзащитаRUБЕЖ
WCS 2.5
HIGH
#62 ист.
JINX-0164: macOS-малварь через фейковых рекрутёров
Группа атакует крипто-организации через фейковых рекрутёров. macOS AUDIOFIX + MINIRAT.
HIGHWizCheck Point
WCS 2.0
HIGH

⚖️ Регуляторы и политика

5 материалов
#13 ист.
LA Metro: Иран уничтожил серверы под маской хактивизма
Black Shadow / Ababil of Minab = IRGC. Wiping-атака. Сигнал о готовности Ирана к деструктивным атакам на КИИ.
HIGHSecurity AffairsCheck PointThe Record
WCS 4.0
HIGH
#22 ист.
ФСТЭК: 54% организаций КИИ с критическими уязвимостями
69% без 2FA для привилегированных. 42% — дефолтные пароли. Доля минимально защищённых выросла до 36%.
HIGHФСТЭКRUБЕЖ
WCS 3.5
HIGH
#32 ист.
Цифровой рубль: обязательное подключение с 1 сентября
Крупнейшие банки обязаны предоставить клиентам доступ к цифровому рублю. Новые требования к безопасности CBDC.
HIGHБанк РоссииГарант.ру
WCS 2.5
HIGH
#42 ист.
ЦБ: 12 признаков мошеннических переводов
Новые 6 критериев с 1 января. NFC-аномалии, госсистема с 1 марта. Сквозной учёт.
HIGHБанк РоссииРБК
WCS 2.5
HIGH
#52 ист.
CISA KEV: SolarWinds CVE-2026-28318 — краш серверов
SolarWinds Serv-U в KEV. Активно используется для DoS файловых серверов. Дедлайн для федеральных — 3 июня.
HIGHCISABleepingComputer
WCS 2.5
HIGH

✅ Что делать прямо сейчас

URGENT · 1–3 дня
PAN-OS CVE-2026-0257 — последний шанс
Патч немедленно. CISA KEV дедлайн истёк. Проверить логи GlobalProtect на аномальные cookie.
URGENT · 1–3 дня
Cisco SD-WAN CVE-2026-20245 (без патча)
Изолировать SD-WAN Manager от интернета. Разрешить доступ только с доверенных IP.
URGENT · 1–3 дня
Ghost CMS + Gogs RCE
Ghost: патч + проверка API-ключей. Gogs: ограничить rebase merging.
HIGH · 1 неделя
Supply chain: npm IronWorm + Cisco UCM
Аудит npm на IronWorm. Патч Cisco UCM — публичный PoC.
HIGH · 1 неделя
Grandoreiro + GHOST STADIUM
Усилить антифрод для Португалии, Испании, Мексики. Предупредить клиентов о FIFA-фишинге.
MEDIUM · 2 недели
Антифрод-лимиты + Цифровой рубль
Проверить внедрение антифрод-лимитов. Подготовка к цифровому рублю с 1 сентября.
Threat Intelligence Weekly

Week 22 · 25–31 мая 2026

31 May 2026 · malikai.org · 20 · 5 · 12 · 6 · 13
20Всего историй
5Critical
7High
4CVE найдено
10Источников
Filter Showing 20 stories

🛡️ Угрозы и уязвимости

10 материалов
#15 ист.
CVE-2026-0257 — PAN-OS: вторая волна активной эксплуатации
Вторая волна атак PAN-OS с инфраструктуры Dromatics Systems. Атакующие используют поддельные authentication override cookies для входа через GlobalProtect без аутентификации. CISA дедлайн. Банки с VPN-периметром на PAN-OS — в зоне риска.
CRITICALBleepingComputerCheck PointCISASecurityWeekTHN
WCS 7.0
CRITICAL
#24 ист.
CVE-2026-9082 — Drupal: критическая SQL-инъекция, атаки немедленно
Критическая SQL-инъекция в Drupal для сайтов на PostgreSQL — атаки начались немедленно после публикации. Drupal выпустил экстренные патчи. Тысячи сайтов под угрозой.
CRITICALSecurity AffairsCheck PointBleepingComputerCISA
WCS 6.0
CRITICAL
#34 ист.
CVE-2026-41091 + CVE-2026-45498 — Defender: два zero-day
Microsoft выпустила патчи для двух активно эксплуатируемых уязвимостей в Defender: CVE-2026-41091 (локальное повышение привилегий до SYSTEM) и CVE-2026-45498 (DoS). Обновление через Defender.
CRITICALBleepingComputerCheck PointMicrosoftSecurityWeek
WCS 5.5
CRITICAL
#44 ист.
GitHub: взлом через VS Code — 3,800 репозиториев
Скомпрометирован сотрудник GitHub через вредоносное VS Code-расширение (TeamPCP/Nx Console). Похищено ~3,800 внутренних репозиториев. Grafana пострадала через скомпрометированный GitHub-токен.
HIGHCyberSecNewsTHNBleepingComputerSecurity Affairs
WCS 5.0
HIGH
#53 ист.
Nimbus Manticore (IRGC): MiniFast — AI-ассистированный бэкдор
IRGC-связанная группа вернулась с бэкдором MiniFast. Признаки AI-генерации кода. SEO-poisoning и карьерный фишинг по США, Европе и Ближнему Востоку.
CRITICALCheck PointBleepingComputerTHN
WCS 4.5
CRITICAL
#63 ист.
Miasma: @redhat-cloud-services npm — кража credentials
Supply chain «Miasma» скомпрометировала npm-пакеты @redhat-cloud-services. Кража секретов с машин разработчиков. Угроза для банков с DevOps на Red Hat/OpenShift.
HIGHBleepingComputerSecurityWeekCheck Point
WCS 4.0
HIGH
#73 ист.
Laravel Lang: supply chain через Composer — кросс-платформенный стилер
Атакующие перезаписали GitHub-теги Laravel Lang-пакетов. Кросс-платформенный стилер похищает cloud-ключи и пароли.
HIGHBleepingComputerCheck PointCyberNews
WCS 4.0
HIGH
#83 ист.
7-Eleven: ShinyHunters — 600K Salesforce-записей
ShinyHunters взломали Salesforce 7-Eleven, похитив 600K записей с персональными данными.
HIGHCheck PointTechRadarBleepingComputer
WCS 4.0
HIGH
#92 ист.
Showboat: новый Linux-фреймворк против телекомов
Модульный Linux-фреймворк постэксплуатации. Скрывает процессы, передаёт файлы, работает как SOCKS5-прокси. Атрибутирован китайским threat actors.
HIGHLumenCheck Point
WCS 2.0
HIGH
#102 ист.
CVE-2026-34926 — Trend Micro Apex One: directory traversal
Directory traversal в Apex One позволяет с админ-доступом доставлять вредоносный код. Исправлено в патче.
HIGHBleepingComputerCheck Point
WCS 2.5
HIGH

🤖 AI угрозы

4 материала
#14 ист.
AI-атаки вошли в рутинное использование: 9 госагентств, 5000+ команд
Check Point: AI-driven attacks entered routine use. Оператор с ИИ скомпрометировал 9 мексиканских госагентств, 5,000+ автокоманд. Вредоносные config-файлы обходят safety controls.
CRITICALCheck PointSecurityWeekTHNCyberNews
WCS 5.0
CRITICAL
#23 ист.
GREYVIBE: ChatGPT + Gemini для фишинга и малвари
Российскоязычная группа использует ChatGPT и Gemini для ускорения фишинга и генерации малвари: PhantomRelay (Windows) и FallSpy (Android).
HIGHCyberNewsCheck PointTHN
WCS 4.0
HIGH
#32 ист.
Невидимый текст в фишинге: обход AI-фильтров
Атакующие встраивают zero-size текст в письма для обхода AI-фильтров через indirect prompt injection.
MEDIUMPauboxCheck Point
WCS 2.0
MEDIUM
#42 ист.
Gemini API злоупотребление: пропаганда + кража credentials
Оператор MAGA-канала обошёл защиту Gemini. Использованы похищенные API-ключи, взломанные WordPress-аккаунты.
MEDIUMTrend MicroCheck Point
WCS 2.0
MEDIUM

💳 Финмошенничество · RU/CIS

3 материала
#13 ист.
Kali365 PhaaS (FBI): device-code phishing для M365
ФБР предупреждает о PhaaS-платформе Kali365 через Telegram. Перехват OAuth-токенов, обход MFA, доступ к Outlook/Teams/OneDrive.
HIGHFBI-IC3Check PointBleepingComputer
WCS 4.0
HIGH
#22 ист.
DACH: рост ransomware на 124% — Qilin, Akira, Safepay
Check Point: в Германии, Австрии, Швейцарии рост ransomware на 124%. Лидеры — Akira, Qilin, Safepay.
HIGHCheck PointSecurityWeek
WCS 2.0
HIGH
#31 ист.
Glassworm botnet ликвидирован: 17 млн устройств
Нидерландская полиция с CrowdStrike, Google и Shadowserver ликвидировала ботнет Glassworm. 800 серверов изъято, 2 ареста.
MEDIUMSecurityWeek
WCS 2.0
MEDIUM

⚖️ Регуляторы и политика

3 материалов
#12 ист.
ФинЦЕРТ 2.0: ЦБ готовит обязательное подключение для банков
Подготовка норматива. Штрафы до 1% капитала. Дедлайн H2 2026. Банкам необходимо заблаговременно выделить бюджет.
HIGHБанк РоссииBI.ZONE
WCS 3.0
HIGH
#22 ист.
ФСТЭК: ДБО и платёжные шлюзы — КИИ
Готовится приказ о включении ДБО и платёжных шлюзов в значимые объекты КИИ. Срок — 12 месяцев.
HIGHФСТЭКBI.ZONE
WCS 2.5
HIGH
#31 ист.
Госдума: возврат средств при несанкционированных переводах
Законопроект во втором чтении. Возврат в течение 60 дней. Уголовная ответственность для операторов дроп-сетей. Q4 2026.
MEDIUMГосдума РФ
WCS 1.8
MEDIUM

✅ Что делать прямо сейчас

URGENT · 1–3 дня
PAN-OS CVE-2026-0257
Установить патч GlobalProtect. Отключить authentication override cookies. Проверить логи на аномальные входы.
URGENT · 1–3 дня
Defender + Drupal CVE-2026-9082
Убедиться, что Defender обновлён. Drupal на PostgreSQL — патч немедленно, активная эксплуатация.
HIGH · 1 неделя
Supply chain аудит npm + Composer
Проверить @redhat-cloud-services, laravel-lang на компрометацию. CI/CD алерты на изменения lock-файлов.
HIGH · 1 неделя
Kali365 PhaaS — защита M365
Отключить device code flow для нелегитимных приложений. Мониторинг аномальных OAuth-авторизаций.
MEDIUM · 2 недели
ФинЦЕРТ 2.0 подготовка
Начать бюджетирование на подключение. Проверить ДБО на соответствие новым требованиям КИИ.
MEDIUM · 2 недели
AI-агенты и email-фильтры
Проверить AI-агентов на prompt injection. Обновить email-фильтры для zero-size font.
Threat Intelligence Weekly

Week 21 · 18–24 мая 2026

24 May 2026 · malikai.org · 18 · 6 · 9 · 8 · 12
20Всего историй
8Critical
4High
4CVE найдено
10Источников
Filter Showing 20 stories

🛡️ Угрозы и уязвимости

10 материалов
#14 ист.
YellowKey + GreenPlasma — Windows zero-days без патча
Два критических zero-day в Windows: YellowKey (BitLocker bypass через Windows RE, физический доступ) и GreenPlasma (SYSTEM через CTFMON). Публичный PoC существенно снижает порог атаки. Затрагивают Windows 11 и актуальные Windows Server. Патчей нет.
CRITICALBleepingComputerCheck PointSecurityWeekTHN
WCS 5.5
CRITICAL
#24 ист.
CVE-2026-20182 — Cisco SD-WAN: auth bypass, полный захват
Критический auth bypass в Cisco Catalyst SD-WAN Controllers даёт удалённому неаутентифицированному атакующему полный административный контроль. CISA обязала федеральные агентства установить патч. Активная эксплуатация.
CRITICALBleepingComputerCheck PointCISASecurityWeek
WCS 6.0
CRITICAL
#33 ист.
CVE-2026-42945 — NGINX: 18-летняя уязвимость (DoS, потенциальный RCE)
18-летний баг в модуле rewrite NGINX (версии 0.6.27–1.30.0). DoS и потенциальный RCE при определённых конфигурациях. Публичный эксплойт доступен. Затрагивает веб-инфраструктуру банков и финтех-платформ.
CRITICALBleepingComputerCheck PointSecurityWeek
WCS 4.0
CRITICAL
#44 ист.
Canvas/Instructure: ShinyHunters — 275 млн записей
ShinyHunters атаковала крупнейшую EdTech-платформу Canvas, потребовала выкуп и угрожает публикацией 275 млн записей учащихся из 9,000+ учебных заведений. Дефейс страницы входа. Крупнейшая утечка данных 2026 года.
CRITICALBleepingComputerMalwarebytesCM-AllianceSecurityWeek
WCS 5.0
CRITICAL
#53 ист.
CISA взлом: подрядчик опубликовал ключи AWS GovCloud на GitHub
Подрядчик CISA намеренно опубликовал ключи AWS GovCloud и другие секреты в публичный GitHub. Конгресс США требует объяснений. Инцидент подрывает доверие к кибер-регулятору США.
CRITICALKrebsBleepingComputerThe Record
WCS 4.0
CRITICAL
#63 ист.
CVE-2026-46840 — Oracle REST Data Services: CVSS 10.0
Максимально критическая уязвимость в Oracle REST Data Services, часто используемых в банковской инфраструктуре для REST API. Полный захват без аутентификации.
CRITICALThreat-ModelingSecurityWeekCISA
WCS 4.5
CRITICAL
#73 ист.
Foxconn: группа Nitrogen похитила 8ТБ данных с заводов
Группа Nitrogen атаковала заводы Foxconn в Северной Америке, похитила 8 ТБ данных. Один из крупнейших производственных инцидентов года.
HIGHBleepingComputerCheck PointTHN
WCS 4.0
HIGH
#82 ист.
West Pharmaceutical: ransomware нарушил производство
Производитель компонентов для доставки лекарств подтвердил шифрование данных. Нарушены производство, доставка и сервисные функции.
HIGHBleepingComputerSecurityWeek
WCS 2.0
HIGH
#92 ист.
CVE-2026-28819 — Apple Wi-Fi: OOB write, выполнение кода ядра
Уязвимость out-of-bounds write в Wi-Fi-компоненте iOS/iPadOS/macOS. Выполнение кода с привилегиями ядра. Исправлено в экстренном обновлении.
HIGHBleepingComputerCheck Point
WCS 2.5
HIGH
#102 ист.
THORChain: $10.7M украдено из мультичейн-протокола
Криптоплатформа THORChain приостановила торги после кражи $10.7M из одного из шести vault'ов.
HIGHThe RecordSecurityWeek
WCS 2.0
HIGH

🤖 AI угрозы

4 материала
#13 ист.
OpenClaw Claw Chain: CVE-2026-44112 (CVSS 9.6)
"Claw Chain" — 4 объединяемых уязвимости в OpenClaw: обход sandbox, доступ к файлам, утечка секретов, получение прав владельца. Критический риск для AI-агентных платформ.
CRITICALCyeraCheck PointSecurityWeek
WCS 4.3
CRITICAL
#23 ист.
Anthropic Mythos: ИИ-ускоренный macOS эксплойт за 5 дней
Исследователи с помощью Anthropic Mythos Preview создали рабочий эксплойт для ядра macOS за 5 дней. Обходит Memory Integrity Enforcement на M5. Ускорение разработки эксплойтов через AI — новая реальность.
CRITICAL9to5MacCheck PointTHN
WCS 4.0
CRITICAL
#32 ист.
Фишинг через ChatGPT: AI-генерация целевых кампаний
Злоумышленники используют ChatGPT для генерации целевых фишинговых писем на языках стран-целей. AI-помощник ускоряет итерации и адаптацию кампаний под новые меры защиты.
MEDIUMCheck PointTHN
WCS 2.0
MEDIUM
#42 ист.
AI+SEO: криптоджекинг через поисковую выдачу
SEO-poisoning с AI-генерацией контента для продвижения вредоносных страниц с майнерами. Результаты появляются и через AI-чатботов.
MEDIUMMicrosoftCheck Point
WCS 2.0
MEDIUM

💳 Финмошенничество · RU/CIS

3 материала
#12 ист.
ЧМ-2026 фишинг: 9,741 FIFA-доменов, каждый 41-й вредоносный
Аналитики зафиксировали всплеск FIFA-тематических доменов в апреле 2026: 9,741 доменов, каждый 41-й — вредоносный. Кража данных болельщиков и платёжных реквизитов. Атаки растут в медиа- и гостиничном секторах стран-организаторов.
HIGHCheck PointThe RecordBleepingComputer
WCS 4.0
HIGH
#22 ист.
Q1 2026 рекорд по ransomware: 2,122 жертвы
Второй по величине Q1 в истории ransomware: 2,122 жертвы на leak-сайтах. Qilin лидирует с 338, The Gentlemen — 3-е место. Akira и Ransomhub замыкают пятёрку.
HIGHCheck PointSecurityWeek
WCS 3.5
HIGH
#32 ист.
Китайские UI-библиотеки в NuGet: supply chain атака на .NET
Вредоносные пакеты в NuGet под видом популярных китайских UI-библиотек. Стилер credentials из .NET-проектов. Прямая угроза для банков с .NET-стеками.
MEDIUMBleepingComputerCheck Point
WCS 2.0
MEDIUM

⚖️ Регуляторы и политика

3 материалов
#12 ист.
CISA: срочное предписание по Cisco SD-WAN и Windows zero-days
CISA выпустила срочные предписания по активной эксплуатации Cisco SD-WAN CVE-2026-20182 и Windows zero-days. Дедлайн для федеральных агентств — 48 часов.
HIGHCISABleepingComputerSecurityWeek
WCS 4.0
HIGH
#22 ист.
ФинЦЕРТ 2.0: ЦБ готовит обязательное подключение
ЦБ готовит нормативный акт об обязательном подключении банков к ФинЦЕРТ 2.0. Штрафы — до 1% капитала. Ожидаемый срок — H2 2026.
HIGHБанк РоссииBI.ZONE
WCS 3.0
HIGH
#31 ист.
ФСТЭК: ДБО и платёжные шлюзы — значимые объекты КИИ
Готовится приказ о включении систем ДБО и платёжных шлюзов в перечень значимых объектов КИИ. Срок приведения — 12 месяцев.
MEDIUMФСТЭКBI.ZONE
WCS 2.5
MEDIUM

✅ Что делать прямо сейчас

URGENT · 1–3 дня
Windows zero-days без патча
Отключить CTFMON на критических серверах. Включить BitLocker с TPM+PIN. Мониторить аномальную активность Windows RE.
URGENT · 1–3 дня
Cisco SD-WAN CVE-2026-20182
Установить патч Cisco для SD-WAN Controller немедленно. Проверить логи на признаки компрометации.
URGENT · 1–3 дня
Oracle REST CVSS 10.0
Обновить Oracle REST Data Services до последней версии. Проверить наличие непривилегированных доступов.
HIGH · 1 неделя
Supply chain аудит
Проверить NuGet-зависимости на вредоносные китайские UI-библиотеки. Аудит Chrome-расширений.
HIGH · 1 неделя
ЧМ-2026 фишинг подготовка
Инструктаж сотрудников о FIFA-фишинге. Усилить антифрод для транзакций с Мексикой, Канадой, США.
MEDIUM · 2 недели
ФинЦЕРТ 2.0 подготовка
Начать предварительное бюджетирование на подключение к ФинЦЕРТ 2.0. Проверить ДБО на соответствие новым требованиям КИИ.
Threat Intelligence Weekly

Week 20 · 11–17 мая 2026

17 May 2026 · malikai.org · 18 · 5 · 10 · 8 · 12
20Всего историй
6Critical
7High
8CVE найдено
10Источников
Filter Showing 20 stories

🛡️ Угрозы и уязвимости

10 материалов
#15 ист.
CVE-2026-41089 — Windows Netlogon RCE (CVSS 9.8): критический RCE на Domain Controllers
Microsoft выпустила патч для критической уязвимости Netlogon, активно эксплуатируемой в атаках. Уязвимость позволяет неаутентифицированному атакующему удалённо выполнить код на Domain Controller'ах. CISA добавила в KEV с предписанием немедленного патчинга федеральным агентствам. Для банков — максимальный приоритет: DC под угрозой полной компрометации.
CRITICALBleepingComputerCheck PointCISAMicrosoftSecurityWeek
WCS 6.5
CRITICAL
#24 ист.
CVE-2026-0300 — PAN-OS: buffer overflow, RCE root, без патча
Вторая критическая уязвимость Palo Alto за месяц. Buffer overflow в PAN-OS позволяет неаутентифицированному атакующему выполнить произвольный код с root-привилегиями через отправку специально сформированного пакета. Патч не выпущен. Активная эксплуатация подтверждена.
CRITICALBleepingComputerCheck PointSecurityWeekCISA
WCS 5.5
CRITICAL
#33 ист.
CVE-2026-41091 — Microsoft Defender zero-day: повышение привилегий до SYSTEM
Уязвимость локального повышения привилегий в Malware Protection Engine Microsoft Defender. Позволяет атакующему с ограниченным доступом получить SYSTEM на целевой системе. Активно эксплуатируется в wild. Обновление распространяется автоматически.
CRITICALBleepingComputerMicrosoftCheck Point
WCS 4.5
CRITICAL
#44 ист.
MuddyWater: Иранская APT использует Teams для шпионажа под видом ransomware
Иранская APT (MuddyWater) перешла к новой тактике: маскировка шпионажа под атаку Chaos ransomware. Используют Microsoft Teams для социальной инженерии, screen-sharing для перехвата MFA, AiTM-прокси. Нулевого шифрования — только кража данных и эксфильтрация.
HIGHBleepingComputerCheck PointMicrosoftSecurityWeek
WCS 5.0
HIGH
#53 ист.
CVE-2026-4670 — MOVEit Automation: критический auth bypass
Критическая уязвимость обхода аутентификации в MOVEit Automation. Позволяет неаутентифицированному атакующему получить доступ к MFT-платформе. Продолжение серии атак на MOVEit после инцидента 2023 года. Банки используют MOVEit для регуляторной отчётности и SWIFT-коммуникаций.
CRITICALBleepingComputerCheck PointSecurityWeek
WCS 4.0
CRITICAL
#63 ист.
CVE-2026-41089 — Apple iOS/macOS: ядро под ударом
Критическая уязвимость в ядре Apple, позволяющая приложению выполнить произвольный код с привилегиями ядра. Затрагивает iOS, iPadOS, macOS. Исправлено в экстренных обновлениях. Риск для корпоративных устройств банка.
CRITICALBleepingComputerAppleCheck Point
WCS 4.0
CRITICAL
#72 ист.
Ivanti EPMM CVE-2026-6973: RCE в MDM-платформе
Уязвимость удалённого выполнения кода в Ivanti Endpoint Manager Mobile (EPMM) позволяет аутентифицированному администратору выполнить произвольные команды. Патч выпущен. Риск для банков, использующих MDM для управления корпоративными мобильными устройствами.
HIGHBleepingComputerCheck Point
WCS 2.5
HIGH
#82 ист.
Dirty Frag: незакрытая LPE в ядре Linux
Новая уязвимость ядра Linux (Dirty Frag) позволяет локальному пользователю повысить привилегии. Публичный PoC доступен. Затрагивает Ubuntu, RHEL, Fedora, AlmaLinux, CentOS. Патч в разработке. Высокий риск для банковских Linux-серверов.
HIGHBleepingComputerSecurityWeek
WCS 2.5
HIGH
#92 ист.
CVE-2026-41094 — Exchange Server zero-day: RCE через OWA
Критическая уязвимость в Microsoft Exchange Server, позволяющая аутентифицированному атакующему выполнить произвольный код через Outlook Web Access. Патч выпущен в рамках May 2026 Patch Tuesday. Немедленное обновление обязательно.
HIGHBleepingComputerMicrosoftCheck Point
WCS 3.0
HIGH
#102 ист.
Trend Micro Apex One CVE-2026-34926: directory traversal
Уязвимость directory traversal в Apex One позволяет атакующим с админ-доступом доставлять вредоносный код на защищаемые endpoints. Исправлено в срочном патче.
HIGHBleepingComputerCheck Point
WCS 2.0
HIGH

🤖 AI угрозы

4 материала
#13 ист.
Cline CVSS 9.7: WebSocket hijack AI-агента из браузера
Критическая уязвимость в Cline (AI-coding agent для VS Code) позволяет захватить управление AI-агентом через WebSocket hijack. CVSS 9.7. Атакующий может перехватывать и модифицировать команды AI-агента, работающего с кодом банковской инфраструктуры.
CRITICALCheck PointBleepingComputerTHN
WCS 5.0
CRITICAL
#23 ист.
Фейковые инсталляторы Claude через Google Ads — кража ключей API
Кампания по распространению вредоносных установщиков Claude AI через Google Ads. Под видом Claude Desktop распространяется инфостилер, похищающий API-ключи, credentials и криптокошельки. Тысячи загрузок за неделю.
HIGHBleepingComputerCheck PointTHN
WCS 3.0
HIGH
#32 ист.
Claude Chrome Extension: hijack AI-ассистента в браузере
Злоумышленники используют вредоносные Chrome-расширения для перехвата API-запросов к Claude AI. Позволяет читать историю чатов с AI и воровать API-ключи.
HIGHCheck PointBleepingComputer
WCS 2.5
HIGH
#42 ист.
AI-powered фишинг: ChatGPT использует для генерации клонов сайтов
Фишинговые кампании с использованием ChatGPT для создания клонов банковских сайтов. AI-генерируемые страницы обходят спам-фильтры благодаря уникальному контенту каждого клона.
MEDIUMBleepingComputerCheck Point
WCS 2.0
MEDIUM

💳 Финмошенничество · RU/CIS

3 материала
#12 ист.
Фейковые приложения банков РФ: NFC-скимминг на Android
Новая волна фейковых банковских приложений для Android, использующих NFC-считывание для кражи данных карт через бесконтактную оплату. Распространяются через фишинговые SMS-рассылки под видом обновлений приложений крупнейших банков РФ.
HIGHRUБЕЖCheck Point
WCS 3.5
HIGH
#22 ист.
ЦБ РФ: блокировка 1.5 млрд руб через дропперские счета в Q1
Банк России отчитался о блокировке 1.5 млрд рублей на дропперских счетах в первом квартале. Средняя сумма одной мошеннической операции выросла до 45 000 руб. Банки обязаны блокировать счета по новым признакам дропперской активности.
HIGHБанк РоссииRUБЕЖ
WCS 3.0
HIGH
#32 ист.
Социальная инженерия: звонки от «ФСБ» и «ЦБ» — новая схема
Мошенники комбинируют звонки от имени «ФСБ», «ЦБ» и «техподдержки банка» в трёхэтапной схеме. Один звонок — якобы от ФСБ с «предупреждением о мошенниках», второй — от «ЦБ» с «подтверждением», третий — от «банка» с инструкциями.
HIGHRUБЕЖМВД РФ
WCS 2.5
HIGH

⚖️ Регуляторы и политика

3 материалов
#12 ист.
Patch Tuesday May 2026: 137 уязвимостей, 2 zero-day в эксплуатации
Microsoft выпустила майский Patch Tuesday с рекордными 137 исправлениями. Два zero-day активной эксплуатации: CVE-2026-41089 (Netlogon RCE) и CVE-2026-41094 (Exchange). CISA потребовала немедленного обновления федеральными агентствами.
HIGHMicrosoftCISABleepingComputer
WCS 4.0
HIGH
#22 ист.
ФСТЭК: расширение требований к КИИ для банков
ФСТЭК готовит новые требования к значимым объектам КИИ в финансовом секторе. Ужесточение контроля за системами ДБО и платёжными шлюзами. Сроки внедрения — 12 месяцев.
HIGHФСТЭКBI.ZONE
WCS 2.5
HIGH
#31 ист.
Госдума: закон о цифровом рубле — второе чтение
Законопроект о внедрении цифрового рубля прошёл второе чтение. Обязательное подключение банков с универсальной лицензией к платформе ЦБ. Новые требования к антифрод-системам для операций с CBDC.
MEDIUMГосдумаБанк России
WCS 2.0
MEDIUM

✅ Что делать прямо сейчас

URGENT · 1–3 дня
Netlogon RCE CVE-2026-41089 — патч немедленно
Установить May 2026 Patch Tuesday на все Domain Controllers. Приоритет: CVE-2026-41089 (Netlogon, DC), CVE-2026-41094 (Exchange). Использовать ускоренный WSUS/Intune.
URGENT · 1–3 дня
PAN-OS CVE-2026-0300 (без патча)
Патча нет. Отключить Authentication Portal на всех exposed PAN-OS или ограничить доступ доверенными IP. Включить мониторинг аномальных попыток аутентификации.
URGENT · 1–3 дня
MOVEit CVE-2026-4670 — патчить немедленно
Обновить MOVEit Automation. MFT используется для SWIFT и регуляторной отчётности. Проверить логи на несанкционированный доступ.
HIGH · 1 неделя
Ivanti EPMM CVE-2026-6973 + Dirty Frag
Обновить Ivanti EPMM до 12.8.0.1+. Применить kernel-патчи на Ubuntu/RHEL/Fedora для Dirty Frag.
HIGH · 1 неделя
MuddyWater — защита Teams
Ограничить входящие Teams-звонки от внешних организаций. Инструктаж сотрудников: не запускать screen-sharing незнакомцам.
MEDIUM · 2 недели
AI-агенты и Chrome-расширения
Проверить Cline на обновление. Аудит Chrome-расширений. Проверить политики AI-агентов на промпт-инъекции.