Августовский Microsoft Patch Tuesday

Добавить комментарий

Августовский Microsoft Patch Tuesday

Августовский Microsoft Patch Tuesday. Всего 401 уязвимость - на 170 меньше, чем в июле. Есть одна уязвимость с признаком эксплуатации в реальных атаках:

🔻 EoP - Windows Ancillary Function Driver for WinSock (CVE-2026-68820). Локальный злоумышленник может проэксплуатировать эту уязвимость для получения привилегий уровня SYSTEM. В описании на сайте Microsoft есть противоречие: зрелость кода эксплоита (Exploit Code Maturity) в CVSS отмечена как "Unproven" ("не подтверждён"), при этом указано, что уязвимость эксплуатируется в реальных атаках. 🤷‍♂️

Ещё для двух уязвимостей есть публичные эксплоиты:

🔸 EoP - Windows User Profile Service (CVE-2026-62832). Эта уязвимость позволяет аутентифицированному злоумышленнику повысить привилегии до уровня ADMINISTRATOR. Rapid7 считает уязвимость связанной с эксплоитом LegacyHive, опубликованным 14 июля.

🔸 EoP - Windows Kernel (CVE-2026-62737). Эта уязвимость позволяет аутентифицированному злоумышленнику повысить привилегии до уровня SYSTEM. Эксплойт доступен с 11 августа.

Из остальных уязвимостей можно выделить:

🔹 RCE - Windows DNS Server (CVE-2026-62878). Уязвимость позволяет удалённому неаутентифицированному злоумышленнику выполнить код на уязвимом сервере с повышенными привилегиями. Уязвимость является wormable, т.е. потенциально может использоваться для самостоятельного распространения зловредов. Рекомендуется как можно скорее протестировать и установить обновление, особенно на DNS-серверах, доступных из Интернет.

🔹 RCE - Windows Deployment Services TFTP Server (CVE-2026-62893). Эта уязвимость, обнаруженная в рамках программы ZDI (Zero Day Initiative), позволяет злоумышленнику выполнять код без аутентификации и взаимодействия с пользователем. В TFTP отсутствует механизм аутентификации, а доступ к нему возможен удалённо через UDP-порт 69. Уязвим любой WDS-сервер, который передаёт файлы Windows Imaging Format (WIM) по TFTP, что является стандартным сценарием при загрузке по PXE. UDP-порт 69 должен быть заблокирован на периметре, однако злоумышленники могут использовать эту уязвимость для перемещения внутри корпоративной сети (lateral movement).

🔹 RCE - Windows DHCP Server (CVE-2026-62823). Успешная эксплуатация уязвимости позволяет удалённому неаутентифицированному злоумышленнику выполнить произвольный код из смежной сети (adjacent network), отправив специально сформированный пакет, вызывающий переполнение буфера в куче (heap-based buffer overflow).

🔹 EoP - Microsoft Exchange (CVE-2026-62911). Уязвимость позволяет удалённому аутентифицированному злоумышленнику (согласно CVSS, Privileges Required: Low) получить контроль над почтовыми ящиками всех пользователей Exchange, отправлять и читать электронные письма, а также скачивать вложения. Эта уязвимость была продемонстрирована на Pwn2Own Berlin. Эксперты ZDI передали в Microsoft рабочие эксплоиты.

🔹 RCE - Microsoft QUIC (CVE-2026-62815). Уязвимость типа use-after-free позволяет неаутентифицированному злоумышленнику выполнить произвольный код на целевой системе путём отправки специально сформированного сетевого пакета. QUIC - это стандартизированный IETF транспортный протокол, работающий поверх UDP вместо TCP, и основа для HTTP/3. Этот протокол используют примерно 13,5 миллиона веб-сайтов.

🔹 Tampering - Windows Container Isolation FS Filter Driver (unionfs.sys) (CVE-2026-72971). Уязвимость, предположительно, позволяет злоумышленнику перезаписывать определённые файлы. В результате злоумышленник может выполнить внутри контейнера действие, последствия которого затронут хост-систему.

🗒 Полный отчёт Vulristics

ФРИИ и Metascan запускают акселератор для российских ИБ-стартапов

Добавить комментарий

ФРИИ и Metascan запускают акселератор для российских ИБ-стартапов

ФРИИ и Metascan запускают акселератор для российских ИБ-стартапов. Он станет первой инициативой совместного фонда, созданного в июле 2026 года с общим объемом 600 млн руб. ФРИИ и Metascan вложили по 50%. В рамках акселератора ФРИИ отвечает за инвестиционную экспертизу и развитие бизнеса, а METASCAN - за отраслевую и технологическую экспертизу и помощь в выходе на корпоративных заказчиков.

В акселератор отберут до 20 российских компаний с работающим продуктом на стадии MVP или выше, первыми клиентами, пилотами или выручкой. Чек на один проект составит от 5 до 100 млн рублей. Заявки принимаются до 15 сентября, программа стартует 1 октября и продлится два месяца. Участие бесплатное.

Финансирование будет зависеть от зрелости продукта, рыночного потенциала, текущих продаж и готовности команды к масштабированию. В рамках фонда уже закрыта одна сделка - 40 млн рублей инвестированы в стартап по обучению сотрудников ИБ, его выручка составляла 1,5 млн рублей.

🎯 Направления и программа

Акселератор ориентирован на проекты в сфере кибербезопасности, DevSecOps, защиты данных, антифрода, мониторинга, compliance и security tooling. Среди приоритетов - управление уязвимостями, защита веб-приложений и API, автоматизация ИБ-процессов и применение ИИ.

Основная задача программы - помочь стартапам увеличить продажи и выйти на крупных корпоративных заказчиков. Участники будут формировать воронку продаж, прорабатывать сделки и готовить пилоты с переходом в коммерческие контракты. Также они проработают ценностное предложение, ценообразование, юнит-экономику, финансовую модель и инвестиционную стратегию.

К завершению программы команды подготовят коммерческое предложение, план продаж, список целевых заказчиков, структуру пилота, финансовую модель, инвестиционную презентацию и дорожную карту развития на три-шесть месяцев. Участники смогут представить свои продукты потенциальным клиентам и партнерам программы, в том числе CISO компаний-партнеров, получить обратную связь и при взаимном интересе перейти к обсуждению пилотов и внедрений.

💡 Позиция инвестиционной команды фонда

Инвестиционная команда фонда видит потенциал российских ИБ-стартапов, несмотря на консолидацию рынка. У многих технологических команд сильная разработка и качественные продукты сочетаются с недостатком компетенций в B2B-продажах и масштабировании. Партнерство ФРИИ и METASCAN призвано закрыть этот разрыв, сочетая инвестиции с экспертизой в коммерциализации и выходе на крупных корпоративных заказчиков.

При этом, по оценке команды фонда, специализированные компании могут конкурировать с крупными игроками за счет того, что они "сфокусированны на одной задаче и обладают глубокой экспертизой именно в ней". Эти команды "способны создавать более конкурентоспособные продукты, чем решения, развиваемые «по остаточному принципу» в рамках большого портфеля". Поэтому фонд делает ставку на команды, способные занять лидирующие позиции в конкретных сегментах, усиливая конкуренцию и расширяя выбор российских ИБ-решений для заказчиков.

Расширение покрытия MITRE ATT&CK в новом MaxPatrol Carbon 26.2

Добавить комментарий

Расширение покрытия MITRE ATT&CK в новом MaxPatrol Carbon 26.2Расширение покрытия MITRE ATT&CK в новом MaxPatrol Carbon 26.2Расширение покрытия MITRE ATT&CK в новом MaxPatrol Carbon 26.2Расширение покрытия MITRE ATT&CK в новом MaxPatrol Carbon 26.2Расширение покрытия MITRE ATT&CK в новом MaxPatrol Carbon 26.2Расширение покрытия MITRE ATT&CK в новом MaxPatrol Carbon 26.2

Расширение покрытия MITRE ATT&CK в новом MaxPatrol Carbon 26.2. MITRE ATT&CK - это база знаний по кибербезопасности, систематизирующая действия злоумышленников во время кибератак. ATT&CK расшифровывается как Adversarial Tactics, Techniques, and Common Knowledge ("тактики, техники и общие знания о действиях противника"). Матрица помогает специалистам по ИБ анализировать атаки, выстраивать защиту и проверять возможности обнаружения угроз.

MaxPatrol Carbon использует для моделирования кибератак собственный набор действий злоумышленников, сопоставленных с техниками/подтехниками MITRE ATT&CK. Действия связываются с условиями их выполнения в инфраструктуре (экспозициями) - наличием учётных записей и необходимых привилегий, уязвимостей и настроек систем, а также сетевой доступностью активов. Чем больше поддерживаемых действий, тем больше разнообразных вариантов путей атаки может моделировать MaxPatrol Carbon. Набор действий постоянно расширяется. Текущее покрытие MITRE ATT&CK доступно в соответствующем разделе портала Positive Technologies.

Из действий, добавленных в новом релизе MaxPatrol Carbon 26.2, можно выделить:

🔻 Компрометация учётных данных каталога Active Directory после захвата центра управления сертификатами (T1649). Это один из самых коротких путей к захвату домена через эксплуатацию недостатков безопасности конфигураций. Получив доступ к привилегированной сессии на активе со службой сертификатов Active Directory, злоумышленник может скомпрометировать систему управления сертификатами и попытаться захватить домен Active Directory. Захватив домен, злоумышленник может получить доступ к доменным учётным записям и использовать их для повышения привилегий или перемещения внутри периметра.

🔻 Злоупотребление неограниченным делегированием Kerberos (T1558). Захватив доменный компьютер с привилегией неограниченного делегирования Kerberos, злоумышленник может получить доступ к хранящимся в кэше TGT-билетам пользователей домена (цифровой пропуск пользователя в доменной сети, который выдаётся после успешной аутентификации), после чего использовать полученные TGT-билеты для перемещения внутри периметра и полного захвата домена Active Directory.

🔻 Злоупотребление правами Microsoft Exchange Server в Active Directory (T1078.002). Получив доступ к привилегированной сессии на активе с Microsoft Exchange Server, злоумышленник может злоупотребить разрешениями доменной группы Exchange Windows Permissions и скомпрометировать домен Active Directory.

🔻 Компрометация конечных устройств через сервер управления Kaspersky Security Center (T1072). Сервер KSC позволяет настраивать параметры антивирусной защиты и выполнять задачи на конечных устройствах. При его компрометации злоумышленник может злоупотребить привилегиями KSC для удалённого выполнения кода на управляемых активах. Получив привилегированный доступ к активу, он может скомпрометировать доступные на нём учётные записи и использовать их для дальнейшего перемещения по инфраструктуре.

🔻 Компрометация через сервер управления Microsoft SCCM (T1072). Microsoft SCCM позволяет централизованно управлять конечными устройствами Windows: устанавливать ПО и обновления, настраивать параметры и политики, а также выполнять административные задачи удалённо. Скомпрометировав сервер SCCM, злоумышленник может получить возможность удалённо выполнять код на управляемых устройствах. Получив привилегированный доступ к активу, он может скомпрометировать доступные на нём учётные записи и использовать их для перемещения по инфраструктуре.

Кроме того, были добавлены действия компрометации через групповые политики после захвата контроллера домена (T1072) и подбора пароля из-за слабой парольной политики (T1110).

Прошедшие выходные провели с семьёй в Клину

Добавить комментарий

Прошедшие выходные провели с семьёй в Клину
Прошедшие выходные провели с семьёй в КлинуПрошедшие выходные провели с семьёй в КлинуПрошедшие выходные провели с семьёй в КлинуПрошедшие выходные провели с семьёй в КлинуПрошедшие выходные провели с семьёй в КлинуПрошедшие выходные провели с семьёй в КлинуПрошедшие выходные провели с семьёй в КлинуПрошедшие выходные провели с семьёй в КлинуПрошедшие выходные провели с семьёй в Клину

Прошедшие выходные провели с семьёй в Клину. Клин - город в Московской области, расположенный примерно в 85 км к северо-западу от Москвы, на реке Сестре. Население города - около 90 тысяч человек. Впервые город упоминается в летописях в 1317 году. Самое старое здание - Успенская церковь (на первой фотографии) относится к середине XVI века. Благодаря расположению на важных путях, связывающих Москву с северо-западом России, Клин со временем превратился в важный торговый и промышленный центр Подмосковья.

Мы посетили с экскурсиями следующие музеи:

🔹 Музей ёлочной игрушки "Клинское подворье". Здесь нам рассказали историю ёлочных украшений - от первых стеклянных бус и игрушек до современных образцов, а ещё показали, как мастера-стеклодувы выдувают шары и фигурки, которые потом вручную расписывают художники. На мастер-классе мы сами расписали ёлочные игрушки. Я выбрал серого кролика. 🐇 Пополняется коллекция игрушек собственного изготовления. 😅

🔹 Дом-музей А.П. Гайдара. Это небольшой деревянный дом, где Аркадий Гайдар жил и работал с 1938 по 1941 год. Здесь сохранилась обстановка того времени, а в экспозиции - личные вещи писателя, фотографии, документы, книги и прижизненные издания его произведений. Именно в Клину Гайдар написал "Тимура и его команду", "Чука и Гека" и "Судьбу барабанщика". С юности Аркадий Голиков (его настоящая фамилия) участвовал в Гражданской войне, был тяжело ранен и, по свидетельствам современников, страдал от тяжёлых психологических последствий пережитого на войне. И тем удивительнее, что он писал такие светлые детские книги, в которых рассказывал о дружбе, смелости и доброте. В начале Великой Отечественной войны Гайдар стал военным корреспондентом, а осенью 1941 года присоединился к партизанам. 26 октября он погиб у села Лепляво в Черкасской области Украины, заметив немецкую засаду и успев предупредить товарищей.

🔹 Клинский краеведческий музей. Здесь можно проследить историю Клина от первых упоминаний в XIV веке до XX века: увидеть археологические находки, старинное оружие, предметы быта, купеческие вещи, документы и фотографии. Запомнился рассказ о ямской повинности. После учреждения почтового яма в 1702 году сотни местных семей были обязаны нести ямскую службу: перевозить людей, почту и государственные грузы. За побег или уклонение от повинности их разыскивали и возвращали на службу, а наказания включали штрафы, тюрьму и телесные наказания кнутом или батогами - деревянными прутьями толщиной в палец. Отдельная часть экспозиции посвящена жизни города в годы Великой Отечественной войны и его освобождению от немецких войск. Моё внимание привлекла брошюра Г.А. Васильева и П.А. Генкеля "Чем прокормиться в исключительных условиях", 1941 г. Там описано, чем питаться, если окажешься поздней осенью или зимой без продуктов в лесу, болоте или степи.

🔹 Музей-заповедник П.И. Чайковского. Это большой музейный комплекс с мемориальным домом композитора, парком, выставочными пространствами и концертным залом. Именно здесь, в Клину, Чайковский провёл последние полтора года жизни. В доме практически полностью сохранилась обстановка: мебель, рояль, книги (меня порадовала книга про муравьёв 😅), письма, рукописи и личные вещи. Именно здесь он работал над своими последними произведениями, в том числе над знаменитой Шестой симфонией. В ходе детской экскурсии мы разгадывали загадки по сказкам, связанным с предметами в доме Чайковского, и знакомились с бытом конца XIX века. Под конец смотрели в зале фрагменты балета "Спящая красавица" в постановке The Royal Ballet.

Поездка получилась более чем удачная, при случае ещё раз наведаемся. 😉

Про уязвимость Remote Code Execution - Microsoft SharePoint (CVE-2026-58644)

Добавить комментарий

Про уязвимость Remote Code Execution - Microsoft SharePoint (CVE-2026-58644)

Про уязвимость Remote Code Execution - Microsoft SharePoint (CVE-2026-58644). Информация об уязвимости была опубликована 14 июля в рамках июльского Microsoft Patch Tuesday. Уязвимость в Microsoft SharePoint Server, вызванная ошибкой в механизме десериализации (CWE-502), позволяет злоумышленнику с правами не ниже владельца сайта (Site Owner) внедрить и удалённо выполнить произвольный код на сервере SharePoint. Это может привести к полной компрометации сервера: утечке корпоративных документов и данных, их модификации или удалению, компрометации доступных серверу учётных данных и дальнейшему проникновению злоумышленника во внутреннюю инфраструктуру организации.

Требование аутентификации, конечно, усложняет использование уязвимости в реальных атаках. Однако тут злоумышленнику, по всей видимости, может помочь предыдущая EoP-уязвимость CVE-2026-56164. При этом пока нет подтверждения эксплуатации этих уязвимостей в составе единой цепочки.

👾 Эксперты Microsoft отметили эту уязвимость как эксплуатируемую в реальных атаках в день Patch Tuesday. Через два дня, 16 июля, уязвимость была добавлена в каталог CISA KEV. Детали атак пока неизвестны.

🛠 Публичных эксплоитов также пока не видно.

⚙️ Обновления доступны для Microsoft SharePoint Server 2016, 2019 и Subscription Edition.

Про уязвимость Elevation of Privilege - Microsoft SharePoint (CVE-2026-56164)

1 комментарий

Про уязвимость Elevation of Privilege - Microsoft SharePoint (CVE-2026-56164)

Про уязвимость Elevation of Privilege - Microsoft SharePoint (CVE-2026-56164). Информация об уязвимости была опубликована в рамках июльского Microsoft Patch Tuesday, 14 июля. Уязвимость, связанная с отсутствием аутентификации для критической функции (CWE-306), позволяет неаутентифицированному злоумышленнику удалённо повысить свои привилегии.

Весьма любопытно, что оценки уязвимости по CVSS на сайте Microsoft и в NVD сильно различаются.

🔹 Microsoft: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N (5.3 MEDIUM)

🔹 NVD: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H (9.8 CRITICAL)

Как можно видеть, разница в том, что эксперты Microsoft отмечают только низкий импакт эксплуатации уязвимости на целостность информации, тогда как в NVD указан высокий импакт на конфиденциальность, целостность и доступность. Что в очередной раз демонстрирует субъективность CVSS как инструмента приоритизации. 😉

👾 Эксперты Microsoft сразу, в день Patch Tuesday, отметили эту уязвимость как эксплуатируемую в реальных атаках. Тогда же уязвимость добавили в CISA KEV. За её обнаружение Microsoft поблагодарили экспертов Mandiant Incident Response, что намекает на то, кто именно обнаружил эксплуатацию этой уязвимости. Подробностей по атакам пока нет. Однако, по сообщению новостного сайта Bleeping Computer,, эта уязвимость могла эксплуатироваться в атаке на Федеральное управление информатики и телекоммуникаций (BIT) Швейцарии, зафиксированной 28 июля. В ходе инцидента с серверами SharePoint, доступными из Интернет, данные для входа в ~200 пользовательских и технических учётных записей были скомпрометированы. Расследование не выявило утечки других данных. Как сообщили в BIT, на серверах проэксплуатировали уязвимости SharePoint из июльского Microsoft Patch Tuesday, однако конкретные CVE они не назвали.

🛠 Эксплойт для уязвимости доступен на GitHub с 6 августа. Согласно описанию автора эксплоита, уязвимость позволяет удалённому неаутентифицированному злоумышленнику повысить привилегии до уровня Farm Administrator. Используя особенности обработки запросов и механизмов маршрутизации, злоумышленник может заставить уязвимый сервер вместо отклонения неаутентифицированного запроса переключиться на контекст безопасности с повышенными привилегиями (fall back to an elevated security context). Это позволяет получать информацию о коллекциях сайтов, пользователях и конфигурации, добавлять администраторов и выполнять команды.

⚙️ Обновления доступны для Microsoft SharePoint Server 2016, 2019 и Subscription Edition. Помимо установки обновлений, эксперты Microsoft рекомендуют включить интерфейс антивирусного сканирования AMSI на сервере и установить режим проверки тела запросов (Request Body Scan) в значение Full для снижения риска эксплуатации уязвимости.

Qualys переупаковывают детектирование уязвимостей по ранее собранным данным инвентаризации ("сканирование без сканирования") в технологию InstaScan.

Добавить комментарий

Qualys переупаковывают детектирование уязвимостей по ранее собранным данным инвентаризации (сканирование без сканирования) в технологию InstaScan.Qualys переупаковывают детектирование уязвимостей по ранее собранным данным инвентаризации (сканирование без сканирования) в технологию InstaScan.Qualys переупаковывают детектирование уязвимостей по ранее собранным данным инвентаризации (сканирование без сканирования) в технологию InstaScan.Qualys переупаковывают детектирование уязвимостей по ранее собранным данным инвентаризации (сканирование без сканирования) в технологию InstaScan.

Qualys переупаковывают детектирование уязвимостей по ранее собранным данным инвентаризации ("сканирование без сканирования") в технологию InstaScan. Основной мессадж: развитие ИИ сократило время между публикацией CVE и появлением эксплоитов до нескольких часов. InstaScan сопоставляет новые CVE с уже собранными данными об активах, ПО и телеметрией без запуска новых сканов. Результаты затем подтверждаются существующими агентами и сканерами и используются для приоритизации, проверки эксплуатируемости и устранения уязвимостей.

Предпосылки появления InstaScan:

🔹 В 2025 году опубликовано 48 177 CVE, в 2026 году ожидается около 59 000.

🔹 Медианное время до появления первого эксплоита сократилось с 56 дней (2024) до 23 дней (2025); для отдельных CVE - 4-12 часов.

🔹 По данным Verizon DBIR, эксплуатация уязвимостей выросла на 34% год к году и является начальным вектором примерно в 20% инцидентов.

🔹 Регуляторы (например, CISA и CERT-In) требуют устранять отдельные уязвимости в течение 12-24 часов.

🔹 Традиционное сканирование выявляет новые уязвимости через 24-36 часов после публикации CVE из-за зависимости от расписания сканирований, обновления сигнатур и повторной оценки данных агентами. Дополнительные ограничения - разрозненные источники данных и необходимость согласований при проведении проверок.

InstaScan, работающий на базе Agent Insta, позиционируется как "первая в отрасли функциональность обнаружения уязвимостей без сканирования" (scanless detection capability). Agent Insta - внутренний backend-компонент Qualys, работающий в режиме 24×7. Он сопоставляет новые advisory от вендоров с данными о ПО, телеметрией активов, информацией об экспозициях и контекстом угроз, собранными из инструментов Qualys и сторонних решений. Это позволяет выявлять потенциально затронутые активы без ожидания окна сканирования. Утверждается, что для технологий, составляющих 60-70% типичного объема уязвимостей в корпоративной среде, InstaScan обеспечивает мгновенное обнаружение более 90% экспозиций без запуска заданий сканирования.

5 этапов работы InstaScan:

🔻 Формирование данных инвентаризации ПО: InstaScan собирает данные из агентов сканирования, SBOM, CMDB, сенсоров Qualys и сторонних источников. Так как одно и то же ПО может описываться по-разному, система создаёт единую основу данных.

🔻 Нормализация идентификаторов ПО с помощью ИИ: AI-модель сопоставляет записи о ПО со стандартными идентификаторами CPE и PURL, даже при различиях в названиях и форматах.

🔻 Создание единого набора данных инвентаризации: AI-сопоставления получают оценку уверенности (AI-generated match is confidence-scored), после чего дублирующиеся записи объединяются для поддержания точности данных.

🔻 Непрерывный мониторинг угроз: Agent Insta работает 24×7, получает данные о CVE, уведомления вендоров и информацию об угрозах по мере появления и преобразует их в данные для обнаружения.

🔻 Корреляция и подтверждение: InstaScan сопоставляет данные об угрозах с данными инвентаризации, используя агенты, сканеры, сенсоры Qualys и телеметрию сторонних решений. Проверяются актуальность данных, точность сопоставления, соответствие активу и критичность. В TruRisk передаются результаты с высокой степенью уверенности.

🤔 Моё мнение: маркетологи Qualys красиво представляют развитие ставшей уже традиционной функциональности как нечто принципиально новое. "Сканирование без сканирования", там где это возможно, - это полезная фича, и ей нужно пользоваться. Но потребность в качественной и полной инвентаризации инфраструктуры такая технология, конечно же, не снимает. Если данные, по которым производился анализ, будут неполными и устаревшими, то и детектирование уязвимостей по ним будет некорректным и принесёт больше вреда, чем пользы.