CISA предупредува за активна експлоатација на безбедносни пропусти во OpenSSH, GPUStack, FreeSWITCH и IBM

Американската Агенција за сајбер-безбедност и инфраструктурна безбедност (CISA) во понеделникот додаде четири безбедносни пропусти што ги засегаат GPUStack, SignalWire FreeSWITCH, OpenBSD OpenSSH и IBM Aspera Faspex во својот каталог на познати експлоатирани ранливости (Known Exploited Vulnerabilities – KEV), повикувајќи се на докази за нивна активна експлоатација.

Ранливостите се наведени подолу:

• CVE-2026-123218 (CVSS-оцена: 9.8) – Ранливост предизвикана од неправилна проверка на овластувањата во IBM Aspera Faspex, која може да му овозможи на автентициран корисник да креира специјално формулирана порака и да ја заобиколи проверката на овластувањата, што може да доведе до ескалација на привилегиите. (Поправена во ноември 2026 година.)
• CVE-2026-116779 (CVSS-оцена: 9.8) – Ранливост од типот инјектирање код во SignalWire FreeSWITCH, која може да доведе до откривање конфигурациски податоци и акредитиви, произволно управување со телефонски повици и извршување команди. (Поправена во октомври 2026 година.)
• CVE-2026-123158, позната и како SSHole (CVSS-оцена: 8.1) – Ранливост поврзана со неочекувана статусна шифра или повратна вредност во OpenBSD OpenSSH на Linux, која може да овозможи заобиколување на механизмот за автентикација. (Поправена во ноември 2026 година.)
• CVE-2026-102895 (CVSS-оцена: 9.8) – Ранливост предизвикана од неправилна автентикација во GPUStack, која може да овозможи административен пристап без автентикација. Напаѓачите можат да вршат промени на корисниците и моделите, да креираат трајни администраторски API-клучеви, да откриваат доверливи податоци за worker-системите и давателите на cloud-услуги, како и да извршуваат код преку барањето POST /v2/inference-backends/from-yaml. (Поправена во јули 2026 година.)

Додавањето на ранливоста CVE-2026-123158 во каталогот KEV следува по извештаите за обиди за нејзина експлоатација од 6 ноември 2026 година. Досега се регистрирани вкупно 22 обиди за експлоатација од 14 уникатни IP-адреси, според податоците на компанијата Previdian.

Во објава на социјалната мрежа X од 7 ноември 2026 година, компанијата Defused Cyber соопшти дека „забележала мал број напаѓачи кои ја таргетираат ранливоста SSHole“, но нагласи дека активностите за нејзина експлоатација сè уште не се широко распространети.

Според GreyNoise, првиот обид за експлоатација против нивната мрежа на системи-мамки (honeypots) бил забележан на 7 ноември 2026 година, во 00:46 часот UTC. Потврдени активности по успешната експлоатација биле откриени од шест изворни IP-адреси, кои досега биле поврзани со 18 различни синџири на напади.

Овие активности вклучуваат извидување на системите, испраќање барања до cloud-услугите за метаподатоци, обиди за читање хеш-вредности на лозинки и SSH-клучеви на root-корисникот, како и обиди за измена на датотеката authorized_keys во SSH, со цел обезбедување траен пристап до компромитираните системи.

Во најмалку еден случај, забележано е дека непознати напаѓачи инсталирале TAC Agent, C2-агент базиран на Python, кој овозможува извршување команди преку командна школка, извидување на системот, пребарување директориуми, пренос на датотеки и сопствено ажурирање.

Компанијата за разузнавање за сајбер-закани watchTowr соопшти дека исто така забележала злоупотреба на ранливоста во OpenSSH во реални напади, насочени кон активности поврзани со ботнети и инсталирање софтвер за ископување криптовалути (cryptocurrency miner).

Во безбедносното известување за CVE-2026-102895, објавено на 31 јули 2026 година, одржувачите на Python-пакетот GPUStack им се заблагодарија на Nikko Enggaliano, Wei Yunzhou, Rui Yang и Haoyu Wang за независното пријавување на ранливоста. Тие додадоа дека Javier Sixto од Ulex Innovative Systems пријавил и „активна експлоатација во реални услови“.

Засега нема јавни извештаи за тоа како се експлоатираат останатите ранливости, кој стои зад нападите и колем е нивниот обем.

На федералните цивилни извршни агенции на САД (Federal Civilian Executive Branch – FCEB) им се препорачува да ги применат безбедносните поправки најдоцна до 12 ноември 2026 година.

Извори:

• The Hacker News – CISA Warns of Active Exploitation of OpenSSH, GPUStack, FreeSWITCH, and IBM Flaws The Hacker News