SecAtor

Более 36 000 серверов Plex Media, находящихся в открытом доступе в интернете, остаются незащищенными от многочисленных уязвимостей безопасности и подвержены атакам. Неделю назад Plex настоятельно предупредила пользователей немедленно защитить свои медиасерверы в части проблем, для которых до сих пор отсутствуют идентификаторы CVE. При этом компания не предоставила дополнительных подробностей, однако известно, что упомянутые уязвимости затрагивают Plex Media Server версии 1.43.2 и более ранних версий. Пользователям затронутых версий рекомендуется как можно скорее обеспечить безопасность своих систем, обновив установленный Plex Media Server до версии 1.43.3 (от 19 мая) и Plex Desktop до версии 1.115.0 (от 13 августа). В пятницу Shadowserver заявила о доступности в сети более 36 000 экземпляров Plex Media Server, которые до сих пор не получили обновлений и уязвимы для потенциальных атак. При этом до настоящего времени Plex не предоставила никаких подробностей об этих уязвимостях. Помимо пользователей Plex активная (или потенциальная) эксплуатация также ожидает пользователей WatchGuard Firebox и Cisco. В первом случае речь идет о критической уязвимости межсетевого экрана, которую CISA еще в декабре отметила как активно эксплуатируемую. Теперь за нее принялись банды вымогателей. Она отслеживается как CVE-2025-14733 и связана с записью за пределы допустимого диапазона, что позволяет неавторизованным злоумышленникам удаленно выполнять вредоносный код в атаках низкой сложности. Данная уязвимость затрагивает межсетевые экраны, работающие под управлением Fireware OS 11.x и более поздних версий (включая 11.12.4_Update1), 12.x и более поздних версий (включая 12.11.5), а также версий 2025.1–2025.1.3. В декабре WatchGuard выпустила обновления и отметила, что незащищенные межсетевые экраны Firebox уязвимы для атак только в том случае, если они настроены на использование VPN IKEv2, но отметила, что они могут быть скомпрометированы даже после удаления уязвимых конфигураций, если VPN-соединение филиала со статическим шлюзом все еще настроено. WatchGuard тогда также подтвердила, что злоумышленники используют эту уязвимость в реальных условиях, и поделилась IOCs, позволяющими проверить, были ли взломаны их устройства Firebox. Shadowserver в декабре обнаружила более 115 000 незащищенных межсетевых экранов Firebox в сети, и почти 9000 из них остаются незащищенными спустя девять месяцев. При том, что WatchGuard предоставляет услуги более чем 250 000 малым и средним предприятиям через сеть, насчитывающую более 17 000 реселлеров и поставщиков услуг в сфере безопасности по всему миру. Cisco также подтвердила, что уязвимость максимального уровня серьезности, позволяющая обойти аутентификацию и имеющая идентификатор CVE-2026-20079, в ее Secure Firewall Management Center (FMC) активно используется в атаках. Уязвимость имеет максимальный балл CVSS 10,0 и позволяет неаутентифицированным удаленным злоумышленникам обходить аутентификацию и выполнять скрипты и команды от имени root на уязвимых устройствах. К настоящему времени Cisco так и не сообщила, когда начались атаки, кто за ними стоял и какие действия были зафиксированы после их осуществления. Причем Cisco заявляет, что ее команда по безопасности узнала об активной эксплуатации CVE-2026-20079 еще в августе, индикаторы компрометации, опубликованные в июльском обновлении рекомендаций, предполагают, что уязвимость могла быть использована и раньше. 29 июля Cisco сообщала об еще одной уязвимости Secure FMC - CVE-2026-20316, отмечая ее активную эксплуатацию. И одновременно тогда же также обновила уведомление по CVE-2026-20079, включив в него те же индикаторы, но не подтвердила, что уязвимость была использована.