Свежая подборка эксплуатируемых уязвимостей нулевого дня в популярном ПО: критический обход аутентификации в Cisco ISE, SQL-инъекция в Secure Email Gateway, zero-click атаки на модемы Pixel и цепочка Chrome-Windows. Указаны CVE, векторы атак и статус патчей.
1. Cisco выпустила экстренные патчи для уязвимости CVE-2026-76461 в Secure Email Gateway — SQL-инъекции в коде разбора почты, позволяющей атакующему получить root-доступ на устройстве. Уязвимость уже эксплуатировалась в дикой природе; исправления вышли в AsyncOS 15.5.5-0141, 16.0.4-3021 и 16.5.0-780, CISA добавила CVE в каталог KEV. Источник: csoonline.com
2. Cisco раскрыла уязвимость CVE-2026-76460 с максимальным рейтингом CVSS 10.0 в Identity Services Engine (ISE) и ISE-PIC: недостаточный контроль аутентификации на API-эндпоинте позволяет неаутентифицированному удалённому атакующему обойти веб-интерфейс управления и получить root-доступ. Патчи доступны в версиях 3.1 Patch 12, 3.2 Patch 11, 3.3 Patch 12, 3.4 Patch 7 и 3.5 Patch 4; CISA добавила CVE в KEV 16 сентября 2026 года. Источник: bleepingcomputer.com
3. Cisco подтвердила активную эксплуатацию CVE-2026-76460 в ISE и ISE-PIC, подчеркнув, что уязвимость не имеет обходных путей и требует немедленной установки исправлений. CISA обязала федеральные агентства устранить проблему в течение трёх дней после добавления в каталог KEV. Источник: thehackernews.com
4. Cisco также исправила вторую критическую уязвимость нулевого дня CVE-2026-76423 (CVSS 10.0) в ISE и ISE-PIC, а всего в рамках комплексного аудита платформы закрыла 21 критическую уязвимость, включая удалённое выполнение кода и другие API-флоу. Источник: csoonline.com
5. Google предупредила о zero-click уязвимости CVE-2026-58704 в модемах смартфонов Pixel, позволяющей обойти проверки разрешений и повысить привилегии без взаимодействия с пользователем. Уязвимость уже исправлена, а CISA добавила её в KEV и дала федеральным агентствам три дня на установку патча. Источник: theregister.com
6. Исследователи Proofpoint сообщили, что как минимум четыре шпионские группы, предположительно связанные с Китаем, объединили три уязвимости, включая CVE-2026-85046 (type confusion в V8 JavaScript-движке Chromium), для проникновения в сети организаций США и Юго-Восточной Азии. Источник: theregister.com
7. Китайский threat-актор UTA0560 организовал фишинговую кампанию 1 сентября 2026 года, эксплуатируя недавно пропатченные уязвимости в Google Chrome и Microsoft Windows для доставки JavaScript-бэкдора GRIMWEDGE. Целями стали несколько неправительственных организаций (НГО). Источник: thehackernews.com