Zero-day уязвимость — это недостаток в программном обеспечении, оборудовании или прошивке, о котором не знает производитель и который может быть использован злоумышленниками до выпуска патча. Такие уязвимости особенно опасны, так как у защитников нет времени на подготовку.
Атаки на Citrix NetScaler
В сентябре 2026 года злоумышленники эксплуатировали zero-day уязвимости в Citrix NetScaler для развёртывания веб-шеллов и туннелирующего вредоносного ПО. Атаки начались как минимум в начале сентября и затронули организации в Северной Америке и Европе, включая государственный сектор, финансовые услуги, образование, юриспруденцию и профессиональные услуги. Компания Mandiant сообщила, что злоумышленники использовали уязвимости CVE-2026-88771 и CVE-2026-88772 (получившие название "PitScaler") для получения root-доступа, кражи учётных данных и распространения внутри сетей.
CVE-2026-88771 — это уязвимость удалённого выполнения кода без аутентификации, затрагивающая все развёртывания NetScaler ADC и Gateway. CVE-2026-88772 — переполнение памяти, которое может привести к удалённому выполнению кода или отказу в обслуживании при включённом DTLS. Citrix подтвердила эксплуатацию обеих уязвимостей и выпустила обновления безопасности.
GreyNoise наблюдала попытку эксплуатации Citrix NetScaler Gateway 24 сентября, за три дня до публичного раскрытия уязвимостей. Атака исходила с IP-адреса 149.104.78.141. Злоумышленник пытался изменить /bin/sh для получения root-шелла и установить защищённый паролем PHP веб-шелл по пути /var/netscaler/logon/LogonPoint/custom/.ctxs.receiver. Также были попытки модифицировать /etc/httpd.conf, чтобы запросы к файлам, похожим на CSS, открывали скрытый PHP веб-шелл. Специалисты рекомендуют искать файл .ctxs.receiver, связанные записи Alias или AliasMatch в httpd.conf, изменения прав /bin/sh и соединения с указанного IP-адреса.
Атака на Bitget
Криптовалютная биржа Bitget подтвердила, что злоумышленники, укравшие $387,5 млн, использовали zero-day уязвимость в сторонних продуктах безопасности. Атака произошла 24 сентября 2026 года, когда неизвестные совершили серию несанкционированных переводов с горячих и тёплых кошельков биржи. Bitget временно приостановила вывод средств. Около $632 700 в криптовалюте было заморожено компаниями Circle, Tether и NEAR Intents.
Расследование, проведённое SlowMist, показало, что злоумышленники получили учётные данные высокого уровня и использовали их для инициирования мошеннических команд вывода, обходящих существующие меры контроля. Bitget уведомила поставщика стороннего продукта и отключила уязвимую функцию до выпуска исправления. Инцидент затронул 11 блокчейнов, включая Ethereum, XRP Ledger, Zcash, TRON, Arbitrum, Optimism, Base, BNB Smart Chain, Avalanche, Algorand и Celestia. Среди пострадавших активов: XRP, ETH, USDT, ZEC, ATOM, USDC, USD0, XAUt, BNB, AVAX, TRX, ALGO и TIA.
Согласно отчёту SlowMist, первая вредоносная активность относится к 31 августа 2026 года. Злоумышленники эксплуатировали zero-day уязвимость в сервисе на одном из узлов продукта A, запустили скрытый скрипт, прочитали переменную окружения с паролем базы данных и подключились к ней. Похожая активность наблюдалась на двух других узлах 23 и 25 сентября. 25 сентября злоумышленник получил доступ к платформе управления продукта B, используя личность сотрудника, и трижды пытался внедрить системные команды для записи вредоносных файлов. Затем через веб-эндпоинт платформы был отправлен код для изменения конфигурации сервера, записи файла ретрансляции и загрузки вредоносных программ. Для кражи активов использовался специально созданный инструмент, адаптированный под логику вывода кошельков, который начал работу 25 сентября 2026 года в 01:49.
Уязвимость в Cisco SD-WAN
Cisco выпустила обновления безопасности для критической zero-day уязвимости в Catalyst SD-WAN Manager (CVE-2026-76504), которую злоумышленники активно эксплуатируют для повышения привилегий до администратора. Уязвимость затрагивает все развёртывания и связана с неправильной обработкой URI-кодирования в HTTP-запросах, что позволяет обойти аутентификацию и получить доступ к API. Cisco рекомендует обновиться до исправленной версии.
Компания предоставила индикаторы компрометации, включая использование %6a в качестве URI-кодированного символа "j" в вредоносных запросах. Специалистам по безопасности рекомендуется проверять файлы serviceproxy-access.log и vmanage-server.log на предмет записей, связанных с j_security_check, с неизвестных IP-адресов. CVE-2026-76504 — пятая zero-day уязвимость в SD-WAN, эксплуатируемая с начала года. CISA добавила её в каталог известных эксплуатируемых уязвимостей и обязала федеральные агентства США устранить угрозу до 3 октября.
Атака Volt Typhoon на Versa Director
Группировка Volt Typhoon, связанная с китайским правительством, использовала zero-day уязвимость в Versa Director — программном обеспечении для управления сетями от Versa Networks. По данным Black Lotus Labs (подразделение Lumen), атака была нацелена на интернет-провайдеров и управляемых поставщиков услуг. Исследователи обнаружили четыре жертвы в США (два интернет-провайдера, один MSP и один IT-провайдер) и одну в Индии. Целью злоумышленников было кража учётных данных и использование скомпрометированных серверов Versa как точки для проникновения в другие сети.
Volt Typhoon фокусируется на критической инфраструктуре, включая коммуникационные и телекоммуникационные сети, с целью нанесения реального ущерба в случае будущего конфликта с США. Versa подтвердила уязвимость и выпустила экстренный патч после уведомления от исследователей в конце июня.
Общие сведения о zero-day уязвимостях
Zero-day уязвимости могут существовать в течение дней, месяцев или лет, пока их не обнаружат. В лучшем случае исследователи или разработчики находят уязвимость раньше злоумышленников. Однако часто хакеры получают доступ первыми. После обнаружения уязвимости начинается гонка между специалистами по безопасности, разрабатывающими исправление, и хакерами, создающими эксплойт. По некоторым оценкам, эксплойты обычно появляются в течение 14 дней после раскрытия уязвимости. Однако после начала атак патчи часто выпускаются в течение нескольких дней, так как производители используют информацию о вторжениях для ускорения разработки.
Правительства являются основными пользователями zero-day эксплойтов из-за высокой стоимости их обнаружения или покупки, а также значительных затрат на написание атакующего ПО. Тем не менее, любой может использовать уязвимость, и, согласно исследованиям RAND Corporation, "любой серьёзный злоумышленник всегда может получить доступный zero-day практически для любой цели". Многие целевые атаки и большинство продвинутых устойчивых угроз (APT) полагаются на zero-day уязвимости.
В 2017 году среднее время до исправления zero-day уязвимости составляло около 7 дней. Однако zero-day уязвимости не всегда катастрофичны на практике — их реальное воздействие зависит от многих факторов. Большинство кибератак используют известные уязвимости, а не zero-day.
Заключение
Zero-day уязвимости остаются серьёзной угрозой для организаций по всему миру. Недавние инциденты с Citrix NetScaler, Bitget, Cisco SD-WAN и Versa Director демонстрируют разнообразие целей и методов атак. Своевременное обновление программного обеспечения, мониторинг индикаторов компрометации и сотрудничество с исследователями безопасности помогают снизить риски.
Источник: darkreading.com
Дополнительные источники: bleepingcomputer.com, thehackernews.com, bleepingcomputer.com, techcrunch.com, en.wikipedia.org, geeksforgeeks.org, ibm.com, tomshardware.com