CISA внесла уязвимости SharePoint и MikroTik RouterOS в каталог активно эксплуатируемых

Американское Агентство по кибербезопасности и защите инфраструктуры (CISA) в пятницу пополнило свой каталог известных эксплуатируемых уязвимостей (KEV) двумя записями. Речь идёт о брешах в Microsoft SharePoint и MikroTik RouterOS, по которым имеются свидетельства реальных атак.

SharePoint: от «подмены» к удалённому выполнению кода

Первая уязвимость — CVE-2026-65660 (оценка CVSS 8.8) — представляет собой внедрение кода в Microsoft Office SharePoint. Она позволяет авторизованному злоумышленнику выполнить код по сети.

Примечательно, что изначально Microsoft описывала её как уязвимость подмены (spoofing). Позднее компания обновила рекомендацию, признав, что брешь может привести к удалённому выполнению кода. По словам разработчика, по состоянию на 25 сентября 2026 года у него имелись достоверные данные о наблюдаемых атаках с эксплуатацией этой уязвимости.

При этом Microsoft не раскрыла, кто стоит за атаками, когда они начались, сколько организаций стали мишенью, сколько из них пострадали и что злоумышленники делали после проникновения в уязвимый сервис.

MikroTik: цепочка MikroTrick и захват без пароля

Вторая запись — CVE-2026-67279 (CVSS 6.9) — связана с некорректным соблюдением рабочего процесса в RouterOS. Она позволяет неаутентифицированному клиенту открыть сессионный канал и отправить запрос на выполнение команды.

Эта брешь используется в связке с CVE-2026-86060 — уязвимостью внедрения аргументов в процессе входа RouterOS. Совместно они образуют эксплойт под названием MikroTrick, который, по данным польского центра CERT Polska, позволяет получить полный административный контроль над доступными из интернета роутерами без пароля.

«Комбинация двух уязвимостей приводит к полному неаутентифицированному доступу к административной консоли», — пояснили в польском агентстве. CVE-2026-67279 даёт возможность создать сессионный канал, а CVE-2026-86060 — передать процессу входа маску политики, контролируемую атакующим.

Специалисты Bishop Fox независимо воспроизвели полный захват на уязвимых сборках RouterOS 7.x. По словам исследователя Эмилио Гальегоса, MikroTrick объединяет два сбоя на разных границах доверия: первый позволяет неаутентифицированному соединению добраться до функциональности, которая должна быть доступна только после входа, а второй заставляет процесс аутентификации воспринимать данные из этого соединения как доверенную административную личность.

Он отмечает, что случай обнажает системный риск в привилегированном ПО: функция, задуманная лишь для доверенных локальных вызовов, превращается в удалённую поверхность атаки, когда вышестоящий компонент теряет контроль над состоянием аутентификации.

CVE-2026-86060 была добавлена в каталог KEV ещё 11 сентября 2026 года. Федеральным гражданским органам исполнительной власти США предписано установить исправления до 28 сентября 2026 года.

Источник: The Hacker News