CISA добавила пять активно эксплуатируемых уязвимостей в KEV
Агентство по кибербезопасности и защите инфраструктуры США CISA внесло в каталог Known Exploited Vulnerabilities пять активно используемых уязвимостей в JFrog Artifactory, ConnectWise ScreenConnect и MikroTik RouterOS. Среди них CVE-2026-84869 в ScreenConnect с оценкой CVSS 9,9, а также две ошибки Artifactory и две ошибки RouterOS.
Какие продукты затронуты
В JFrog Artifactory добавлены CVE-2026-42016 с CVSS 8,1 и CVE-2026-42018 с CVSS 7,5. Первая связана с некорректной авторизацией: при проверке токена учитываются подпись и издатель, но не область действия токена, что может привести к повышению привилегий.
Вторая ошибка Artifactory относится к неправильной аутентификации. Когда анонимный доступ отключён, неаутентифицированный запрос в определённых условиях может получить внутренний токен анонимного пользователя, что создаёт риск раскрытия чувствительных ресурсов.
Google-owned Wiz сообщала, что атакующие объединяли обе уязвимости с CVE-2026-82329, оценённой в 9,8 балла, чтобы обходить аутентификацию, повышать привилегии и получать административный контроль над локально развёрнутыми серверами Artifactory. Наблюдаемая активность после компрометации включала создание постоянных учётных записей администраторов, вредоносные плагины Groovy для выполнения кода и бэкдоры на Rust.
ScreenConnect и RouterOS
Уязвимость CVE-2026-84869 в ConnectWise ScreenConnect позволяет в некоторых обстоятельствах передавать и запускать файлы через активный удалённый сеанс без авторизации или подтверждения со стороны хоста. ConnectWise уточнила, что проблема касается клиента ScreenConnect, а не серверов. Huntress связала эксплуатацию с тремя не связанными между собой инцидентами, где новым подключённым системам доставляли вредоносный VBScript.
Huntress рекомендует обновить ScreenConnect до версии 26.6.5. В MikroTik RouterOS CISA добавила CVE-2026-67277 с CVSS 8,8, которая допускает раскрытие памяти ядра и отказ в обслуживании в сервисе btest, и CVE-2026-86060 с CVSS 9,2. Последняя связана с недостаточной нейтрализацией разделителей аргументов команд и может позволить изменить доверенную маску политик RouterOS для повышения привилегий.
CERT Polska наблюдал эксплуатацию двух ошибок RouterOS неизвестными злоумышленниками, захватывавшими уязвимые устройства без аутентификации; цепочку назвали MikroTrick. Контекст пополнения каталога KEV дополняет пополнение каталога KEV активными уязвимостями, где также показано, почему наличие активной эксплуатации требует отдельной очереди исправлений.
Что проверить организациям
Для федеральных гражданских ведомств США CISA установила сроки устранения: RouterOS необходимо исправить до 13 сентября 2026 года, ScreenConnect — до 14 сентября, Artifactory — до 25 сентября. Эти даты относятся к FCEB, но для других организаций служат ориентиром срочности.
Бизнесу стоит определить, доступны ли извне Artifactory, клиенты ScreenConnect и устройства RouterOS, сверить версии с исправлениями поставщиков и приоритетно установить обновления. После этого необходимо проверить журналы и конфигурации на признаки описанной активности: новые административные учётные записи, подозрительные плагины, несанкционированные передачи файлов и необычные удалённые сеансы. Включение в KEV означает, что эксплуатация уже наблюдалась, поэтому откладывать такую проверку не следует.