CISA upozorava na aktivne napade na macOS, SharePoint i vCenter
Američka Agencija za sajberbezbednost i bezbednost infrastrukture, CISA, dodala je četiri kritične ranjivosti u katalog Known Exploited Vulnerabilities (KEV): CVE-2026-65400 u Apple macOS-u, CVE-2026-55040 u Microsoft SharePoint-u, CVE-2026-59310 u Broadcom VMware vCenter-u i CVE-2026-33824 u Microsoft Internet Key Exchange (IKE) Service Extensions. Sve četiri mane se aktivno zloupotrebljavaju, a tri imaju CVSS ocenu 9,8, dok je SharePoint propust ocenjen sa 9,1.
Proizvođači su objavili zakrpe, ali javni izveštaji ukazuju da su napadači već koristili ove propuste. Zbog toga sama dostupnost ispravke nije dovoljna: organizacije treba da utvrde da li su ranjivi sistemi bili dostupni preko mreže i da li postoje pokazatelji ranije kompromitacije.
Četiri propusta i različiti putevi napada
CVE-2026-65400 je nepravilna autentifikacija u macOS-u. Napadaču u mreži može omogućiti prijavu na Screen Sharing bez važećih akreditiva. Propust je zabeležen u napadima za isporuku Monero rudara kriptovaluta, što pokazuje da i udaljeni pristup radnoj stanici može postati ulazna tačka za zloupotrebu resursa.
Ranjivost CVE-2026-55040 u Microsoft SharePoint-u zasniva se na slaboj autentifikaciji i može omogućiti neovlašćenom napadaču da preko mreže zaobiđe bezbednosnu funkciju. Nepoznati akteri počeli su da je koriste nakon objavljivanja dokaznog koda koncepta, odnosno PoC-a.
U Broadcom VMware vCenter-u, CVE-2026-59310 predstavlja path traversal propust koji akteru sa mrežnim pristupom može omogućiti izvršavanje proizvoljnog koda. Sumnjivi APT akter povezan sa Kinom koristio je ovu manu za postavljanje bekdora i reverse_ssh binarnih datoteka radi trajnog pristupa kompromitovanim instancama.
Posledice kompromitacije i prioriteti za odbranu
U najmanje jednom slučaju napad na vCenter doveo je do postavljanja ransomvera izvedenog iz Babuk-a. Zabeleženo je 361 jedinstvenih IP adresa žrtava u 47 zemalja, pri čemu su najviše infekcija imale Nemačka sa 55, SAD sa 41, Turska sa 38, Iran sa 26 i Francuska sa 25 adresa.
Četvrti propust, CVE-2026-33824, jeste double free ranjivost u Microsoft IKE Service Extensions. Neovlašćenom napadaču može omogućiti izvršavanje koda preko mreže. Palo Alto Networks Unit 42 je uočio zloupotrebu koju pripisuje drugom akteru koji govori kineski; uz manuelne operacije koristio je poznate ranjivosti, uključujući Microsoft IKE, dok je istovremeno vodio autonomnu hakersku kampanju podržanu DeepSeek-om.
Ovi događaji se uklapaju u obrazac u kojem javno dostupni dokazni kod ubrzava zloupotrebu kritičnih propusta, kao što pokazuje i pregled ranjivosti Cisco uređaja, ClickFix lanaca i incidenata sa AI agentima pregled ranjivosti Cisco uređaja, ClickFix lanaca i incidenata sa AI agentima. Za poslovne timove praktičan korak je prioritetno ažuriranje macOS, SharePoint, vCenter i IKE sistema, ograničavanje mrežnog pristupa administrativnim servisima i provera tragova neovlašćenog izvršavanja koda, bekdora i trajnog pristupa.