През седмицата 21–27 септември проблемна актуализация на Office привлече вниманието на малките офиси, а експерти предупредиха за атаки срещу рутери, сайтове и служебен webmail. Най-важният въпрос е кои фирмени системи са достъпни директно от интернет и дали са обновени.
🟠 Microsoft Office: актуализация може да наруши активацията
Microsoft спря разпространението на незадължителната актуализация KB5002907 след сигнали за неочаквани резултати при компютри с Office 2016 и 2019. При някои инсталации програмите се показват като Unlicensed Product, а в редки случаи са били премахнати.
Актуализацията е предназначена за определени инсталации на Microsoft 365 Apps, които не са се обновявали повече от 90 дни. Ако Word или Excel внезапно поиска активация, това не означава непременно, че фирмата е изгубила лиценза си.
Какво да направите: отворете Word → File → Account и вижте какъв продукт и статус са показани. Помолете поддръжката да провери дали KB5002907 е инсталирана и дали е свързана с появата на проблема. Microsoft дава указания за повторна активация, а при премахната инсталация — за преинсталиране на вече закупения продукт. Не купувайте нов лиценз, преди да бъде проверена причината.
🔴 MikroTik: обновяването на рутера е само първата стъпка
CERT Polska потвърждава атаки срещу MikroTik рутери с достъпна от интернет SSH услуга. Комбинация от две уязвимости, наречена MikroTrick, може да даде на нападателя пълен административен контрол, без да знае парола. Атаки са наблюдавани още в началото на септември; през тази седмица CERT Polska публикува подробен анализ на механизма.
За офис, който използва MikroTik, това означава, че рутерът трябва и да се обнови, и да се провери за вече направени промени. Поправките за MikroTrick са включени във версиите 7.24.2, 7.23.4 и 6.49.21 според използвания клон на RouterOS, както и в следващите подходящи версии. Веригата включва CVE-2026-67279 и CVE-2026-86060.
Задача за IT поддръжката: проверете версията, ограничете SSH достъпа от интернет и прегледайте потребителите, скриптовете, планираните задачи, тунелите и логовете. Потребител ops или статус Flagged са сигнали за разследване. Липсата им обаче не доказва, че устройството е безопасно.
При съмнение за пробив първо запазете логовете и конфигурацията за анализ. След това изолирайте устройството и го възстановете от доверена конфигурация, а не от копие, направено след вероятното компрометиране.
🔴 WordPress: критична поправка за фирмените сайтове
На 22 септември излезе WordPress 7.1.2 с поправка за критична уязвимост CVE-2026-87902. При определени условия нападател без потребителски акаунт може да накара сайта да зареди избран локален PHP файл; това може да доведе до изпълнение на код. Канадският Centre for Cyber Security съобщава и за данни, че уязвимостта се използва в реални атаки.
Това засяга фирмени сайтове, блогове и магазини на WordPress, включително когато се поддържат от външен доставчик. Не е необходимо служител да отвори подозрителен имейл — атаката е насочена към самия сайт.
Какво да направите: проверете версията на WordPress и приложете 7.1.2 или съответната защитна поправка за поддържания по-стар клон. Помолете поддръжката да прегледа непознатите администраторски акаунти и необичайните промени по файловете. Обновяването на добавките и темите остава отделна редовна задача.
🔴 Roundcube: атаки срещу служебния webmail
Ако фирмата отваря пощата си през Roundcube, проверете коя версия работи на сървъра. Уязвимостта CVE-2026-48842 засяга обработката на заявки преди вход при определена конфигурация на Roundcube. Това означава, че за опит за атака не е нужна паролата на служител.
Поправката за този проблем е налична още от май — във версии 1.6.16 и 1.7.1. През септември канадският Centre for Cyber Security предупреди, че има данни за експлоатация. Междувременно Roundcube публикува и по-нови защитни версии: 1.6.19 и 1.7.4.
Какво да направите: попитайте хостинг доставчика или администратора коя версия е инсталирана и дали е обновена до актуалната защитна версия за използвания клон. При стара инсталация трябва да се прегледат и сървърните логове. Служителите не могат да решат този проблем чрез смяна на собствената си парола.
📖 Понятие на седмицата: Pre-authentication (атака преди вход)
Pre-authentication означава, че нападателят може да опита да използва уязвимост, преди да е влязъл в системата. Не му е необходим валиден акаунт или открадната парола.
Затова публично достъпни услуги като фирмен сайт и webmail трябва да се обновяват навреме, дори когато няма данни за компрометирани потребителски акаунти.
🔗 Полезни връзки
- Microsoft — KB5002907 и указания за засегнатите инсталации
- CERT Polska — потвърдените атаки срещу MikroTik
- CERT Polska — технически анализ на MikroTrick
- WordPress — защитната версия 7.1.2
- Canadian Centre for Cyber Security — WordPress
- Roundcube — актуалните защитни версии
- Canadian Centre for Cyber Security — Roundcube
За рубриката
„Седмичен обзор по киберсигурност“ е рубрика на Бекъп България с кратки, разбираеми и практически изводи за малкия и средния бизнес.
Нов обзор – всеки понеделник.