- CVE-2026-86218: чергова вразливість RCE без потреби автентифікації в N-able N-central, що активно експлуатується
- Життя на межі: нові ризики для пристроїв мережевого периметра
- Три вразливості в Citrix NetScaler ADC та Gateway активно експлуатуються
- Дві нові вразливості SonicWall SMA1000 додано до списку CISA KEV
- CVE-2025-25249: активна експлуатація Fortinet FortiOS
- CVE-2026-94127: вразливість OAuth у F5 BIG-IP APM, що активно експлуатується, дозволяє RCE без автентифікації
- Критичні вразливості в продуктах безпеки Check Point включають дві, що активно експлуатуються
- Adobe Commerce / Magento: дві вразливості CVE, що активно експлуатуються, дозволяють віддалене виконання коду PHP та захоплення облікових записів клієнтів
- CVE-2026-28326: жорстко закодований ключ у SolarWinds Access Rights Manager дозволяє віддалене виконання коду (RCE) без автентифікації
- Ivanti виправляє шість критичних вразливостей у Neurons ITSM
- Висновок
Поширене та безконтрольне накопичення боргу з безпеки в корпоративних ІТ відбувається прискореними темпами. Хоча показники вражають, необхідно враховувати, що регулярне сканування, впорядковане визначення пріоритетів і своєчасне встановлення виправлень залишаються базовим способом запобігання експлуатації програмних недоліків зловмисниками. За умови застосування добре скоординованих програм із безпеки управління вразливостями є сталим процесом. З іншого боку, в окремих випадках виникає необхідність підвищити рівень зрілості процесів управління вразливостями, щоб неусунені загрози не призвели до катастрофічних наслідків.
Нижче наведено перелік проблем із високим рівнем ризику для корпоративних ІТ, що виникли у вересні 2026 року.
CVE-2026-86218: чергова вразливість RCE без потреби автентифікації в N-able N-central, що активно експлуатується
- CVSS: 9.8 (Критична)
- EPSS: 12.9% (96-й)
- Статус: активно експлуатується
- CISA KEV: внесено до каталогу
- PoC: наявний публічний експлойт (Proof of Concept)
CVE-2026-86218 (CVSS 9.8, EPSS ≥ 96th pctl) – це критична вразливість віддаленого виконання коду (RCE) без потреби автентифікації в N-able N-central до версії 2026.3.1.14. Першопричиною є неналежна нейтралізація директив у статично збереженому коді [CWE-96]. Вразливість CVE-2026-86218 додано до списку CISA KEV. Наявність детального технічного аналізу, модуля Metasploit та щонайменше ще одного публічного експлойта (PoC) додатково підвищує ризик поточних атак.
Минулого місяця вразливості N-central також двічі потрапляли до каталогу CISA KEV, а у 2025 році про них двічі попереджали в блозі Greenbone[1][2]. Ризик є високим, оскільки N-central – це платформа віддаленого адміністрування, яку використовують внутрішні відділи ІТ та постачальники керованих сервісів (MSP). Компрометація сервера N-central створює загрозу для всіх керованих клієнтських середовищ.
Постачальник опублікував виправлення для CVE-2026-86218 у версії 2026.3 HF4 (збірка 2026.3.1.14). Рекомендується перевірити рівень встановлених оновлень, оскільки 2026.3 HF3 було випущено лише за кілька днів до цього для усунення CVE-2026-86206 та CVE-2026-86207. Вважається, що CVE-2026-86206 експлуатується в реальних умовах. Previdian повідомляє про експлуатацію CVE-2026-86207 щодо своїх сенсорів; також доступний детальний технічний аналіз. OPENVAS ENTERPRISE FEED містить віддалену перевірку за банером служби для CVE-2026-86218, а також окрему віддалену перевірку банера та активну перевірку, що охоплюють CVE-2026-86206 і CVE-2026-86207.
Життя на межі: нові ризики для пристроїв мережевого периметра
Згідно з останнім звітом Verizon DBIR 2026, експлуатація публічно доступних програмних вразливостей наразі є найпоширенішим вектором початкового доступу у світі. Рішення OPENVAS SCAN версії Enterprise від Greenbone демонструє високу ефективність у виявленні вразливостей периметра за допомогою як мережевого сканування, так і автентифікованого сканування на рівні хоста. У поєднанні з OPENVAS ENTERPRISE FEED можливості виявлення від Greenbone відповідають найвищим стандартам галузі. Нижче наведено деякі з найбільш критичних загроз для пристроїв периметра, що виникли у вересні 2026 року.
Три вразливості в Citrix NetScaler ADC та Gateway активно експлуатуються
У вересні до списку CISA KEV було додано три CVE, які впливають на Citrix NetScaler ADC та NetScaler Gateway. Інформацію про CVE-2026-88771 (CVSS 9.8) та CVE-2026-88772 (CVSS 8.1) було опубліковано наприкінці вересня; CVE-2026-19490 (CVSS 9.8) у жовтні 2026. У відкритому доступі наявні кілька детальних технічних описів, які стосуються однієї або кількох з цих вразливостей, а також загальнодоступні експлойти PoC.
CVE-2026-88771
- CVSS: 9.8 (Критична)
- EPSS: 1.1% (63-й)
Вразливість неналежної перевірки вхідних даних [CWE-20] уможливлює довільне віддалене виконання коду (RCE) без автентифікації. Усі розгортання NetScaler ADC та NetScaler Gateway є вразливими у стандартній конфігурації.
CVE-2026-19490
- CVSS: 9.8 (Критична)
- EPSS: 8.0% (95-й)
Обхід автентифікації з використанням альтернативного шляху [CWE-288] дозволяє віддаленому неавтентифікованому зловмиснику здійснювати вплив на пристрої.
Для можливості експлуатації необхідно, щоб пристрій був налаштований як шлюз або віртуальний сервер AAA, а для деяких пізніших уражених збірок також має бути налаштована дія SAML. Практичний вплив залежить від конфігурації: зловмисник може викликати умови DoS або, на вразливому шлюзі, потенційно отримати анонімну автентифіковану сесію VPN із доступом до внутрішньої мережі організації.
CVE-2026-88772
- CVSS: 8.1 (Висока)
- EPSS: 1.3% (69-й)
Вразливість переповнення пам’яті [CWE-119], яка дозволяє віддалене виконання коду (RCE) або створення умов відмови в обслуговуванні (DoS). Можливість експлуатації залежить від активації DTLS, що ввімкнено за замовчуванням у розгортаннях VPN vServer.
Уражені версії наведено нижче:
| CVE | Уражені версії | Виправлені версії |
| CVE-2026-88771 | – NetScaler ADC та Gateway 14.1 до 14.1-73.37 – NetScaler ADC та Gateway 13.1 до 13.1-64.23 – NetScaler ADC FIPS до 14.1-73.37 – NetScaler ADC FIPS та NDcPP до 13.1-37.279 | – NetScaler ADC та Gateway 14.1-73.37 і новіші – NetScaler ADC та Gateway 13.1-64.23 і новіші – NetScaler ADC 14.1-FIPS 14.1-73.37 FIPS і новіші – NetScaler ADC 13.1-FIPS та 13.1-NDcPP 13.1.37.279 і новіші |
| CVE-2026-19490 | – NetScaler ADC та Gateway 14.1 до 14.1-73.32 – NetScaler ADC та Gateway 13.1 до 13.1-63.21 – NetScaler ADC FIPS до 14.1-73.32 – NetScaler ADC FIPS та NDcPP до 13.1-37.277 | – NetScaler ADC та Gateway 14.1-73.32 і новіші – NetScaler ADC та Gateway 13.1-63.21 і новіші – NetScaler ADC 14.1-FIPS 14.1-73.32 FIPS і новіші – NetScaler ADC 13.1-FIPS та 13.1-NDcPP 13.1-37.277 і новіші |
| CVE-2026-88772 | – NetScaler ADC та Gateway 14.1 до 14.1-73.37 – NetScaler ADC та Gateway 13.1 до 13.1-64.23 – NetScaler ADC FIPS до 14.1-73.37 – NetScaler ADC FIPS та NDcPP до 13.1-37.279 | – NetScaler ADC та Gateway 14.1-73.37 і новіші – NetScaler ADC та Gateway 13.1-64.23 і новіші – NetScaler ADC 14.1-FIPS 14.1-73.37 FIPS і новіші – NetScaler ADC 13.1-FIPS та 13.1-NDcPP 13.1.37.279 і новіші |
Постачальник не надав жодних обхідних рішень. Користувачам уражених систем рекомендується виконати оновлення до відповідної виправленої збірки, як описано вище. Одразу після розкриття інформації про вразливості до OPENVAS ENTERPRISE FEED було додано віддалену перевірку версії банера для CVE-2026-88771 та CVE-2026-88772, а також окрему віддалену перевірку банера й активну перевірку для CVE-2026-19490.
Дві нові вразливості SonicWall SMA1000 додано до списку CISA KEV
Компанія SonicWall підтвердила, що дві нові вразливості SMA1000, описані нижче, активно експлуатуються в реальних умовах.
CVE-2026-83548
- CVSS: 10 (Критична)
- EPSS: 8.8% (95-й)
Вразливість SSRF до проходження автентифікації [CWE-918] в інтерфейсі Appliance Work Place, спричинена наявністю ненавмисного альтернативного шляху доступу. Віддалений неавтентифікований зловмисник може отримати несанкціонований доступ до критичного функціоналу та виконувати несанкціоновані операції.
CVE-2026-83549
- CVSS: 7.8 (Висока)
- EPSS: 10.8% (96-й)
Вразливість ін’єкції команд ОС [CWE-78] у консолі Appliance Management Console (AMC) дозволяє віддаленому автентифікованому зловмиснику з обліковими даними адміністратора виконувати довільні команди ОС на ураженому пристрої.
Експлуатацію цих двох вразливостей можна об’єднати в ланцюжок для досягнення RCE без потреби автентифікації на уражених пристроях. Модуль Metasploit, який охоплює цей ланцюжок експлуатації, є доступним. Компанія SonicWall випустила комбіноване оновлення безпеки в SNWLID-2026-0016. Протягом кількох годин після оприлюднення інформації до OPENVAS ENTERPRISE FEED було додано віддалену перевірку банера, що охоплює обидві CVE.
| Продукти | Уражені версії | Виправлені версії |
| SonicWall SMA1000 (6210, 7210, 8200v) | – 12.4.3-03453 та попередні – 12.5.0-02835 та попередні | – 12.4.3-03526 – 12.5.0-02952 |
CVE-2025-25249: активна експлуатація Fortinet FortiOS
- CVSS: 9.8 (Критична)
- EPSS: 3.9% (90-й)
- Статус: активно експлуатується
- CISA KEV: внесено до каталогу
CVE-2025-25249 (CVSS 9.8, EPSS ≥ 90th pctl), опублікована в січні 2026 року, є вразливістю переповнення буфера в купі [CWE-122] у демоні cw_acd від Fortinet. cw_acd – це демон контролера доступу CAPWAP (Control and Provisioning of Wireless Access Points) від Fortinet. Вразливий шлях доступний через мережу, а експлуатація дозволяє довільне віддалене виконання коду (RCE) без автентифікації на уражених пристроях FortiOS, FortiSwitchManager та FortiSASE. У FortiOS налаштування інтерфейсу set allowaccess fabric активує сервіс Security Fabric Connection, який містить FortiTelemetry та кінцеву точку CAPWAP.
CVE-2025-25249 експлуатується в реальних умовах із липня 2026 року, а у вересні CISA додала цю вразливість до свого каталогу KEV. Цей недолік використовувався для розгортання PivotC2 – нового штаму шкідливого програмного забезпечення на базі Node.js – проти щонайменше 178 підтверджених цілей.
| Продукт | Уражені версії | Виправлені версії |
| FortiOS | – від 7.6.0 до 7.6.3 включно – від 7.4.0 до 7.4.8 включно – від 7.2.0 до 7.2.11 включно – від 7.0.0 до 7.0.17 включно – 6.4 (усі версії) | – 7.6.4 – 7.4.9 – 7.2.12 – 7.0.18 |
| FortiSwitchManager | – від 7.2.0 до 7.2.6 включно – від 7.0.0 до 7.0.5 включно | – 7.2.7 – 7.0.6 |
| FortiSASE | – 25.2.b – 25.1.a.2 | – 25.2.c – 25.1.b |
Fortinet зазначає, що вплив проблеми можна пом’якшити шляхом скасування доступу до fabric для кожного інтерфейсу або заборони доступу до демона CAPWAP. Рекомендується перевірити рівень відкритості систем до цієї загрози та застосувати обхідне рішення або оновити уражені пристрої до найновіших виправлених версій. Для пристроїв, на яких використовується FortiOS версії 6.4, необхідно здійснити перехід на гілку релізів із виправленнями. Одразу після розкриття інформації до OPENVAS ENTERPRISE FEED від Greenbone було додано виявлення на рівні пакетів для CVE-2025-25249 у FortiOS. ENTERPRISE FEED також містить регулярні перевірки для виявлення нових вразливостей, що впливають на продукти Fortinet.
CVE-2026-94127: вразливість OAuth у F5 BIG-IP APM, що активно експлуатується, дозволяє RCE без автентифікації
- CVSS: 9.8 (Критична)
- EPSS: 2.2% (82-й)
- Статус: активно експлуатується
- CISA KEV: внесено до каталогу
CVE-2026-94127 (CVSS 9.8, EPSS ≥ 82nd pctl) є критичним переповненням буфера в купі [CWE-122], що впливає на F5 BIG-IP APM. Цей недолік дозволяє довільне RCE без автентифікації та повну компрометацію системи на уражених пристроях. Можливість експлуатації залежить від налаштування політики доступу APM та профілю OAuth на одному й тому ж віртуальному сервері. Розгортання, які використовують APM лише як клієнт OAuth або сервер ресурсів, не піддаються впливу.
Ланцюжок атаки передбачає надсилання надмірно великого заголовка Authorization: Bearer до кінцевої точки OAuth, такої як /f5-oauth2/v1/userinfo. Компанія F5 підтвердила активну експлуатацію в реальних умовах, а саму вразливість було додано до списку CISA KEV. Крім того, watchTowr Labs опублікувала технічний опис із деталями експлуатації.
Для клієнтів із договором про підтримку F5 надає офіційне обхідне рішення на базі iRule. Інші засоби тимчасового пом’якшення проблеми включають обмеження доступу до кінцевих точок OAuth за допомогою білих списків IP-адрес або правил фаєрвола вебзастосунків (WAF), а також вимкнення сервера авторизації OAuth, якщо він не використовується. OPENVAS ENTERPRISE FEED містить виявлення на рівні пакетів для CVE-2026-94127 у F5 BIG-IP APM, а також регулярне виявлення вразливостей, що впливають на продукти F5. Уражені версії та відповідні хотфікси (hotfix) наведено нижче:
| Уражені версії | Хотфікси |
| 17.1.0 до Hotfix-BIGIP-17.1.3.5.0.41.14-ENG | 17.1.0 Hotfix-BIGIP-17.1.3.5.0.41.14-ENG |
| 17.5.0 до Hotfix-BIGIP-17.5.1.9.0.160.12-ENG | 17.5.0 Hotfix-BIGIP-17.5.1.9.0.160.12-ENG |
| 21.1.0 до Hotfix-BIGIP-21.1.0.2.0.30.22-ENG | 21.1.0 Hotfix-BIGIP-21.1.0.2.0.30.22-ENG |
Критичні вразливості в продуктах безпеки Check Point включають дві, що активно експлуатуються
Компанія Check Point повідомила про активну експлуатацію двох критичних недоліків: CVE-2026-85102 (CVSS 9.8, EPSS ≥ 94th pctl), який впливає на обробку сертифікатів VPN у Check Point Quantum Security Gateway та Spark Firewall, і CVE-2026-93616 (CVSS 9.8, EPSS ≥ 97th pctl) у вебсервісі управління Check Point. Обидві проблеми було додано до каталогу CISA KEV. У вересні було розкрито ще дві критичні вразливості: CVE-2026-85103 (CVSS 9.8, EPSS ≥ 89th pctl) і CVE-2026-91843 (CVSS 9.8, EPSS ≥ 42nd pctl), що впливають на компоненти VPN та площини управління.
Атаки на клієнтів Spark з анонімізованих IP-адрес фіксувалися в усьому світі. За даними Check Point, активність після експлуатації включала сканування внутрішніх портів та сервісів. Хоча Security Management and Log Server не є безпосередньо мережевим сервісом периметра, система Censys виявила 3836 загальнодоступних екземплярів у глобальному масштабі.
CVE-2026-85102
- CVSS: 9.8 (Критична)
- EPSS: 7.5% (94-й)
Неналежна довіра до сертифіката [CWE-295] під час узгодження з’єднання VPN у Check Point Quantum Security Gateway дозволяє віддаленому неавтентифікованому зловмиснику виконувати довільний код на шлюзі.
CVE-2026-93616
- CVSS: 9.8 (Критична)
- EPSS: 19.7% (97-й)
Вразливість обходу каталогу [CWE-22] дозволяє неавтентифікованому зловмиснику завантажувати та виконувати довільні скрипти на сервері Check Point Management Server.
CVE-2026-85103
- CVSS: 9.8 (Критична)
- EPSS: 3.7% (89-й)
Вразливість переповнення буфера в купі [CWE-122] під час декодування ASN.1 сертифіката VPN дозволяє віддаленому неавтентифікованому зловмиснику виконувати довільний код у системах Check Point Quantum Security Management та Quantum Security Gateway.
CVE-2026-91843
- CVSS: 9.8 (Критична)
- EPSS: 0.5% (42-й)
Вразливість переповнення стека [CWE-121] під час процесу входу дозволяє віддаленому неавтентифікованому зловмиснику виконувати довільний код із правами root.
OPENVAS ENTERPRISE FEED містить віддалену перевірку банера, що охоплює CVE-2026-85102 та CVE-2026-85103, а також окремі віддалені перевірки банера для CVE-2026-93616 і CVE-2026-91843. Організаціям, які використовують уражені продукти Check Point, рекомендується надати пріоритет виправленню доступних з інтернету систем VPN та управління, зосередивши максимальну увагу на двох вразливостях, що зазнають активної експлуатації.
Adobe Commerce / Magento: дві вразливості CVE, що активно експлуатуються, дозволяють віддалене виконання коду PHP та захоплення облікових записів клієнтів
Компанія Adobe розкрила інформацію про дві проблеми критичного рівня серйозності в Adobe Commerce та Magento Open Source. Вразливість CVE-2026-75650 (CVSS 10, EPSS ≥ 90-й pctl), що отримала назву «StyleSmuggler», є недоліком рушія шаблонів [CWE-1336], який уможливлює довільне RCE без автентифікації. Другий критичний недолік, CVE-2026-71362 (CVSS 9.1, EPSS = 100-й pctl), становить собою проблему некоректної авторизації [CWE-863], що дозволяє підвищення привілеїв. За повідомленням Adobe, CVE-2026-75650 експлуатується в реальних умовах. Обидві CVE було додано до списку CISA KEV і позначено для проведення первинного криміналістичного сортування.
Компанія Sansec повідомила, що експлуатація StyleSmuggler розпочинається з неавтентифікованого запиту до кінцевої точки GraphQL платформи Magento. Використовуючи спеціально сформований запит HTTP, зловмисник може непомітно передати шкідливий код PHP через заголовки та параметри HTTP до ланцюга обробки шаблонів. Цей шкідливий код PHP згодом виконується під час автоматичного рендерингу електронних листів. Також у Sansec зазначили, що вразливість CVE-2026-71362 дозволяє зловмисникам перемикати сесію клієнта на обліковий запис іншого користувача, що надає їм доступ до конфіденційних даних клієнтів.
До OPENVAS ENTERPRISE FEED додано окремі віддалені перевірки банера для виявлення CVE-2026-75650 та CVE-2026-71362 у системах Adobe Commerce і Magento Open Source. Вразливість CVE-2026-71362 розробники усунули за допомогою оновлення безпеки APSB26-138. Згодом для недоліку CVE-2026-75650 (StyleSmuggler) фахівці Adobe випустили термінове виправлення VULN-39341. Обидва оновлення потрібно застосовувати з врахуванням ураженої гілки релізів. Крім того, компанія рекомендує виконати ротацію розкритих ключів шифрування, секретів OAuth, токенів для сторонніх розширень, платіжних реквізитів та інших привілейованих облікових даних.
CVE-2026-28326: жорстко закодований ключ у SolarWinds Access Rights Manager дозволяє віддалене виконання коду (RCE) без автентифікації
- CVSS: 8.8 (Висока)
- EPSS: 0.7% (51-й)
Вразливість CVE-2026-28326 (CVSS 8.8) дозволяє віддалене виконання коду (RCE) без автентифікації в SolarWinds Access Rights Manager версій до 2026.2.1. Першопричиною проблеми є жорстко заданий статичний ключ [CWE-321], а успішна експлуатація призводить до повної компрометації пристрою. У відкритому доступі вже з’явилися певні технічні деталі, які можуть сприяти розробці експлойтів. Сервіс gRPC продукту ARM, що працює на порту TCP 55555, некоректно обробляє відсутність клієнтського сертифіката під час автентифікації TLS – замість відмови він переспрямовує запит на резервний механізм. Цей обхідний шлях приймає токен HMAC, згенерований за допомогою жорстко закодованого секрету, завдяки чому зловмисник може пройти автентифікацію взагалі без сертифіката.
Рішення Access Rights Manager (ARM) застосовують для надання, скасування, аудиту та управління правами доступу користувачів до систем, файлів і даних у корпоративних мережах (зокрема в Microsoft Active Directory, Exchange та SharePoint). Оскільки продукт відіграє ключову роль в адмініструванні доступу, встановлення виправлення для CVE-2026-28326 має критичне значення – особливо якщо ARM доступний із ненадійних адрес IP.
OPENVAS ENTERPRISE FEED містить віддалену перевірку банера на наявність CVE-2026-28326 у SolarWinds ARM. Недолік стосується Access Rights Manager 2026.2 та всіх попередніх релізів. Якщо систему неможливо оновити негайно, SolarWinds наполегливо рекомендує закрити публічний доступ до ARM з інтернету та обмежити підключення лише довіреними адресами IP. Для повноцінного усунення загрози користувачам слід якомога швидше перейти на виправлену версію 2026.2.1.
Ivanti виправляє шість критичних вразливостей у Neurons ITSM
Компанія Ivanti розкрила інформацію про вісім нових вразливостей CVE у Neurons for ITSM (версії до 2026.2); усі вони дозволяють віддалене виконання коду (RCE) на сервері. Шість із них мають критичний рівень серйозності. Дві проблеми можна експлуатувати без попередньої автентифікації, тоді як решта вимагає автентифікованого доступу. До переліку цих CVE увійшли недоліки некоректної десеріалізації [CWE-502] та відсутності авторизації [CWE-862]. Хоча наразі немає свідчень експлуатації в реальних умовах, продукти Ivanti залишаються популярною ціллю для кібератак, зокрема із застосуванням програм-вимагачів.
Адміністратори та ІТ-персонал використовують Ivanti Neurons for ITSM для управління сервісними запитами, інцидентами, проблемами та змінами. Успішна експлуатація надає зловмисникам можливість маніпулювати даними service-desk, обліковими даними й інтеграціями, а також потенційно просуватися далі в ІТ-мережу організації.
Перелік уражених версій і відповідних виправлень наведено нижче:
| Тип розгортання | Уражені версії | Статус виправлення |
| Ivanti ITSM On-premises | 2025.2, 2025.3, 2025.4, 2026.1 | Застосуйте оновлення безпеки за вересень 2026 року для відповідної гілки релізів |
| Ivanti ITSM On-premises (випуск від 21 вересня 2026 р.) | 2026.2 | Не уражена |
У рекомендаціях безпеки від постачальника зазначається, що клієнти хмарної версії вже захищені, проте адміністраторам локальних систем необхідно застосувати відповідний патч для усунення загрози. Одразу після розкриття інформації до OPENVAS ENTERPRISE FEED додали віддалену перевірку банера, яка охоплює всі згадані вище CVE в середовищі Ivanti Neurons for ITSM.
Висновок
У вересні критичні недоліки в корпоративних продуктах ІТ зростали дуже швидко. Виявлені критичні недоліки в рішеннях N-able N-central, Citrix NetScaler, SonicWall, Fortinet, F5, Check Point, Adobe Commerce й Ivanti Neurons ITSM демонструють стабільно високий рівень загроз для систем, відкритих до інтернету. Хоча ці цифри вражають, фахівцям із кібербезпеки необхідно зберігати пильність. Регулярне сканування, впорядкована пріоритизація та своєчасне встановлення виправлень залишаються найдієвішим методом протидії зловмисникам, які намагаються експлуатувати програмні недоліки.
