Первая неделя октября 2026 года отметилась сразу несколькими значимыми событиями: третий арест по делу ShinyHunters, конфискация инструментов группировки Flax Typhoon, массовый выпуск критических патчей от Atlassian, Fortinet и десятков других вендоров, а также появление нового класса техник — встраивание инструкций на естественном языке в вредоносное ПО для обмана AI-анализаторов. Ниже — разбор наиболее значимых событий с оценкой воздействия и рекомендациями.
Критические уязвимости недели
Atlassian: произвольный доступ к файлам (CVE-2026-21589)
Уязвимость CVE-2026-21589 (CVSS 9.3) затрагивает множество продуктов Atlassian Data Center: Bitbucket, Confluence, Jira Service Management, Jira Software, Bamboo, Crowd, Crucible и Fisheye. Уязвимость позволяет получить произвольный доступ к файлам на сервере. Согласно бюллетеню Atlassian, для эксплуатации атакующему необходимо заранее знать точное имя и путь к целевому файлу — перечисление директорий невозможно.
Важная деталь, которую стоит учитывать при оценке рисков: облачные продукты Atlassian уже получили исправление, и вендор заявляет об отсутствии признаков эксплуатации в облачной среде. Таким образом, срочные действия требуются только от организаций, использующих самоуправляемые (Data Center) инсталляции. Это существенное разграничение, которое определяет приоритет реагирования.
По данным The Hacker News, эксплуатация уязвимости в honeypot-сетях началась уже через два часа после публикации технических деталей исследователями watchTowr. Однако независимого подтверждения активной эксплуатации в первичных источниках, доступных для верификации, обнаружено не было.
Fortinet FortiPAM: обход аутентификации в расширении Chrome
Компания Fortinet опубликовала бюллетень FG-IR-26-168 с оценкой CVSSv3 9.6, описывающий уязвимость обхода аутентификации (CWE-287). Примечательно расхождение: заголовок бюллетеня указывает на «FortiPAM Server», тогда как тело описывает уязвимость именно в Fortinet Privileged Access Agent Chrome Extension. Уязвимость позволяет удалённому неаутентифицированному атакующему перенаправить браузерный трафик пользователя через подконтрольные серверы при посещении вредоносного сайта.
Zammad: два zero-day с эксплуатацией в дикой природе
Две уязвимости в системе тикетов Zammad — CVE-2026-102489 (удалённое выполнение кода, версии 6.3.0–6.5.4) и CVE-2026-102490 (повышение привилегий, все версии 1.5.0–7.1.0-alpha) — были использованы как zero-day при взломе Голландского института раскрытия уязвимостей (DIVD). CISA внесла обе уязвимости в каталог Known Exploited Vulnerabilities 2 октября с крайним сроком исправления 5 октября 2026 года.
Правоохранительные операции
Третий арест по делу ShinyHunters
ФБР объявило о третьем аресте в рамках расследования деятельности группировки ShinyHunters, которую связывают с инцидентом на платформе FBIjobs.gov. По данным судебных документов и независимых журналистов, арестованным стал Эдвард Дубровский — 54-летний канадский ИБ-руководитель и инвестор из Торонто. Ему предъявлены обвинения в сговоре с целью вымогательства и воспрепятствовании коммерческой деятельности путём угроз. Сама группировка в Telegram-канале заявила о намерении прекратить активность на платформе в связи с арестами.
Конфискация инструментов Flax Typhoon
Согласно заявлению Министерства юстиции США, ФБР провело санкционированную судом конфискацию инструментов Microscan (разведка и сканирование уязвимостей) и FishHub (целевой фишинг и доставка полезных нагрузок), связываемых с китайской APT-группировкой Flax Typhoon и компанией Integrity Technology Group. По данным DOJ, среди целей Microscan были энергетическая компания в Южной Каролине, аэропорты в Японии и Польше, тайваньские объекты газовой и энергетической инфраструктуры. FishHub, по данным обвинения, использовался против примерно 20 тайваньских университетов.
Среди конфискованных доменов, связанных с доставкой FishHub:
- 98aicai[.]com
- 98aicode[.]com
- outlook3650[.]com
- youtubecard[.]com
- linkedinns[.]net
Мы уже писали об уязвимостях в продуктах Cisco, которые также фигурировали в контексте атак на критическую инфраструктуру.
Новые техники: AI-уклонение в вредоносном ПО
По данным исследования Cisco Talos, авторы вредоносного ПО начали встраивать инструкции на естественном языке непосредственно в код — с целью повлиять на результаты автоматизированного AI-анализа. Техника, получившая название AI-Analysis Evasion (A3), обнаружена в четырёх семействах малвари: FRUITSHELL, PLOTSAFE, HOLLOWCLAD и MANTLEMAZE. Всего проанализировано 84 образца за период с января 2025 по июль 2026 года.
Методы варьируются от антианалитических комментариев в исходном коде до шаблонных инструкций, имитирующих предупреждения о honeypot-среде. По оценке Talos, в лучшем случае такие техники смещали результат AI-анализа в пользу атакующего примерно в 35% тестовых запусков. При этом исследователи отмечают, что необходимость хранить инструкции в открытом тексте создаёт устойчивую поверхность для детектирования — организации, использующие AI-инструменты для анализа малвари, могут строить правила обнаружения именно на этих текстовых паттернах.
Akira: типичная цепочка атаки
Расследование Huntress сентябрьской атаки группировки Akira выявило характерную последовательность действий: первоначальный доступ через RDP, отключение антивируса, развёртывание Rclone для эксфильтрации данных, установка GOST-туннеля (вероятно, для обеспечения устойчивого доступа) и финальное развёртывание шифровальщика. Среди индикаторов компрометации — IP-адрес C2-сервера GOST-туннеля: 64.227.4.134. Этот индикатор специфичен для конкретного инцидента и требует контекстной валидации перед блокировкой.
Другие значимые события
По данным OpenAI, были пресечены две операции влияния — российская (Dark Clark) и иранская (Bogus Bylines), — использовавшие ChatGPT для создания фиктивных журналистских персон и аналитических центров. Иранская операция успешно разместила почти 100 статей в различных изданиях, некоторые из которых имели аудиторию в 2 миллиона подписчиков на Facebook. OpenAI отмечает, что конкретного актора за иранской операцией идентифицировать не удалось.
Статистика Comparitech за Q3 2026 фиксирует рекордные 2 627 инцидентов с вымогательским ПО — рост на 29% к предыдущему кварталу и на 61% к Q3 2025. Медианное требование выкупа составило $150 000, среднее — $602 400.
Рекомендации
- Atlassian Data Center: немедленно обновите все самоуправляемые инсталляции Bitbucket, Confluence, Jira, Bamboo, Crowd, Crucible и Fisheye до версий, указанных в бюллетене вендора. Облачные клиенты действий не требуют.
- Zammad: обновите до версии, устраняющей CVE-2026-102489 и CVE-2026-102490. Федеральные агентства США обязаны были завершить патчинг до 5 октября.
- FortiPAM: проверьте наличие расширения Fortinet Privileged Access Agent в браузерах Chrome и примените обновление согласно бюллетеню Fortinet.
- Flax Typhoon IOC: проверьте сетевые логи на обращения к перечисленным доменам (98aicai[.]com, outlook3650[.]com и др.) и заблокируйте их.
- Akira: контролируйте использование Rclone и GOST в корпоративной среде, ограничьте RDP-доступ и проверьте целостность антивирусных агентов.
Неделя продемонстрировала две параллельные тенденции: правоохранительные органы наращивают давление на киберпреступные группировки (ShinyHunters, Flax Typhoon, Empire Market), но одновременно атакующие осваивают принципиально новые техники — от обмана AI-анализаторов до эксплуатации уязвимостей в течение часов после раскрытия. Приоритет для команд безопасности на ближайшие дни — патчинг Atlassian Data Center и Zammad, а также проверка инфраструктуры на индикаторы Flax Typhoon.
