Перший тиждень жовтня 2026 року позначився відразу кількома значущими подіями: третім арештом у справі ShinyHunters, конфіскацією інструментів угруповання Flax Typhoon, масовим випуском критичних патчів від Atlassian, Fortinet і десятків інших вендорів, а також появою нового класу технік — вбудовування інструкцій природною мовою у шкідливе ПЗ для обману AI-аналізаторів. Нижче — розбір найважливіших подій з оцінкою впливу та рекомендаціями.
Критичні вразливості тижня
Atlassian: довільний доступ до файлів (CVE-2026-21589)
Вразливість CVE-2026-21589 (CVSS 9.3) зачіпає низку продуктів Atlassian Data Center: Bitbucket, Confluence, Jira Service Management, Jira Software, Bamboo, Crowd, Crucible і Fisheye. Вразливість дає змогу отримати довільний доступ до файлів на сервері. Згідно з бюлетенем Atlassian, для експлуатації зловмисник має заздалегідь знати точну назву та шлях до цільового файла — перелікування директорій неможливе.
Важлива деталь, яку варто враховувати під час оцінки ризиків: хмарні продукти Atlassian уже отримали виправлення, і вендор заявляє про відсутність ознак експлуатації в хмарному середовищі. Таким чином, невідкладні дії потрібні лише від організацій, що використовують самокеровані (Data Center) інсталяції. Це суттєве розмежування, яке визначає пріоритет реагування.
За даними The Hacker News, експлуатація вразливості в honeypot-мережах почалася вже через дві години після публікації технічних деталей дослідниками з watchTowr. Втім, незалежного підтвердження активної експлуатації в первинних джерелах, доступних для верифікації, виявлено не було.
Fortinet FortiPAM: обхід автентифікації в розширенні Chrome
Компанія Fortinet опублікувала бюлетень FG-IR-26-168 з оцінкою CVSSv3 9.6, у якому описано вразливість обходу автентифікації (CWE-287). Примітне розходження: заголовок бюлетеня вказує на «FortiPAM Server», тоді як тіло описує вразливість саме в Fortinet Privileged Access Agent Chrome Extension. Вразливість дає змогу віддаленому неавтентифікованому зловмиснику перенаправити браузерний трафік користувача через підконтрольні сервери під час відвідування шкідливого сайта.
Zammad: два zero-day з експлуатацією в реальних атаках
Дві вразливості в системі тікетів Zammad — CVE-2026-102489 (віддалене виконання коду, версії 6.3.0–6.5.4) і CVE-2026-102490 (підвищення привілеїв, усі версії 1.5.0–7.1.0-alpha) — були використані як zero-day під час зламу Голландського інституту розкриття вразливостей (DIVD). CISA внесла обидві вразливості до каталогу Known Exploited Vulnerabilities 2 жовтня з крайнім терміном виправлення 5 жовтня 2026 року.
Правоохоронні операції
Третій арешт у справі ShinyHunters
ФБР оголосило про третій арешт у межах розслідування діяльності угруповання ShinyHunters, яке пов’язують з інцидентом на платформі FBIjobs.gov. За даними судових документів і незалежних журналістів, заарештованим став Едвард Дубровський — 54-річний канадський керівник з ІБ та інвестор із Торонто. Йому висунуто обвинувачення у змові з метою вимагання та перешкоджанні комерційній діяльності шляхом погроз. Саме угруповання в Telegram-каналі заявило про намір припинити активність на платформі у зв’язку з арештами.
Конфіскація інструментів Flax Typhoon
Згідно із заявою Міністерства юстиції США, ФБР провело санкціоновану судом конфіскацію інструментів Microscan (розвідка й сканування вразливостей) і FishHub (цільовий фішинг і доставка корисних навантажень), які пов’язують із китайським APT-угрупованням Flax Typhoon та компанією Integrity Technology Group. За даними DOJ, серед цілей Microscan були енергетична компанія в Південній Кароліні, аеропорти в Японії та Польщі, тайванські об’єкти газової та енергетичної інфраструктури. FishHub, за даними обвинувачення, використовувався проти приблизно 20 тайванських університетів.
Серед конфіскованих доменів, пов’язаних із доставкою FishHub:
- 98aicai[.]com
- 98aicode[.]com
- outlook3650[.]com
- youtubecard[.]com
- linkedinns[.]net
Ми вже писали про вразливості в продуктах Cisco, які також фігурували в контексті атак на критичну інфраструктуру.
Нові техніки: AI-ухилення в шкідливому ПЗ
За даними дослідження Cisco Talos, автори шкідливого ПЗ почали вбудовувати інструкції природною мовою безпосередньо в код — з метою вплинути на результати автоматизованого AI-аналізу. Техніка, що отримала назву AI-Analysis Evasion (A3), виявлена в чотирьох сімействах малварі: FRUITSHELL, PLOTSAFE, HOLLOWCLAD і MANTLEMAZE. Усього проаналізовано 84 зразки за період із січня 2025 по липень 2026 року.
Методи варіюються від антианалітичних коментарів у вихідному коді до шаблонних інструкцій, що імітують попередження про honeypot-середовище. За оцінкою Talos, у найкращому разі такі техніки зсували результат AI-аналізу на користь зловмисника приблизно в 35% тестових запусків. Водночас дослідники зазначають, що потреба зберігати інструкції у відкритому тексті створює стійку поверхню для виявлення — організації, які використовують AI-інструменти для аналізу малварі, можуть будувати правила виявлення саме на цих текстових патернах.
Akira: типовий ланцюжок атаки
Розслідування Huntress вересневої атаки угруповання Akira виявило характерну послідовність дій: початковий доступ через RDP, вимкнення антивіруса, розгортання Rclone для ексфільтрації даних, встановлення GOST-тунелю (ймовірно, для забезпечення стійкого доступу) і фінальне розгортання шифрувальника. Серед індикаторів компрометації — IP-адреса C2-сервера GOST-тунелю: 64.227.4.134. Цей індикатор специфічний для конкретного інциденту й потребує контекстної валідації перед блокуванням.
Інші значущі події
За даними OpenAI, були припинені дві операції впливу — російська (Dark Clark) та іранська (Bogus Bylines), які використовували ChatGPT для створення фіктивних журналістських персон та аналітичних центрів. Іранська операція успішно розмістила майже 100 статей у різних виданнях, деякі з яких мали аудиторію до 2 мільйонів підписників у Facebook. OpenAI зазначає, що конкретного актора за іранською операцією ідентифікувати не вдалося.
Статистика Comparitech за Q3 2026 фіксує рекордні 2 627 інцидентів із програмами-вимагачами — зростання на 29% порівняно з попереднім кварталом і на 61% порівняно з Q3 2025. Медіанна вимога викупу становила $150 000, середня — $602 400.
Рекомендації
- Atlassian Data Center: негайно оновіть усі самокеровані інсталяції Bitbucket, Confluence, Jira, Bamboo, Crowd, Crucible і Fisheye до версій, зазначених у бюлетені вендора. Хмарним клієнтам дій не потрібно.
- Zammad: оновіть до версії, що усуває CVE-2026-102489 і CVE-2026-102490. Федеральні агентства США мали завершити встановлення патчів до 5 жовтня.
- FortiPAM: перевірте наявність розширення Fortinet Privileged Access Agent у браузерах Chrome і застосуйте оновлення згідно з бюлетенем Fortinet.
- Flax Typhoon IOC: перевірте мережеві логи на звернення до перелічених доменів (98aicai[.]com, outlook3650[.]com тощо) та заблокуйте їх.
- Akira: контролюйте використання Rclone і GOST у корпоративному середовищі, обмежте RDP-доступ і перевірте цілісність антивірусних агентів.
Тиждень продемонстрував дві паралельні тенденції: правоохоронні органи нарощують тиск на кіберзлочинні угруповання (ShinyHunters, Flax Typhoon, Empire Market), але водночас зловмисники опановують принципово нові техніки — від обману AI-аналізаторів до експлуатації вразливостей упродовж годин після розкриття. Пріоритет для команд безпеки на найближчі дні — патчинг Atlassian Data Center і Zammad, а також перевірка інфраструктури на індикатори Flax Typhoon.
