CISA внесла в каталог Known Exploited Vulnerabilities (KEV) три уязвимости с подтверждённой активной эксплуатацией: критическую RCE в Langflow (CVE-2026-9198, CVSS 9.8), обход шифрования в Apache Tomcat (CVE-2026-34486, CVSS 7.5) и обход аутентификации в N-able N-central (CVE-2026-18556, CVSS 8.2). Федеральные гражданские ведомства США обязаны устранить эти уязвимости до 7 августа 2026 года. Особое внимание привлекает атрибуция эксплуатации Tomcat: по данным Unit 42, она связана с автономной кампанией, в которой китайскоязычный злоумышленник использовал DeepSeek в качестве наступательного оператора.
Технические детали уязвимостей
CVE-2026-9198 — удалённое выполнение кода в Langflow
Уязвимость типа «внедрение кода» в платформе разработки ИИ-приложений Langflow позволяет неаутентифицированному атакующему добиться полного удалённого выполнения кода на стандартных развёртываниях. Оценка CVSS — 9.8 (критическая). Исправление выпущено в июле 2026 года в версии 1.10.1. Подробности о конкретных сценариях эксплуатации пока не раскрыты, однако Langflow неоднократно становился мишенью злоумышленников в последние месяцы.
CVE-2026-34486 — обход шифрования в Apache Tomcat
Уязвимость в Apache Tomcat связана с отсутствием шифрования чувствительных данных в компоненте кластеризации EncryptInterceptor, который обеспечивает шифрование сообщений между узлами кластера с использованием предварительно согласованного ключа. Обход этого механизма (CVSS 7.5) позволяет атакующему перехватывать или подменять межузловой трафик. Согласно официальному уведомлению Apache, исправление доступно с апреля 2026 года в версиях 11.0.21, 10.1.54 и 9.0.117.
CVE-2026-18556 и CVE-2026-18577 — обход аутентификации в N-able N-central
Уязвимость обхода аутентификации в платформе удалённого управления N-able N-central (CVSS 8.2) получила отдельное внимание из-за неполноты первоначального исправления. Компания N-able выпустила повторный патч, которому присвоен идентификатор CVE-2026-18577 (CVSS 8.2). Примечательно, что CVE-2026-18577 уже была внесена в KEV ранее, а добавление исходной CVE-2026-18556 подтверждает, что обе уязвимости активно эксплуатируются злоумышленниками. Это означает, что организации, применившие только первый патч, остаются уязвимыми.
Контекст угрозы: автономная ИИ-кампания
Наиболее значимый аспект этого обновления KEV — контекст эксплуатации CVE-2026-34486. По данным исследования Palo Alto Networks Unit 42, эксплуатация этой уязвимости связана с автономной хакерской кампанией, организованной китайскоязычным злоумышленником, действующим под псевдонимами knaithe и KnYuan. Предположительно, злоумышленник базируется в Чжухае (Китай).
Согласно отчёту Unit 42, злоумышленник использовал модель DeepSeek через фреймворк Hermes Agent в качестве автономного наступательного оператора для атак на устройства, доступные из интернета. Когда первоначальные попытки эксплуатации уязвимости Langflow (CVE-2026-33017, CVSS 9.8) потерпели неудачу из-за ограничительных конфигураций целевой среды, ИИ-агент, как сообщается, самостоятельно провёл исследование для поиска альтернативных уязвимостей, включая уязвимости в платформе автоматизации n8n.
Параллельно тот же злоумышленник проводил ручные операции с использованием известных уязвимостей в Citrix NetScaler (CVE-2026-3055), Marimo (CVE-2026-39987), Apache Tomcat (CVE-2026-34486) и IKE VPN (CVE-2026-33824).
По оценке Unit 42, злоумышленник атаковал более 460 целей, комбинируя автономные и ручные методы. Исследователи подчёркивают, что злоумышленник, по всей видимости, позволял DeepSeek сужать область нацеливания — вероятно, для экономии вычислительных ресурсов ИИ. Автономный процесс идентификации целей, выборки и сужения охвата выполнил за минуты работу, которая потребовала бы сотен часов ручного анализа.
Следует учитывать, что атрибуция кампании основана на единственном исследовательском отчёте Unit 42 и не подтверждена независимо государственными или другими источниками.
Оценка воздействия
Совокупность этих уязвимостей создаёт широкую поверхность атаки, затрагивающую несколько категорий организаций:
- Команды разработки ИИ-приложений, использующие Langflow, — критическая RCE без аутентификации на стандартных развёртываниях означает, что любой экземпляр Langflow, доступный из интернета, может быть полностью скомпрометирован.
- Операторы кластеров Apache Tomcat — обход EncryptInterceptor ставит под угрозу конфиденциальность межузлового обмена данными, что особенно критично для распределённых систем, обрабатывающих чувствительную информацию.
- Провайдеры управляемых ИТ-услуг (MSP), использующие N-able N-central, — обход аутентификации в платформе удалённого управления потенциально открывает доступ ко всей инфраструктуре клиентов MSP.
Появление автономных ИИ-агентов в арсенале злоумышленников качественно меняет динамику атак: масштаб разведки и скорость переключения между целями и уязвимостями выходят за пределы возможностей ручного тестирования.
Практические рекомендации
- Langflow: немедленно обновить до версии 1.10.1 или выше. Проверить, доступны ли экземпляры Langflow из интернета, и при отсутствии бизнес-необходимости ограничить доступ средствами сетевой сегментации.
- Apache Tomcat: обновить до версий 11.0.21, 10.1.54 или 9.0.117 в зависимости от используемой ветки. Проверить конфигурацию EncryptInterceptor в кластерных развёртываниях и убедиться, что межузловой трафик не проходит через недоверенные сети.
- N-able N-central: убедиться, что установлен патч, закрывающий обе уязвимости — CVE-2026-18556 и CVE-2026-18577. Первоначальное исправление было неполным, и применение только одного патча не обеспечивает защиту.
- Провести аудит сетевого периметра на наличие открытых экземпляров Langflow, Tomcat, N-central, а также упомянутых в кампании Citrix NetScaler, Marimo, n8n и IKE VPN.
- Для федеральных ведомств США (FCEB): крайний срок устранения — 7 августа 2026 года.
Три уязвимости, добавленные в KEV, требуют немедленного патчинга — особенно с учётом того, что как минимум одна из них эксплуатируется в рамках автоматизированной кампании с использованием ИИ-агента, способного самостоятельно выбирать цели и переключаться между уязвимостями. Организациям, использующим Langflow, Apache Tomcat в кластерной конфигурации или N-able N-central, следует рассматривать обновление как приоритет первого уровня и параллельно проверить журналы на признаки компрометации за период до выхода патчей.
