TECHBOARD #1: Citrix potrebuje ďalšie opravy, útočníci skrývajú administrátorov vo WordPresse

Real world hacks:

Škodlivá objednávka vo WordPresse môže otvoriť web útočníkovi

Patchstack opísal kampaň zneužívajúcu uložené XSS v pluginoch WPC Product Bundles a Ninja Forms. Prvé pokusy zaznamenal 4. a 5. októbra. Pluginy majú 30 000+ a 500 000+ aktívnych inštalácií, čo automaticky nehovorí o počte napadnutých webov.

Útočník vloží škodlivý kód do objednávky alebo formulára. Keď administrátor zobrazí zasiahnuté údaje, kód zneužije jeho aktívne prihlásenie. Bez potreby hesla nainštaluje škodlivý plugin a vytvorí administrátorské účty.

Útok pripravuje viacero prístupov, ako viditeľný účet, skrytý účet, prihlasovací odkaz pre najstarší existujúci administrátorský účet a súborový manažér bez autentifikácie. Odstránenie škodlivého pluginu neodstráni účty ani zadné vrátka uložené mimo neho.

Správcovia majú nainštalovať najnovšie verzie WPC Product Bundles a Ninja Forms, ktoré obsahujú aj ďalšie bezpečnostné opravy. Pri podozrení na spustenie kódu treba preveriť databázu účtov, súbory aj mu-plugins. Pozmenené dátumy znamenajú, že kontrola iba nedávnych zmien nestačí. Ani neprítomnosť domény imgcdn1.com v serverových logoch napadnutie nevylučuje.

Pri napadnutí treba odstrániť neoprávnené prístupy, zmeniť privilegované heslá, autentifikačné kľúče a salts WordPressu. Kompromitovaný môže byť aj najstarší administrátorský účet bez ukradnutia hesla. Patchstack zatiaľ vo svojej telemetrii eviduje obmedzený počet pokusov cez dva pluginy. Pre pentesterov je podstatné preverovať aj zobrazovanie návštevníckych údajov v administrácii.

Svet zraniteľností:

Citrix NetScaler pokračuje v aktualizáciách zraniteľností po tom, čo v septembri potvrdil zneužívanie dvoch chýb. CVE-2026-88771 umožňuje neprihlásenému útočníkovi spúšťať príkazy bez dodatočne zapnutých funkcií. CVE-2026-88772 môže spôsobiť spustenie kódu alebo výpadok pri zapnutom DTLS, predvolene aktívnom na VPN virtuálnych serveroch. Ďalšia chyba, CVE-2026-88779, z 3. októbra, ohrozuje dostupnosť pri nastaveniach SAML SP alebo IdP. Dotknuté nasadenia potrebujú novšiu opravu.

Aktualizácia však nemusí odstrániť následky napadnutia. CERT-EU opísal útok využívajúci webshell, ktorý umožňuje ovládanie zariadenia cez web. Treba zachovať dôkazy, bezodkladne aktualizovať a preveriť integritu aj rozsah prípadného incidentu.

GitLab upozornil na zneužívanú zraniteľnosť CVE-2026-85706, ktorá môže za určitých podmienok sprístupniť súbory zo servera aj útočníkovi bez prihlásenia. Firmy s vlastnou inštaláciou by preto mali overiť, či používajú opravenú verziu. Služby GitLab.com a GitLab Dedicated sú podľa výrobcu už zabezpečené proti tejto chybe.

Pokus o čítanie súboru však ešte nedokazuje, že jeho obsah unikol. Pri vyšetrovaní treba zistiť, čo server útočníkovi skutočne odoslal. Samotný stavový kód odpovede nestačí. Pred aktualizáciou alebo reštartom preto zachovajte logy a následne preverte odoslané údaje podľa postupu GitLabu.

Tipy na nástroje

SnafflePy a PyGroup3r hľadajú citlivé súbory a rizikové skupinové politiky. Python verzie uľahčujú testovanie. Závažnosť určuje dostupný prístup a dosah nálezu.

ADCS_Tools pomáhajú testovať zneužitie certifikačnej služby CES v AD CS. Preposlanie prihlasovacej komunikácie môže umožniť získanie certifikátu pre cudziu identitu. Rozhodujú nastavenia a ochrana autentifikácie.

AI/LLM novinky

TypeSafe AI predstavil model Jev, ktorý je určený na rozhodovanie v softvérových procesoch.  V cybersec je jeho využitie možné napríklad pri triedení upozornení na urgentné, menej závažné a tie, ktoré potrebujú ďalšie preverenie. Správny formát ani vysoká deklarovaná istota stále nezaručujú správne rozhodnutie. Pred nasadením by preto bolo potrebné otestovať najmä prípady, keď model skutočnú hrozbu nesprávne označí za neškodnú.

CITADELO news:

• V 43 cloudových projektoch sme odhalili 18 kritických a 44 vysoko závažných zraniteľností. Cloudové projekty celkovo vykázali najvyššiu hustotu zraniteľností. Až 42 % projektov obsahovalo aspoň jednu kritickú chybu.
• Najčastejšou kritickou slabinou webov a API zostáva nedostatočná kontrola oprávnení. Riziko predstavujú aj prepojené komponenty, napríklad zraniteľné knižnice, uniknuté API kľúče či zabudnuté účty. Firmy preto potrebujú priebežne testovať aplikácie aj ich okolie, evidovať používané API a overovať oprávnenia priamo na serveri.

Viete, aké zraniteľnosti sa skrývajú vo vašich systémoch?

Kybernetické hrozby sa neustále vyvíjajú. Penetračné testovanie vám pomôže odhaliť bezpečnostné slabiny skôr, než ich zneužijú útočníci. Preverte odolnosť svojich aplikácií, infraštruktúry a systémov pomocou etických hackerov.