CISA SharePoint və MikroTik RouterOS boşluqlarını KEV kataloquna əlavə edib

ABŞ Kibertəhlükəsizlik və İnfrastruktur Təhlükəsizliyi Agentliyi (CISA) sentyabrın 25-də Microsoft SharePoint-dəki CVE-2026-65660 və MikroTik RouterOS-dakı CVE-2026-67279 boşluqlarını Məlum İstismar Olunan Boşluqlar (KEV) kataloquna əlavə edib. Hər iki halda agentlik aktiv istismar sübutlarına əsaslanıb.

KEV kataloquna hücumçuların real hücumlarda artıq istifadə etdiyi boşluqlar daxil edilir. Kataloqa salındıqdan sonra ABŞ-ın federal qurumları müəyyən edilmiş müddətdə düzəlişləri quraşdırmalıdır.

SharePoint-də kod inyeksiyası

CVE-2026-65660 CVSS şkalası ilə 8,8 bal alıb. Söhbət Microsoft Office SharePoint-dəki kod inyeksiyası boşluğundan gedir ki, bu da səlahiyyətli hücumçuya şəbəkə üzərindən kod icra etməyə imkan verir.

Microsoft əvvəlcə boşluğu SharePoint Server-ə təsir edən saxtalaşdırma (spoofing) zəifliyi kimi təsvir edib, sonra isə bülleteni yeniləyərək onun uzaqdan kod icrası üçün istifadə oluna biləcəyini bildirib.

«25 sentyabr 2026-cı il tarixinə Microsoft-un bu boşluğun istismarına dair müşahidə olunan hücumlara dair etibarlı sübutları var idi», deyə şirkətin açıqlamasında qeyd olunur. Şirkət hücumların arxasında kimin dayandığını, nə vaxt başladığını, nə qədər təşkilatın zərər çəkdiyini və hücumçuların sistemə daxil olduqdan sonra nə etdiyini açıqlamayıb.

MikroTrick zənciri

CVE-2026-67279 (CVSS 6,9) RouterOS-da davranış qaydalarının səhv işlənməsi ilə bağlıdır: autentifikasiyadan keçməmiş müştəri sessiya kanalı aça və exec sorğusu göndərə bilir. Bu boşluq RouterOS-un giriş prosesindəki arqument inyeksiyası boşluğu CVE-2026-86060 ilə birləşərək MikroTrick adlanan istismar zəncirini yaradır.

CERT Polska-ya görə, iki boşluğun birləşməsi internetə açıq routerlərdə parolsuz tam inzibati nəzarət əldə etməyə imkan verir.

«İki boşluğun birləşdirilməsi inzibati konsola tam, autentifikasiyasız girişlə nəticələndi», deyə agentlik bildirib.

Ayrı təhlildə Bishop Fox zəif RouterOS 7.x versiyalarında tam inzibati ələ keçirməni təkrar etdiyini açıqlayıb. «MikroTrick etimadın müxtəlif sərhədlərində iki nasazlığı birləşdirir», deyə şirkətin tədqiqatçısı Emilio Qallegos bildirib.

Müddətlər və düzəlişlər

CISA CVE-2026-86060-ı KEV kataloquna sentyabrın 11-də əlavə etmişdi. ABŞ-ın federal mülki qurumları zəruri düzəlişləri sentyabrın 28-dək quraşdırmalıdır.

Hər iki boşluq real hücumlarda artıq istifadə olunduğu üçün istehsalçı yeniləmələri təxirə salınmadan quraşdırılmalıdır. İnternetə açıq RouterOS routerləri xüsusilə həssasdır, çünki MikroTrick zənciri parol tələb etmir.