10 октября 2026Команда Сарнас

Три уязвимости под атакой: цепочка в Artifactory, CoreGraphics в Apple и малварь NeedyMantis

Объединение трёх багов в Artifactory позволяет атакующим без аутентификации получить административный токен и закрепиться в самохостинговых инсталляциях, вплоть до кражи ключей подписи Access. Параллельно Apple закрыла эксплуатируемую уязвимость в CoreGraphics, а Microsoft раскрыла семейство NeedyMantis, которое распространяется через DLL sideloading и прячет управляющий канал в WebSocket-трафике. Разбираем механику каждой из угроз и то, что общего у этих инцидентов.

В сентябре и октябре 2026 года стало известно о трёх активных угрозах. В Artifactory эксплуатируются три уязвимости, которые объединяют в цепочку для получения административного контроля над самохостинговыми инсталляциями. Apple закрыла уязвимость в CoreGraphics, которую CISA внесла в каталог эксплуатируемых. Microsoft описала семейство NeedyMantis, применявшееся для закрепление в уже скомпрометированных сетях.

Цепочка в Artifactory: как получают административный токен

Эксплуатация начинается с неаутентифицированного POST /access/api/v1/aws/token/ — с завершающим слэшем. Такой запрос возвращает HTTP 200 и токен для внутреннего анонимного пользователя: это CVE-2026-42018. Затем полученный токен обменивается на токен с административными правами через POST /access/api/v1/tokens — это уже CVE-2026-42016.

Повышенный токен сохраняет имя анонимного пользователя, но несёт административные полномочия, поэтому последующие запросы выглядят как token:anonymous. Отдельно CVE-2026-82329 позволяет сразу получить токен с административной областью действия, без промежуточного шага.

После получения административного доступа наблюдались создание постоянных учётных записей администратора, развёртывание вредоносных Groovy-плагинов для выполнения кода, сбор учётных данных и ключей подписи Access — эти ключи позволяют подписывать токены доступа, поэтому их похищение даёт возможность выпускать собственные действительные токены, — установка бэкдоров и механизмы противодействия форензике.

Предыстория: что было раньше

Три перечисленные уязвимости Artifactory эксплуатируются совместно, и именно они образуют наблюдаемую цепочку.

У Apple за последний год исправлено семь zero-day, эксплуатировавшихся в реальных атаках: в январе (CVE-2025-24085), в феврале (CVE-2025-24200), в марте (CVE-2025-24201), две в апреле (CVE-2025-31200 и CVE-2025-31201) и две в декабре (CVE-2025-43529 и CVE-2025-14174). В августе Apple выпустила обновление iOS, iPadOS и macOS, закрывающее критическую уязвимость в ImageIO — системном фреймворке для обработки изображений, позволявшую атаку через вредоносную картинку, открытую пользователем.

NeedyMantis Microsoft обнаружила при проверке индикаторов расследования Kaspersky об атаке на цепочку поставок DAEMON Tools. Активность, связанную с этой атакой, Microsoft отслеживает как Storm-3069, но сама малварь, по её данным, через цепочку поставок не распространялась. Google Threat Intelligence Group отслеживает актора кампании DAEMON Tools как UNC6863; принадлежат ли UNC6863 и Storm-3069 к одной группе, неясно.

Механика CoreGraphics: расхождение в обработке координат

CVE-2026-86950 — это out-of-bounds write в CoreGraphics, фреймворке Apple для 2D-рисования, рендеринга изображений и обработки PDF. Патч меняет преобразование координаты глифа из числа с плавающей точкой в 32-битное значение с фиксированной точкой.

До патча две из восьми функций обрабатывали выход за диапазон по-разному: одна насыщала результат, другая усекала его. Из-за этого расхождения вычисленный ограничивающий прямоугольник глифа оказывался слишком узким, CoreGraphics выделял рабочий буфер меньше нужного и писал за его пределами.

Для срабатывания proof-of-concept исследователи собрали шрифт TrueType с координатами, достаточно большими для переполнения, и встроили его в PDF. PoC вызывает падение, а не выполнение кода: превращение повреждения памяти в рабочий эксплойт — отдельная работа, которую анализ не демонстрирует.

Механика NeedyMantis: sideloading и WebSocket

NeedyMantis поставляется набором из трёх частей: копия легитимной программы, вредоносная DLL с именем файла, который эта программа загружает, и зашифрованный архив с тем же именем, что и DLL. При запуске программы загружается вредоносная DLL — это DLL sideloading. DLL распаковывает следующую стадию из зашифрованного архива и запускает её, а та декодирует основной компонент.

Основной компонент подключается к серверу управления и контроля по HTTPS, а затем переключается на WebSocket. Через него операторы могут загружать и выгружать дополнительные модули и передавать им данные. Более старая версия, замеченная в октябре 2025 года, использовала службы Windows; как остаётся на машине более новая проанализированная версия, Microsoft не описала.

Почему патчи вышли сейчас

Для Apple основанием стало сообщение о том, что уязвимость могла использоваться в целевых атаках: Apple заявила, что ей известно об отчёте, в котором речь идёт об «extremely sophisticated attack against specific targeted individuals on versions of iOS before iOS 27». Уязвимость обнаружила и сообщила о ней Meta Product Security, исправление выполнено улучшенной проверкой границ. CISA 29 сентября 2026 года добавила CVE-2026-86950 в каталог Known Exploited Vulnerabilities, потребовав от федеральных агентств применить исправления до 2 октября 2026 года.

Три уязвимости Artifactory раскрыла компания Wiz.io. По её данным, атакующие объединяют их для повышения привилегий и полного административного контроля над самохостинговыми экземплярами; в некоторых наблюдаемых случаях эксплуатация и установка административного доступа занимали менее пяти минут. Эрик Йорк отметил, что Artifactory находится в центре множества цепочек поставок ПО, а Джим Ниттерауэр — что атаки наблюдались в течение четырёх дней после раскрытия третьей уязвимости.

Что делать администраторам

Все самохостинговые окружения Artifactory следует немедленно пропатчить до версии, устраняющей уязвимости: 7.111.21, 7.117.28, 7.125.20, 7.133.29, 7.146.38, 7.161.20 или новее, в зависимости от используемой ветки релиза. Обновление закрывает возможность эксплуатации, но не удаляет уже находящегося внутри злоумышленника: если инстанс был доступен из интернета в уязвимом состоянии, следует исходить из факта компрометации и искать артефакты пост-эксплуатации. Отдельных мер митигации через изменение конфигурации не упоминается.

Для устройств Apple патч выпущен в iOS 26.7.1 и iPadOS 26.7.1, macOS Tahoe 26.7.1 и macOS Sequoia 15.8.1. Уязвимы версии iOS до iOS 27, а также Mac с macOS Tahoe и macOS Sequoia. Патч затрагивает iPhone 11 и новее, iPad Pro 12.9-inch 3rd generation и новее, iPad Pro 11-inch 1st generation и новее, iPad Air 3rd generation и новее, iPad 8th generation и новее, iPad mini 5th generation и новее. Что делать с уже скомпрометированными системами, кроме установки обновления, не описано.

Microsoft для противодействия NeedyMantis рекомендует включить облачную защиту; блокировку при первом обнаружении; EDR в режиме блокировки; сетевую защиту; автоматическое прерывание атак; и два правила сокращения поверхности атак. Также рекомендуется проверять исходящий трафик на соединения с доменом C2 — последнее не требует Defender. Defender Antivirus обнаруживает малварь как TrojanDropper:Win64/NeedyMantis и Behavior:Win64/NeedyMantis. Опубликованы хеши SHA-256, домен C2, user agent, пути к файлам и hunting queries для Defender XDR и Microsoft Sentinel. Пользователям затронутых установщиков DAEMON Tools Lite 12.5.1 рекомендовано удалить программу, выполнить полную проверку системы и скачать версию 12.6 с официального сайта.

Ограничения и открытые вопросы

Microsoft не сообщила, используется ли NeedyMantis до сих пор, а датированные файлы впервые наблюдались в октябре 2025 и мае 2026 года. Каждый hunting query охватывает только семь дней, поэтому при неизменном запуске он не нашёл бы события тех месяцев. Совпадение только по пути Poedit не доказывает заражение: WinSparkle.dll — нормальная часть Poedit, поэтому найденный файл нужно сравнить с опубликованным хешем. Microsoft также не видела, чтобы NeedyMantis приходила через подделанные установщики DAEMON Tools.

Анализ CoreGraphics не описывает и не тестирует путь доставки через WhatsApp; предложение о возможной доставке PDF этим способом было удалено через 85 минут после публикации. Calif не получила образец из реальной атаки и не может сказать, как атакующий завершил цепочку. По Artifactory внедрение патчей сильно отставало: атаки наблюдались в течение четырёх дней после раскрытия третьей уязвимости.