Wstęp — podsumowanie 11–12 sierpnia 2026
W minionym dniu odnotowano cztery zdarzenia o wysokim wpływie na bezpieczeństwo systemów informatycznych. Do najważniejszych należą: nowy błąd zero-day w systemie Windows wykorzystywany przez grupy powiązane z Koreą Północną, bypass uwierzytelniania w SharePoint poprzez nagłówek JWT z algorytmem none, atak na łańcuch dostaw LiteLLM obejmujący ponad 2500 organizacji oraz rozszerzenie katalogu KEV przez agencję CISA o trzy nowe podatności z potwierdzoną aktywną eksploatacją.
SharePoint — ominięcie JWT bez hasła
Sekurak opisał podatność umożliwiającą zalogowanie się do SharePointa jako administrator bez znajomości hasła. Atakujący wysyła token z nagłówkiem JSON wskazującym algorytm none, co sprawia, że SharePoint całkowicie ignoruje weryfikację podpisu kryptograficznego i przyznaje pełne uprawnienia administracyjne. Jest to klasyczny błąd walidacji tokenu JWT, znany od lat, ale nadal obecny w produkcyjnych wdrożeniach. Szczegółowy opis: Sekurak — SharePoint JWT bypass.
Windows zero-day i katalog KEV CISA
SecurityWeek poinformował o aktywnie wykorzystywanym błędzie zero-day w systemie Windows, który umożliwia atakującym pełną kontrolę nad systemem ofiary i wdrożenie backdoora ForestTiger. Kampania przypisywana jest grupom powiązanym z Koreą Północną. Równolegle agencja CISA dodała do katalogu Known Exploited Vulnerabilities trzy nowe wpisy: CVE-2026-20349 (Cisco ASA/FTD — inspekcja sterty), CVE-2026-68820 (Windows AFD.sys — use-after-free) oraz CVE-2026-72898 (Metabase — iniekcja SQL). Wszystkie trzy zostały potwierdzone jako aktywnie eksploatowane w środowiskach produkcyjnych. Źródła: SecurityWeek — Windows zero-day oraz CISA KEV alert.
Atak na łańcuch dostaw LiteLLM i aktualizacja Ivanti
Repozytorium LiteLLM zostało skompromitowane poprzez wcześniejszy atak na narzędzie Trivy. Zainfekowane pakiety dystrybuowały oprogramowanie wykradające dane logowania, co dotknęło ponad 2500 organizacji korzystających z tego rozwiązania. Jednocześnie firma Ivanti opublikowała aktualizację EPM łatającą zdalnie wykorzystywalne podatności umożliwiające wyciek poświadczeń do zewnętrznych połączeń SQL oraz awarię usługi agenta. Źródła: SecurityWeek — LiteLLM oraz SecurityWeek — Ivanti EPM.
Zalecane działania
- Zweryfikuj konfigurację SharePoint pod kątem akceptacji tokenów JWT z algorytmem none i wymuś odrzucanie takich nagłówków na poziomie gateway.
- Zastosuj łaty CISA dla CVE-2026-68820 (Windows), CVE-2026-20349 (Cisco ASA/FTD) oraz CVE-2026-72898 (Metabase) zgodnie z harmonogramem BOD 26-04.
- Przeskanuj środowisko pod kątem obecności backdoora ForestTiger i zmonitoruj ruch sieciowy w kierunku znanych serwerów C2 powiązanych z kampanią północnokoreańską.
- Przeaudytuj instalacje LiteLLM pod kątem kompromitowanych pakietów i w razie potrzeby odtwórz środowisko z czystych artefaktów.