Дайджест киберугроз за III квартал 2026 года

Вредоносное программное обеспечение (ВПО)

Phantomcore backdoor

Троян удалённого доступа, представленный в виде dll, распространявшийся группировкой Head Mare в процессе целевых атак на организации в России и Беларуси. Данное ВПО преимущественно доставлялось через фишинговые письма с архивами, содержащими документы-приманки. Также были замечены случаи загрузки бэкдора со скомпрометированных серверов TrueConf.

LockBit 3.0

Ransomware-as-a-Service, шифровальщик. В атаках с его применением также фиксировались угрозы публикации украденной информации при отказе выплачивать выкуп. Среди его особенностей — автоматическое распространение по внутренней сети, обфускация кода для обхода систем защиты, отключение антивирусных программ, поддержка многопоточности и гибридного шифрования (AES и RSA).

Blank Grabber

Cтиллер, написанный для ОС семейства Windows. Преимущественный путь распространения – фишинговые кампании и другие методы социальной инженерии. Стиллер собирал данные с хоста и отправлял их на указанный адрес электронной почты. В состав передаваемой информации входили внешний IP-адрес хоста, учётные записи из браузеров, пароли от сетей Wi-Fi, список сетевых интерфейсов, геолокация, чувствительные данные из Telegram, Steam, Discord.

Наиболее значимые уязвимости

Joomla

CVE-2026-57829 Joomla Helix Ultimate CVSS:8.7, CVE-2026-74252 Joomla J2Store CVSS:8.6

Тип уязвимости: межсайтовый скриптинг.

Результат эксплуатации: уязвимости в расширениях Joomla позволяют неаутентифицированному злоумышленнику внедрить вредоносный скрипт, который сохраняется на сервере и выполняется в браузере жертвы при открытии заражённой страницы.

CVE-2026-56291 Joomla Balbooa Forms CVSS:10.0, CVE-2026-48908 Joomla SP Page Builder CVSS:10.0, CVE-2026-57827 Joomla RSFiles CVSS:10.0

Тип уязвимости: выполнение произвольного кода.

Результат эксплуатации: уязвимости в расширениях Joomla позволяют неаутентифицированному злоумышленнику загрузить на сервер произвольный файл, в том числе исполняемый php-файл, и выполнить произвольный код на сервере.

pgAdmin

CVE-2026-17566 pgAdmin CVSS:9.4

Тип уязвимости: инъекция команд ОС.

Результат эксплуатации: из-за некорректной обработки предоставленного пользователем SQL-запроса инструментом «импорта/экспорта данных» аутентифицированный злоумышленник может с помощью специально сформулированного запроса обойти проверку и внедрить команду ОС на выполнение.

Windows

CVE-2026-47291 Microsoft Windows & Windows Server CVSS:9.8

Тип уязвимости: переполнение буфера.

Результат эксплуатации: из-за ошибки в логике обработки HTTP-запросов драйвером ядра Windows неаутентифицированный злоумышленник может с помощью специально сформированного HTTP-запроса вызвать переполнение буфера, что позволяет исполнять произвольный код в системе или инициировать отказ в обслуживании.

Grafana

CVE-2026-63087 Grafana OnCall CVVS:9.3

Тип уязвимости: обход аутентификации.

Результат эксплуатации: уязвимость в плагине Grafana OnCall позволяет неаутентифицированному злоумышленнику получить токен аутентификации с помощью специально сформулированного запроса к эндпоинту, предназначенному для установки первичной связи между движком Grafana OnCall и плагином Grafana.

GitLab

CVE-2026-19478 GitLab CE/EE CVSS:9.4

Тип уязвимости: инъекция кода.

Результат эксплуатации: некорректная обработка директивы GraphQL в GitLab позволяет неаутентифицированному злоумышленнику обходить проверки и удалённо изменять или удалять публичные проекты.

CVE-2026-85706 GitLab CE/EE CVSS:10.0

Тип уязвимости: чтение произвольного файла.

Результат эксплуатации: ошибка работы механизма синхронизации URI-декодирования между обратным прокси GitLab Workhorse и сервером приложений Puma позволяет неаутентифицированному злоумышленнику обойти проверку Workhorse и открыть на чтение произвольный файл сервера.

Утечки информации

В III квартале 2026 года произошло несколько крупных инцидентов в коммерческом и медицинском секторах. В июле зафиксированы две утечки медицинских данных объёмом 88,37 млн записей, большая часть которых пришлась на медицинскую информационную систему. В сентябре 58,9 млн записей утекло из коммерческого сектора, основной объём утечек пришёлся на известную сеть быстрого питания.

Совокупно в III квартале 2026 года в Сеть утекло 197,19 млн записей — на 57% меньше, чем в аналогичном периоде 2025 года. Эксперты ПМ называют несколько причин снижения объёма утечек:

• частые блокировки каналов распространения, в том числе darkweb-форумов и тематических телеграм-каналов;
• сокрытие инцидентов организациями под давлением вымогателей: злоумышленники грозят не только продать данные, но и сообщить об утечке регулятору. Поскольку повторная раскрытая утечка может стоить компании до 500 млн рублей штрафа, а договорённость с вымогателем обходится дешевле, часть организаций выбирает сокрытие инцидента.

Мошеннические схемы

В III квартале 2026 года злоумышленники активно использовали классические схемы, построенные на обращениях к жертвам под видом государственных организаций. Например, под видом приложения для проверки автомобиля по VIN-коду злоумышленники распространяли вредоносное ПО, а под предлогом изменения размера пенсионных выплат собирали персональные данные. Особой популярностью пользовались схемы, связанные с Единым днём голосования: жертвам предлагали проверить наличие своих данных в списке избирателей через фишинговый ресурс, имитирующий ГАС «Выборы», а также проголосовать через мессенджер MAX, перейдя по вредоносной ссылке. Большая часть этих схем предполагала кражу персональных данных через фишинговые ресурсы или получение кода из SMS и последующим доступом к аккаунтам жертв.

Множество мошеннических схем было связано с Днём знаний. В преддверии учебного года злоумышленники создавали сайты, имитирующие магазины детской одежды, канцелярии и электроники, и продвигали в соцсетях предложения о «закрытых распродажах складских остатков». После оформления заказа деньги уходили злоумышленникам, а введённые данные банковской карты могли использоваться для дальнейших атак. Также мошенники получали персональные данные жертв под предлогами компенсации расходов к 1 сентября, оплаты школьных нужд и услуг репетиторов.

Не теряли своей актуальности схемы, построенные на дефиците топлива. От имени популярных банков злоумышленники предлагали подать заявки на получение топливных талонов, таким образом получая ФИО, номера телефонов и банковских карт жертв, а от лица крупных нефтегазовых компаний распространялось вредоносное ПО, замаскированное под приложение для получения бонусов на покупку топлива.

Часть мошеннических схем была привязана к конкретным громким событиям. Так, на фоне выхода iPhone 18 прошла массовая кампания по рассылке электронных писем, замаскированных под уведомления от платёжных систем и интернет-магазинов. С целью кражи денег создавались фишинговые многоязычные сайты, имитирующие официальный ресурс Apple, где пользователям предлагали приобрести новый смартфон. Другой популярной темой стал концерт Канье Уэста: был обнаружен фальшивый сайт организаторов, любое взаимодействие с которым переводило пользователя по реферальной ссылке на сайт онлайн-казино.

Дайджест киберугроз за II квартал 2026 года