Американската агенция за киберсигурност и защита на инфраструктурата CISA издаде извънредна заповед към федералните агенции за обновяване в срок от три дни срещу уязвимост с максимална критичност в продукт на Dell, която се експлоатира активно още от средата на 2024 г.
Критична уязвимост с твърдо кодирани креденшъли
Става дума за CVE-2026-22769 – уязвимост с твърдо кодирани идентификационни данни в Dell RecoverPoint, решение за бекъп и възстановяване на виртуални машини във VMware среди. Според анализ на експерти от Mandiant и Google Threat Intelligence Group, слабостта се използва от предполагаема китайска кибергрупа, проследявана под името UNC6201.
Този тип уязвимости са особено опасни, тъй като позволяват неоторизиран достъп без необходимост от класическа експлоатация или фишинг.
От първоначален достъп до постоянна компрометация
След проникване в мрежата на жертвата чрез CVE-2026-22769, атакуващите извършват латерално придвижване, установяване на постоянен достъп и внедряване на зловреден код. Сред използваните инструменти е и нов бекдор с име Grimbolt, който заменя по-стария Brickstorm.
Grimbolt е изграден с нова техника за компилация, което значително затруднява анализа и откриването му от защитните решения. Смяната на бекдора през септември 2025 г. може да е както планирано надграждане, така и реакция на разследвания, водени от Mandiant и други партньори от индустрията.
Връзки с държавно подкрепени операции
Изследователите установяват припокривания между UNC6201 и китайската държавно подкрепяна група Silk Typhoon (UNC5221), известна с експлоатация на zero-day уязвимости в Ivanti и атаки срещу американски държавни институции. Макар групите да не се считат за идентични, сходствата в инфраструктурата и тактиките подсказват координиран или споделен оперативен ресурс.
Задължителни мерки и краен срок
CISA вече включи CVE-2026-22769 в каталога си Known Exploited Vulnerabilities и задължи всички агенции от Федералната гражданска изпълнителна власт да приложат наличните корекции или смекчаващи мерки до 21 февруари, съгласно директива BOD 22-01.
Паралелно агенцията издаде подобно тридневно предписание и за друга активно експлоатирана уязвимост – CVE-2026-1731 в BeyondTrust Remote Support, което подчертава нарастващия натиск върху федералните ИТ среди.
Случаят показва, че критичните уязвимости в инфраструктурен софтуер остават приоритетна цел за държавно подкрепени атакуващи. Бързото прилагане на пачове и активното управление на уязвимостите вече не е добра практика, а оперативна необходимост.
