SHERIFF CyberDigest · Жовтень 2026: місяць позичених ключів

У жовтні 2026 атакувальникам рідко доводилося «зламувати двері»: вони заходили з ключами, які бізнес сам видав постачальникам, розробникам і сервісам. Довірений застосунок для бекапу, токен розробника, VPN чи сторінка «Я не робот» на знайомому сайті стали головними точками входу місяця.

Головне за 60 секунд

1. Україна під тиском. CERT-UA за дев’ять місяців 2026 року опрацювала 4 839 кіберінцидентів, на 22,4% більше, ніж торік. Зловмисники дедалі частіше використовують ШІ для фішингу та шкідливого коду.
2. Фейкова капча на 100+ сайтах. Кампанія UAC-0277 через зламані легітимні сайти поширює викрадач паролів LUNEXSTEALER, маскуючись під перевірку Cloudflare.
3. «Борг за світло» як приманка. UAC-0050 розсилала держустановам листи нібито від бухгалтера «ДТЕК Енерго», щоб отримати віддалений доступ до комп’ютерів.
4. Постачальник як вхідні двері. Скомпрометовані облікові дані ConnectWise Cloud Backup спробували застосувати майже до 1 000 тенантів Microsoft 365.
5. Рекордний патч-місяць. Microsoft закрила понад 1 400 вразливостей за один Patch Tuesday, а PHP2Shell почали атакувати ще до виходу виправлення.

Цифри місяця

Шість чисел, які пояснюють жовтень краще за будь-який заголовок.

4 839 кіберінцидентів опрацювала CERT-UA за січень–вересень 2026 року, на 22,4% більше, ніж торік (Інтерфакс-Україна).

~200 з них були спрямовані безпосередньо на громадян України (Інтерфакс-Україна).

100+ зламаних сайтів отримали у вересні фейкову капчу ClickFix (КМУ / CERT-UA).

~1 000 тенантів Microsoft 365 бачили входи з викраденими даними ConnectWise, понад 300 з них успішні (ZNova / Huntress).

1 400+ вразливостей Microsoft закрила за один Patch Tuesday 13 жовтня, це рекорд (ZNova).

4 дні минуло між першою спробою атаки на PHP2Shell і виходом патча (DCD-IT).

Україна: фронт у кіберпросторі

«Я не робот», який робить вас жертвою

CERT-UA виявила кампанію кластера UAC-0277: у вересні зловмисники вбудували шкідливий JavaScript у понад 100 легітимних сайтів. Відвідувач бачить фальшиву перевірку Cloudflare і отримує інструкцію виконати команду, яка запускає викрадач даних LUNEXSTEALER (КМУ).

Атака хитра: сторінку показують лише користувачам Windows, які прийшли з пошуковика, і не частіше ніж двічі на 12 годин. Шкідник ставить у браузер розширення під виглядом «Microsoft Office Word Editor», краде паролі й історію, а керування інфраструктурою йде через блокчейни Polygon та Ethereum (ІМІ).

Урок: зламаний сайт виглядає як звичайний. Захищає лише одне правило: жодна справжня капча не просить натиснути Win+R і вставити команду.

Борг за світло як приманка

Наприкінці жовтня UAC-0050 масово розсилала держустановам листи нібито від бухгалтера «ДТЕК Енерго» з вимогою погасити заборгованість. Мета — прихований віддалений доступ до комп’ютерів (Fintech Insider).

Урок: атакувальники підлаштовують приманки під новини. На тлі обстрілів енергетики й відключень лист про борг за електроенергію відкриють навіть обережні співробітники.

ШІ вже в арсеналі нападників

Держспецзв’язку повідомляє, що у 2026 році CERT-UA фіксувала ознаки використання ШІ для підготовки фішингових листів, підроблених сторінок і шкідливого коду, причому значно частіше, ніж торік (Інтерфакс-Україна).

Урок: «кострубатий текст» більше не є ознакою фішингу. Навчання персоналу має переходити від граматики до перевірки каналу: хто і звідки надіслав запит.

Нові правила гри під час кіберкризи

13 жовтня Держспецзв’язку затвердила Порядок реагування у кризовій ситуації в кіберпросторі. Координує процес Об’єднана група реагування при НКЦК (РНБО), а CERT-UA зобов’язана негайно інформувати партнерів, якщо інцидент загрожує системам країн ЄС (dev.ua).

Урок: для операторів критичної інфраструктури та їхніх підрядників з’являється чіткий алгоритм дій. Варто звірити з ним власні плани реагування вже зараз.

Світ: п’ять історій, які варто знати

ConnectWise: бекап, що відчинив Microsoft 365

16 жовтня ConnectWise повідомила про несанкціонований доступ до облікових даних застосунків Cloud Backup (колишній SkyKick), які вже мали згоду на читання тенантів клієнтів. Huntress зафіксувала спроби входу майже в 1 000 тенантів, понад 300 успішних; в одному випадку застосунок сам видав собі права Global Administrator. 17 жовтня сервіс призупинили (ZNova, Huntress).

Урок: аудит сторонніх застосунків у Entra ID — така ж обов’язкова процедура, як оновлення.

LiteLLM: дві години отруєної ШІ-бібліотеки

21 жовтня на PyPI майже дві години висіла шкідлива версія litellm 1.107.0, а Docker-тег latest вказував на заражений образ. Нападники використали викрадені GitHub-токени розробників; payload збирав хмарні ключі, ключі до ШІ-API, SSH-ключі та паролі браузера (LiteLLM).

Урок: ШІ-шлюзи зберігають ключі до всіх моделей компанії, тож стають ціллю номер один. Фіксуйте версії залежностей і не тягніть latest у продакшн.

PHP2Shell: вразливість під мільйонами сайтів

21 жовтня PHP випустив екстрені оновлення для двох критичних вразливостей (CVE-2026-109618 і CVE-2026-109619). Amazon Threat Intelligence бачила спроби експлуатації вже 17 жовтня, за чотири дні до патча (DCD-IT). За оцінкою VirusTotal, в інтернеті відкрито понад 5,1 млн PHP-хостів.

Урок: якщо у вас сайт на WordPress чи іншій PHP-платформі, уточніть у хостера версію PHP вже сьогодні.

Периметр під ударом: Ivanti, Palo Alto, BeyondTrust, Citrix

Чотири з експлуатованих вразливостей місяця сидять у пристроях, що охороняють периметр мережі. Volexity пов’язала zero-day в Ivanti Connect Secure (CVE-2026-104935) з угрупованням, яке з VPN перейшло до крадіжки облікових даних Active Directory і ключів відновлення BitLocker (Xage).

Урок: спершу оновлення, потім перевірка на компрометацію, і ніяких адмін-панелей у відкритому інтернеті.

Ahold Delhaize: як виглядає «запобіжне вимкнення»

12 жовтня власник мереж Albert Heijn, Delhaize, Food Lion і Stop & Shop виявив шкідливу активність і вимкнув сайти та застосунки, хоча магазини працювали. До 19 жовтня більшість європейських сервісів повернулися (ZNova).

Урок: заздалегідь визначте, які системи вимикаєте першими і як продовжите працювати без них.

Також у жовтні: Microsoft і Health-ISAC за рішенням суду США вилучили домени фішингових сервісів, через які з початку 2026 року розіслали понад мільярд шкідливих повідомлень (SecurityWeek); Oracle випустив 1 295 патчів у квартальному оновленні.

Аналітика SHERIFF: три тренди жовтня

1. Довіра стала головною вразливістю

ConnectWise, LiteLLM, BeyondTrust, зламані сайти з фейковою капчею: у кожній історії атакувальник використав те, чому жертва вже довіряла. Багатофакторна автентифікація не допомагає, коли зловмисник входить ключем постачальника, а не паролем працівника.

Висновок для бізнесу: інвентаризуйте всі сторонні доступи (SaaS-застосунки, MSP, інструменти віддаленої підтримки) і переглядайте їх щокварталу. Кожен такий доступ — це окремий працівник із правами адміністратора, якого ви ніколи не бачили.

2. ШІ одночасно інструмент і мішень

В Україні CERT-UA фіксує ШІ у підготовці фішингу та шкідливого коду. У світі атака на LiteLLM показала зворотний бік: ШІ-інфраструктура компаній концентрує ключі до хмар і моделей в одному місці.

Висновок для бізнесу: внесіть ШІ-інструменти до реєстру активів, обмежте права їхніх API-ключів і контролюйте, які дані співробітники передають у зовнішні моделі.

3. Вікно між розкриттям і атакою зникає

PHP2Shell атакували до появи патча, а атаки на Plex почалися наступного дня після публікації деталей. Щомісячний цикл оновлень більше не встигає за периметром.

Висновок для бізнесу: для систем, доступних з інтернету, діє правило «патч протягом тижня», а для вразливостей з каталогу CISA KEV — протягом трьох днів.

Прогноз на листопад

Очікуємо продовження приманок на тему енергетики та опалювального сезону, нових хвиль ClickFix і спроб масово експлуатувати PHP2Shell на сайтах, які не оновилися. Окремий ризик — шахрайство напередодні «чорної п’ятниці» з підробленими сторінками оплати й доставки.

Чекліст SHERIFF до кінця листопада

Сім дій, які закривають більшість ризиків жовтня.

• Перевірити, що на всіх ПК встановлено жовтневі оновлення Windows і зроблено перезавантаження.
• Дізнатися в хостера версію PHP на корпоративних сайтах і оновити до виправленої.
• Оновити VPN, фаєрволи та інструменти віддаленого доступу; прибрати адмін-панелі з відкритого інтернету.
• Переглянути сторонні застосунки в Microsoft 365 / Google Workspace і вимкнути ті, що не використовуються.
• Змінити ключі й паролі, які могли торкатися скомпрометованих інструментів (ConnectWise, LiteLLM).
• Переконатися, що вчорашній бекап виконався і з нього можна відновити файл.
• Надіслати команді «попередження місяця» (нижче).

Попередження місяця для співробітників

Якщо сайт просить «підтвердити, що ви не робот», натиснувши Win+R і вставивши команду, закрийте сторінку: це атака. А лист про борг за світло, газ чи податки перевіряйте лише в офіційному застосунку постачальника, а не за посиланням із листа.

‍

Не впевнені, чи стосуються ці загрози саме вашої компанії? Команда SHERIFF допоможе знайти слабкі місця, налаштувати захист і відреагувати на інцидент, якщо він уже стався. Дізнатися про послуги з кібербезпеки

Дайджест виходить раз на місяць, а оперативні новини про атаки й вразливості ми публікуємо щодня в Telegram. Підписуйтеся на канал SHERIFF Cybersecurity, щоб дізнаватися про загрози першими.

‍