Alerte de securitate pentru primării și instituții publice

Programe false de „instalare AI” care fură parolele din browser

Ce este: un fișier numit ca un program de instalare pentru Google Gemini instala de fapt Vidar, un program care fură parolele salvate în browser, datele de sesiune și alte informații. Fișierul nu venea prin e-mail, ci printr-o căutare obișnuită pe internet, iar pagina care îl oferea era găzduită pe un serviciu cunoscut, ceea ce îl făcea să pară legitim.
Cine este afectat: orice angajat care caută și descarcă unelte AI de pe internet, de pe calculatorul instituției. Nu este nevoie de nicio vulnerabilitate: este suficient ca cineva să ruleze fișierul.
Semnul care îl dă de gol: arhiva conținea un fișier care cerea rularea cu drepturi de administrator și adăugarea programului în excepțiile antivirusului. ⛔Niciun program legitim nu vă cere vreodată să vă dezactivați protecția ca să funcționeze.
Ce faceți: unelte AI se descarcă doar de pe site-ul oficial al producătorului, niciodată din primul rezultat de căutare. Dacă cineva din instituție a rulat deja un astfel de fișier, se schimbă parolele de pe alt calculator, curat, și se anunță furnizorul IT.
Sursa: analiza Darktrace (se deschide într-o filă nouă)

Momeli digitale: cum se vede un atacator care folosește conturi reale

Ce este: CISA a publicat un ghid despre cyber decoys, adică conturi, fișiere și sisteme false, puse intenționat în rețea, care nu au nicio utilizare legitimă. Dacă cineva le atinge, este aproape sigur un atacator, pentru că un angajat nu are de ce să ajungă la ele.
De ce contează pentru o instituție: atacatorii de azi folosesc tot mai des conturi reale și unelte deja existente în Windows, tocmai ca să nu declanșeze alarme. Un cont fals atins este un semnal clar, spre deosebire de zecile de alerte obișnuite care nu duc nicăieri.
Ce faceți: nu este ceva ce instalați dumneavoastră. Este o întrebare către furnizorul IT: „folosim conturi sau fișiere-capcană pentru a detecta un atacator care a intrat deja, și cine primește alerta?”
Exemplul cel mai simplu, luat din ghidul CISA (pagina 15): pe un folder partajat la care are acces o singură persoană se pun două-trei fișiere false, cu nume credibile, de tipul „Buget_2026.xlsx” sau „Indicatori_proiect.docx”, cu conținut inventat. Persoana respectivă este anunțată că sunt capcane și că nu le deschide niciodată. Orice atingere a acelor fișiere declanșează o alertă. Pentru că nimeni nu are motiv să le deschidă, o alertă de acolo înseamnă aproape sigur că cineva umblă în contul sau în folderul acela.
Sursa: CISA, Using Cyber Decoys to Strengthen Detection and Response (se deschide într-o filă nouă)

MikroTik RouterOS: CVE-2026-86060 și CVE-2026-67277

Ce este: prima permite unui atacator să își ridice drepturile pe router; a doua, în serviciul de test de viteză „btest”, permite citirea unei părți din memorie și blocarea echipamentului, fără autentificare.
Cine este afectat: instituțiile care folosesc routere MikroTik, foarte frecvente în rețelele mici.
Ce faceți: cereți actualizarea RouterOS după avizul MikroTik și verificați dacă serviciul „btest” și interfața de administrare sunt accesibile din internet.
Surse: avizul MikroTik (se deschide într-o filă nouă) · CISA KEV (se deschide într-o filă nouă)

Fortinet FortiOS, FortiSwitchManager, FortiSASE: CVE-2025-25249

Ce este: o depășire de memorie care permite executarea de cod sau comenzi prin pachete de rețea construite special.
Cine este afectat: instituțiile cu echipamente FortiGate sau alte produse Fortinet din lista avizului.
Ce faceți: cereți actualizarea după avizul Fortinet FG-IR-25-084. Pentru FortiGate cu VPN, citiți și ghidul nostru despre CVE-2024-21762, care include textul de trimis furnizorului IT.
Surse: avizul Fortinet (se deschide într-o filă nouă) · CISA KEV (se deschide într-o filă nouă)

Cisco Secure Firewall Management Center: CVE-2026-20079

Ce este: ocolirea autentificării în consola de administrare a firewall-urilor Cisco; un atacator fără cont poate obține acces root pe echipament.
Cine este afectat: instituțiile care administrează firewall-uri Cisco prin Firewall Management Center.
Ce faceți: cereți aplicarea actualizării din avizul Cisco și limitarea accesului la consola de administrare.
Surse: avizul Cisco (se deschide într-o filă nouă) · CISA KEV (se deschide într-o filă nouă) · alerta DNSC din 10.09.2026 (se deschide într-o filă nouă)

Cisco Identity Services Engine (ISE): CVE-2026-76460

Ce este: un atacator fără cont poate obține acces neautorizat la echipament, ocolind interfața web de administrare.
Cine este afectat: instituțiile care folosesc Cisco ISE sau ISE-PIC pentru controlul accesului în rețea.
Ce faceți: cereți aplicarea actualizării din avizul Cisco.
Surse: avizul Cisco (se deschide într-o filă nouă) · CISA KEV (se deschide într-o filă nouă)

Citrix NetScaler ADC și NetScaler Gateway: CVE-2026-19490

Ce este: ocolirea autentificării atunci când echipamentul funcționează ca gateway (SSL VPN, ICA Proxy, CVPN, RDP Proxy) sau ca server virtual AAA.
Cine este afectat: instituțiile care oferă acces de la distanță prin NetScaler.
Ce faceți: cereți actualizarea după buletinul Citrix CTX696939.
Surse: buletinul Citrix (se deschide într-o filă nouă) · CISA KEV (se deschide într-o filă nouă)

SonicWall SMA1000: CVE-2026-83548 și CVE-2026-83549

Ce este: prima permite unui atacator fără cont să acceseze funcții sensibile; a doua permite executarea de comenzi de către un cont de administrator.
Cine este afectat: instituțiile care oferă acces de la distanță prin echipamente SonicWall SMA1000.
Ce faceți: cereți actualizarea după avizul SonicWall SNWLID-2026-0016.
Surse: avizul SonicWall (se deschide într-o filă nouă) · CISA KEV (se deschide într-o filă nouă)

Check Point Security Gateway, Management Server, Spark: CVE-2026-85102 și CVE-2026-85103

Actualizare 05.10.2026: CISA a adăugat CVE-2026-85102 în catalogul vulnerabilităților exploatate efectiv pe 22.09.2026, deci atacul este real. CVE-2026-85103 nu apare (încă) în acel catalog. CISA KEV (se deschide într-o filă nouă)

Ce este: două vulnerabilități cu scorul 9,8 din 10 în negocierea VPN, prin care un atacator fără cont poate executa cod pe echipament.
Cine este afectat: instalațiile Check Point configurate cu Remote Access VPN sau Site-to-Site VPN, în versiunile R80 până la R82.10.
Ce faceți: CERT-EU recomandă aplicarea imediată a remedierilor publicate de Check Point, începând cu echipamentele expuse la internet.
Surse: CERT-EU 2026-012 (se deschide într-o filă nouă) · sk1000117 (se deschide într-o filă nouă) · sk1000118 (se deschide într-o filă nouă)

Cisco Secure Email Gateway (AsyncOS): CVE-2026-76461

Ce este: o injecție SQL prin care un atacator fără cont poate executa comenzi cu drepturi root pe echipamentul care filtrează e-mailul.
Cine este afectat: instituțiile care își filtrează e-mailul printr-un gateway Cisco.
Ce faceți: cereți aplicarea actualizării din avizul Cisco. DNSC a publicat o alertă dedicată pe 15.09.2026.
Surse: avizul Cisco (se deschide într-o filă nouă) · CISA KEV (se deschide într-o filă nouă) · alerta DNSC (se deschide într-o filă nouă)

Microsoft Windows: CVE-2026-81963 și CVE-2026-85880

Ce este: două defecte prin care cineva care rulează deja un program pe calculator își poate ridica drepturile până la nivelul sistemului. Sunt folosite de obicei după un e-mail sau un fișier rău intenționat.
Cine este afectat: calculatoarele cu Windows fără actualizările din septembrie 2026.
Ce faceți: verificați că actualizările Windows din septembrie sunt instalate pe toate calculatoarele, inclusiv pe cele folosite rar.
Surse: Microsoft CVE-2026-81963 (se deschide într-o filă nouă) · Microsoft CVE-2026-85880 (se deschide într-o filă nouă)

Google Chrome, Microsoft Edge și alte browsere Chromium: CVE-2026-85046 și CVE-2026-87491

Ce este: deschiderea unei pagini web construite special poate executa cod în browser.
Cine este afectat: orice calculator cu Chrome, Edge sau Opera neactualizat.
Ce faceți: reporniți browserele; actualizarea se aplică de obicei automat, dar intră în vigoare abia după repornire.
Surse: Google, 04.09 (se deschide într-o filă nouă) · Google, 09.09 (se deschide într-o filă nouă)

ConnectWise ScreenConnect, N-able N-central, Acronis Backup pentru cPanel și Plesk

ScreenConnect (CVE-2026-84869): în timpul unei sesiuni de acces la distanță, un atacator poate transfera și rula fișiere fără confirmarea celui de la calculator. buletinul ConnectWise (se deschide într-o filă nouă)
N-able N-central (CVE-2026-86218): executare de cod fără autentificare pe platforma de administrare folosită de furnizori IT. avizul N-able (se deschide într-o filă nouă)
Acronis Backup, extensia pentru cPanel & WHM și Plesk (CVE-2026-87886): permisiuni implicite greșite, care permit ridicarea drepturilor pe serverul de găzduire. avizul Acronis (se deschide într-o filă nouă)
Ce faceți: întrebați furnizorul IT și firma de găzduire dacă folosesc aceste produse și dacă au aplicat actualizările.