Podsumowanie
| Parametr | Wartość |
|---|---|
| CVE ID | CVE-2026-34926 |
| Źródło alertu | Trend Micro Security Bulletin (KA-0023430) |
| Rok publikacji CVE | 2026 |
| Data publikacji | 2026-05-28 |
| Producent | Trend Micro |
| Produkt | Apex One (on-prem) |
| Typ podatności | Directory Traversal (CWE-23) |
| CVSS Score | 6.7 (Średni) |
| Aktywna eksploitacja (ITW) | TAK - potwierdzona przez Trend Micro |
| Wektor CVSS | AV:L/AC:H/PR:H/UI:N/S:C/C:H/I:L/A:L |
| CISA KEV | Nie (jeszcze) |
| Ransomware | Nie potwierdzono |
Opis podatności
Źródło: Trend Micro Security Bulletin
Podatność typu directory traversal w serwerze Trend Micro Apex One (on-premise) umożliwia pre-uwierzytelnionemu lokalnemu atakującemu modyfikację kluczowej tabeli na serwerze w celu wstrzyknięcia złośliwego kodu, który zostanie następnie wdrożony na agentach końcowych zainstalowanych w organizacji. Podatność jest wykorzystywalna wyłącznie w wersji on-premise Apex One - atakujący musi mieć dostęp do serwera Apex One i uzyskać uprzednio poświadczenia administracyjne innym sposobem.
Krytyczna uwaga: Trend Micro potwierdza co najmniej jedną próbę eksploitacji tej podatności w środowiskach produkcyjnych (In-The-Wild). Mimo średniej oceny CVSS (6.7) podatność powinna być traktowana priorytetowo ze względu na aktywną eksploitację oraz mechanizm propagacji złośliwego kodu z serwera Apex One do wszystkich zarządzanych agentów (kompromitacja platformy EDR = utrata zaufania do warstwy ochrony endpointów).
CVE-2026-34926 jest jedną z 8 podatności opublikowanych w Trend Micro Security Bulletin KA-0023430 (May 2026). Pozostałe 7 to lokalne podniesienia uprawnień w agencie SEP - patrz CVE-2026-34927.
Wymagane działania
Natychmiast zaktualizuj Trend Micro Apex One do wersji z poprawką:
- Apex One (on-prem):
- SP1 CP Build 18012 (dla istniejących użytkowników SP1) - rekomendowana
- SP1 Build 17079 (dla świeżych instalacji) - z agentem co najmniej 14.0.0.17079
- Uwaga: CP Build 17079 został wcześniej wycofany z powodu niezwiązanego problemu i zastąpiony przez CP 18012. Klienci którzy już zastosowali Build 17079 są zabezpieczeni.
Dodatkowe działania:
- Audyt logów Apex One Server pod kątem nietypowych modyfikacji tabel konfiguracyjnych i nieautoryzowanych operacji administracyjnych.
- Rotacja poświadczeń administracyjnych Apex One Server - skoro eksploit wymaga wcześniejszego uzyskania creds admin, sprawdź czy nie doszło do ich wycieku.
- Sprawdzenie integralności konfiguracji agentów wdrożonych ze serwera (czy nie zawierają nieautoryzowanych modyfikacji).
- Ograniczenie dostępu sieciowego do serwera Apex One Server wyłącznie do zaufanych administratorów.
Kogo dotyczy?
Podatność dotyczy wyłącznie Trend Micro Apex One w wersji on-premise (Apex One 2019), Server i Agent buildy poniżej 17079, platforma Windows. NIE dotyczy Apex One as a Service / Vision One Endpoint Security SEP.
Apex One to flagowa platforma EDR Trend Micro wykorzystywana przez duże organizacje do ochrony endpointów Windows. Ze względu na rolę EDR-a jako “ostatniej linii obrony” oraz potwierdzoną aktywną eksploitację, organizacje korzystające z on-premise Apex One powinny traktować tę aktualizację jako pilną.
Źródła
Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.
