🏭 Отрасли РФ: не определено
🧪 Правила Suricata: ✅ синтаксис проверен на движке (Suricata 8.0.7)
🧩 Sigma: ✅ структура правила корректна
📋 Покрытие детекта: IoC ✅ · Suricata ✅ · Sigma ✅ · YARA ❌ · TTP 0
🇷🇺 RU
🧭 Вводные
KEV: CVE-2026-5430 — WSO2 Multiple Products Детали — в источнике; ниже извлечённые индикаторы компрометации.
🛡 Куда и как применять
• Загрузить индикаторы в SIEM и создать корреляцию по совпадению за 30 дней.
• Домены/URL — в блок на NGFW, secure web gateway и в DNS RPZ.
• IP — временный блок на периметре + ретро-поиск соединений за 14 дней.
• Хэши — в EDR-блоклист и YARA-сканирование файловых хранилищ.
• CVE (CVE-2026-5430) — приоритетный патч и проверка exposure.
🧪 Перепроверка
Перед продом проверьте индикаторы в изолированном тестовом контуре: прогоните через sandbox/CI-детект, оцените ложные срабатывания на легитимном трафике за прошлую неделю, только потом переводите правило в blocking.
— — —
🇬🇧 EN
🧭 Overview
KEV: CVE-2026-5430 — WSO2 Multiple Products See the source for details; extracted indicators of compromise are below.
🛡 Where & how to apply
• Load the indicators into SIEM and build a 30-day match correlation rule.
• Domains/URLs — block on NGFW, secure web gateway and DNS RPZ.
• IPs — temporary perimeter block plus a 14-day retro-hunt of connections.
• Hashes — add to EDR blocklist and YARA-scan file shares.
• CVE (CVE-2026-5430) — prioritise patching and check exposure.
🧪 Re-verification
Before production, validate the indicators in an isolated test environment: run them through sandbox/CI detection, measure false positives against last week's legitimate traffic, and only then switch the rule to blocking.
🧬 IoC / Индикаторы (4) — defanged
🔗
hxxps://security[.]docs[.]wso2[.]com/en/latest/security-announcements/security-advisories/2026/wso2-2026-5328/ · url · conf 58 · 🔵🔗
hxxps://nvd[.]nist[.]gov/vuln/detail/cve-2026-5430 · url · conf 58 · 🔵🩹
CVE-2026-5430 · cve · conf 58 · 🔵🔗
security[.]docs[.]wso2[.]com · domain · conf 58 · 🔵🔗 Источники / Sources: CISA KEV
#без_атрибуции #РФ #IoC
🏷 TLP:CLEAR
⚠️ Данные требуют перепроверки. Индикаторы из открытых источников, возможны ложные срабатывания. Не включайте блокировку на проде без прогона в тестовом контуре.
⚠️ Unverified aggregation. Validate every indicator in a test environment before blocking.
👤 Дмитрий Беляев — Независимый эксперт по кибербезопасности. 11+ лет в ИБ: incident response, SOC, построение процессов защиты в банках и телекоме.
Independent cybersecurity expert. 11+ years in infosec: incident response, SOC, security programs for banks and telecom.
🌐 https://belyaev.expert/
🤖 Belyaev ThreatMap · авто-агент · 25.09.2026 07:00 UTC