Kriitilised haavatavused Fortineti ja Ivanti tarkvarates ning uued phishing-kampaaniad nõuavad kiireid uuendusi. Loe, kuidas kaitsta Balti ettevõtteid.

Küberruumi maastik on 2026. aasta septembri seisuga muutunud äärmiselt pingeliseks, kui mitme suure tehnoloogiagigandi tarkvarates on korraga ilmnud tõsised turvaaukud. Ettevõtjate ja IT-juhtide jaoks tähendab see, et rutine hooldus ei ole enam lihtsalt soovitatav, vaid kriitiline ellujäämise tingimus. Viimased teated näitavad, et rünnakud on suunatud nii infrastruktuuri põhialustele kui ka otselt lõppkasutajaid sihtivate sotsiaalse manipuleerimise meetoditele.

Fortineti kriitilised turvaaukud ja nende riskid

Yks murettekitavamaid uudiseid tuleb võrkuturvalisuse valdkonnast, kus on tuvastatud mitmeid haavatavusi Fortineti toodetes. Teatava info kohaselt on välja tulle neli olulist turvaauk, millest kolm on klassifitseeritud kui kriitilised ja üks kui kõrge riskiga. Need haavatavused on eriti ohtlikud, kuna need võivad võimaldada ründajale autentimise möödumise (Authentication Bypass) ja tundliku info avalikustamise.

Problemid puudutavad laia ringi tooteid, sealhulgas FortiOS versioone enne 7.6.7 ja FortiProxy versioone enne 7.6.7. Samuti on riskid tuvastatud FortiSandboxis (versioonid enne 5.0.6 ja 4.4.9), FortiSandbox Cloudis ning FortiSandbox PaaS-is. Lisaks on haavatavused leitud FortiPAM Chrome'i laienduses versioonides 8.x ja 7.4.x ning FortiMonitorOnSigh versioonides 7.2.0 kuni 7.2.2 ja 7.2.4 kuni 7.2.7. Fortineti turvauuendused on kiiresti rakendatav meetod, et vältida volitamatu ligipääsu ettevõtte sisevõrkudele.

Ivanti tarkvara: koodi täitmise oht

Paralleelselt Fortineti probleemidega on Ivanti väljastanud turvauuendused, mis parandavad kokku kümme haavatavust. Siin on olukord veelgi terav, kuna kuus neist on kriitilise tasimega ja neli kõrge riskiga. Need turvaaukud võivad võimaldada kaugel asuval ründajal, kes sageli ei ole süsteemis autenteeritud, täita suvalikku koodi (Arbitrary Code Execution), mööda minna autoriseerimismehhanismit või saada kõrgemaid kasutajaõigusi.

Häirused puudutavad Ivanti Neurons for ITSM-i nii pilve- kui on-prem versioone (sh versioonid 2025.2 kuni 2026.2). Samuti on riskid tuvastatud Ivanti Sentry versioonides R10.8.1, R10.7.2 ja R10.6.3 ning varsemates versioonides. Lisaks on haavatavused leitud Ivanti Endpoint Manager Mobile versioonides 12.9.0.1 ja 12.8.0.3 ning nende eelsetes versioonides. See näitab, et rünnakupind on laianen ja puudutab nii pilvepõhiseid kui kohalikult installitud halduslahendusi.

Google Chrome'i massiivne uuendusseria

Küberohud ei piirdu vaid serverite ja võrgiseadmetega, vaid jõuavad otse töötaja töölauale. Google on väljastanud Chrome'i brauserile uuenduse, mis parandab tervelt 230 uut turvaaukku. See on massiivne arv, mis rõhutab brauserite rolli kui ühe own sissepojoevuse punktina.

Nende 230 haavatavuse seas on viis kriitilise ja 41 kõrge riskiga. Üks konkreetne murettekitav haavatavus on CVE-2026-87491, mis võib ründaja puhul avada ukse süsteemi sisse läbi tavalise veebilehe külastamise. Kuna Chrome on Balti riikides üks levinuimaid tööbrausereid, on brauseri ajakohsustamine kõige lihtsam ja tõhusaim viis vältida malware'i sissejutmist.

Psühholoogiline sõda: phishing ja ettevõtteregistrid

Tehniliste haavatavuste kõrval on märgatud kasvu sotsiaalse manipuleerimise kampaaniates. Hiljutine phishing-rünnak on suunatud ettevõtetele, kasutades ettekujutust, et tegemist on ametliku ettevõtteregistri või Kaubandus-Tööstuskodade kommunikatsiooniga. Ründajad kasutavad e-kirju, mis on kirjutatud ebakindlas keeles, kuid loomaks kiirettunde, väitvad nad, et tegemist on juba kolmanda meeldetuletusega andmete uuendamiseks.

Phishing-kampaaniad ei tugine enam ainult tehnilistele vigadele, vaid kasutavad psühholoogilist survet ja ametlike asutuste logode imiteerimist, et saada käsi ettevõtte tundlikele andmetele.

Ohvrid suunatakse lehekujule, mis kopeerib täpselt ametliku registri välimust. Pärast andmete sisestamist suunatakse kasutaja aga päris ametlikule portaalile, et tehingu ehtsus oleks uskumiseväärsem ja ohver ei kahtlastaks rünnakut kohe pärast andmete kaotamist. See meetod on eriti ohtlik väiksematele ettevõtetele, kellel puudub spetsiaalne küberturvalisuse koolitus.

Kuidas ettevõtted peaksid reageerima

Kõigi nende sündmuste valguses on selge, et passiivne lähenemine turvalisusele on riski täis. Ettevõtted ei saa loota ainult tarkvaratootjate vaiksele uuendamisele, vaid peavad rakendama aktiivset strateegiat. Esimeseks sammuks on varuandmete loomine ja seejärel kriitiliste seadmete, nagu Fortineti ja Ivanti lahenduste, kiire uuendamine.

Samuti on oluline keskenduda inimtekile. Kuna phishing-kampaaniad muutuvad täpsemaks, on vajalik läbi viia regulaarsed koolitused, mis õpetavad töötajaid märkama ebatavaliseid e-kirju, kontrollima saatja aadressi ja vältima kiiret reageerimist nõudmustele, mis puudutavad ettevõtte andmete sisestamist kolmandate osapoolte lehtedele.

Mida see tähendab Eesti ja Balti ettevõtetele

Eesti ja Balti riigid on tuntud oma kõrge digitaliseerimisastme poolest. e-Estonia mudel ja Balti riikide kiirentunud digipööre tähendavad aga seda, et meie ettevõtted on ründajate jaoks väga atraktiivsed sihtruumid. Kuna suur osa meie äriprotsessidest toimub pilves ja läbi veebiliidest, on brauserite haavatavused ja võrguseadmete augud meie jaoks eksistentsiaalsed riskid.

Euroopa Liidu AI Act ja tulevased küberturvalisuse regulatsioonid nõuavad ettevõtetelt suuremat läbinähtavust ja vastutust andmete kaitse eest. Balti riikide jaoks, kus startup-ökosüsteem on dünaamiline, võib üks suurem andmelekkimine tõsta reputatsioone ja takistada rahastust. Meie ettevõtted peavad mõistma, et küberturvalisus ei ole IT-osakonna probleem, vaid osa üldisest äristrateegiast.

Eesti kontekstis, kus riiklikud teenused on tihedalt integreeritud, on eriti kriitiline hoida praksis ka isiklikku hügieeni digiruumis. Kui ründaja saab ligipääsu ettevõtte Fortineti seadmele või varastab phishingi kaudu juhtkandjate credentialsid, võib see anda võimaluse sissejutsetele süsteemidesse, mis on seotud riiklike e-teenustega. Seega on Balti riikide ettevõtetel kohustus olla tehnoloogiliselt sammu võrgus ründajatega, rakendades null-usaldus (Zero Trust) arhitektuure ja hoides tarkvarad alati värskena.

Korduma kippuvad küsimused

---

Allikad: Acn (7) ·