Американската Агенция за киберсигурност и инфраструктурна сигурност (CISA) в сряда добави три уязвимости, засягащи съответно Cisco, Citrix и Fortinet, към своя каталог с известно експлоатирани уязвимости (KEV), изисквайки от агенциите на Федералната гражданска изпълнителна власт (FCEB) да инсталират съответните корекции за сигурност до 12 септември 2026 г.

Уязвимостите са изброени по-долу -

  • CVE-2026-20079 (CVSS оценка: 10.0) - Уязвимост за заобикаляне на автентикация в уеб интерфейса на Cisco Secure Firewall Management Center (FMC) Software, която би могла да позволи на неавтентикиран отдалечен атакуващ да заобиколи автентикацията и да изпълни скриптови файлове на засегнатото устройство, за да получи root достъп до базисната операционна система.
  • CVE-2026-19490 (CVSS оценка: 9.3) - Уязвимост за заобикаляне на автентикация в Citrix NetScaler ADC и NetScaler Gateway, когато устройството е конфигурирано като AAA виртуален сървър или като Gateway (SSL VPN, ICA Proxy, CVPN или RDP Proxy).
  • CVE-2025-25249 (CVSS оценка: 7.3) - Уязвимост от тип препълване на буфера в динамичната памет (heap-based buffer overflow) във Fortinet FortiOS, FortiSwitchManager и FortiSASE, която би могла да позволи на отдалечен неавтентикиран атакуващ да изпълни произволен код или команди чрез специално форматирани заявки.

Това развитие идва в момент, когато Cisco обнови своя бюлетин за сигурност за CVE-2026-20079, отбелязвайки, че е научила за активни опити за експлоатация, насочени към уязвимостта през август 2026 г. Компанията не разкри допълнителни подробности.

Маршрутизаторите на Cisco са магнит за атаки през последните години. В доклад, публикуван в края на миналия месец, Sygnia заяви, че е наблюдавала китайска група за кибереспионаж, наречена Fire Ant, която получава неоторизиран достъп до маршрутизатори Cisco IOS XR и ги използва, за да поддържа присъствие, да събира данни и да прониква по-дълбоко в критично важни мрежи чрез специализиран зловреден код.

„Това поведение променя ролята на маршрутизатора от транзитно устройство в платформа за събиране на данни“, отбелязва компанията за киберсигурност. „След като киберпрестъпникът поеме контрол над маршрутизатора, устройството се превръща в удобна точка за наблюдение на трафика, преминаващ през доверени мрежови пътища.“

От друга страна, CVE-2026-19490 е била обект на активност по експлоатация, насочена към средите тип капан (honeypot) на Previdian, като от 3 септември 2026 г. са регистрирани общо 56 опита. От тях 36 опита са регистрирани само на 8 септември 2026 г.

Добавянето на CVE-2025-25249 към каталога KEV следва доклад от SOCRadar за злонамерена кампания, за която се подозира, че е използвала уязвимостта като оръжие за доставяне на богат на функционалност троянец за отдалечен достъп (RAT) на Node.js с кодово име PivotC2. Рамката за действия след експлоатация поддържа функции като интерактивни шелове, тунелиране, сканиране на мрежата и събиране на конфигурации.

Оценява се, че повече от 3000 IP адреса са били целеви обект като част от кампанията, което е довело до компрометирането на 178 устройства с PivotC2. По-голямата част от компрометираните системи са концентрирани в САЩ. Дейността се оценява като дело на рускоезичен автор на заплахи, воден от финансова печалба. Най-ранните доказателства за активно експлоатиране на уязвимостта датират от юли 2026 г.

При наблюдаваните атаки shell скрипт, съдържащ експлойт бинарен файл, се насочва към уязвим инстанция на FortiGate, за да установи обратен шел (reverse shell) и да изпълни едноредова JavaScript команда през Node.js. Това от своя страна води до изтеглянето на втори етап на зловреден код на JavaScript, който се декриптира и изпълнява, за да се достави PivotC2.

„PivotC2 установява устойчива изходяща TLS връзка към отдалечен команден сървър (C2). Неговият набор от функции включва интерактивни шелове, трансфер на файлове, SOCKS5/HTTP прокси тунелиране, пренасочване на локални и отдалечени портове, сканиране на CIDR диапазони и събиране на специфични за FortiGate конфигурации и декриптиране на идентификационни данни“, заявяват от SOCRadar. „Флаг за авто-режим позволява автономни операции, като автоматично изпълнява предварително дефинирана последователност от команди при първоначално заразяване.“

Констатациите за пореден път показват, че киберпрестъпниците непрекъснато сканират достъпни от интернет периметърни устройства, за да получат първоначален достъп, възползвайки се от липсата на надежден мониторинг или логове за телеметрия. SOCRadar препоръчва на организациите, използващи продукти на Fortinet, да ограничат достъпа до интернет, да търсят индикатори за компрометиране, да сменят идентификационните данни и да инсталират най-новите корекции за сигурност.