Атакуващите все по-често насочват вниманието си към системите за управление, използвани за контрол на корпоративната инфраструктура, като редица критични уязвимости се експлоатират активно преди или малко след като производителите ги оповестят.

Това съобщава септемврийското издание на InfraTrust Pulse на Eclypsium — месечен доклад, който проследява бюлетините за сигурност, засягащи мрежови устройства, сървъри, фърмуер, чипове и друга инфраструктура.

Между 25 август и 17 септември InfraTrust е проследил 158 нови бюлетина за сигурност от 17 производителя, покриващи 1 699 уязвимости.

От тези бюлетини 42 са оценени като критични, осем имат максимална CVSS оценка от 10.0, а 71 могат да бъдат експлоатирани отдалечено без автентикация.

Пет от публикуваните бюлетина включват уязвимости, които в крайна сметка са включени в каталога на CISA за познати експлоатирани уязвимости (KEV).

InfraTrust обаче посочва, че една от най-значимите тенденции този месец е мястото, където се появяват много от най-опасните уязвимости.

Киберпрестъпниците все по-често компрометират системите за управление, използвани за конфигуриране и контрол на мрежови устройства, което дава на хакерите пълен контрол върху компрометираните устройства.

„Това е втори пореден месец, в който най-ценните експлоатирани слабости в инфраструктурата са в административния софтуер, затова третирайте тези платформи като критично важни цели и съответно отстранявайте уязвимостите, наблюдавайте и укрепвайте сигурността им“, се казва в доклада.

Нацелени са системи за управление на инфраструктурата

Една от най-сериозните уязвимости, подчертани в доклада, е CVE-2026-20079 — заобикаляне на автентикацията с максимална степен на критичност в Cisco Secure Firewall Management Center (FMC).

Уязвимостта позволява на неавтентикиран атакуващ да изпраща специално създадени HTTP заявки към уеб интерфейса на FMC и да изпълнява скриптове и команди с права на root върху засегнатите устройства.

Cisco потвърди на 9 септември, че уязвимостта се експлоатира активно, обновявайки своя бюлетин с информация, че екипът за реагиране при инциденти с продукта (PSIRT) е научил за атаките през август. CISA добави уязвимостта в каталога KEV на същия ден.

Въпреки това BleepingComputer по-рано съобщи на 29 юли, че Cisco вече е обновила бюлетина за CVE-2026-20079 с извънредни корекции за сигурност и индикатори за компрометиране, свързани също с атаки, експлоатиращи друга FMC уязвимост — CVE-2026-20316.

По онова време Cisco заяви, че не е запозната със злонамерено експлоатиране на CVE-2026-20079, въпреки публикуването на един и същ индикатор „/var/tmp/license.tmp“ и за двете уязвимости.

По-късно беше потвърдено, че двете уязвимости във FMC са били верижно свързани в атаките.

Cisco Talos свързва активността с три групи авторите на заплахи, проследявани като UAT-12197, UAT-11823 и UAT-11988, които включват спонсорирани от държави злонамерени субекти и банди за криптовируси (ransomware).

Забелязано е, че атакуващите използват вградени инструменти във FMC за разузнаване, внедряване на тунелиращи програми, събиране на идентификационни данни от компрометирани системи и в някои случаи внедряване на зловреден код за криптиране Qilin.

Отделът Counter Threat Unit на Sophos също анализира имплант за Linux с име „timezone_check“, възстановен от компрометирани устройства FMC, и го идентифицира като вариант на Cyclops Blink — зловреден софтуер, свързван по-рано с хакерската група Sandworm.

Cisco отделно разкри още шест уязвимости във FMC на 16 септември, включително слабости, засягащи sftunnel връзката, която FMC използва за комуникация с управляваните защитни стени.

Cisco Identity Services Engine (ISE), друга платформа за управление, също беше засегната от множество критични уязвимости.

Cisco разкри бюлетини за ISE на 16 септември, включително три уязвимости с максимална CVSS оценка от 10.0.

Една от тях, CVE-2026-76460, е заобикаляне на автентикацията в API, което позволява на отдалечен атакуващ без автентикация да изпълнява команди като root.

CISA добави уязвимостта в каталога KEV в същия ден, в който Cisco я разкри, тъй като тя вече се експлоатираше в атаки.

Cisco заявява, че няма алтернативни решения за заобикаляне на проблема, въпреки че ограничаването на достъпа до устройството чрез списъци за контрол на достъпа до инфраструктурата (iACL) може да предотврати отдалечено експлоатиране.

InfraTrust отбелязва, че тази тенденция се простира отвъд Cisco.

По време на отчетния период през септември уязвимости засегнаха също HPE Fabric Composer, EdgeConnect SD-WAN Orchestrator, NVIDIA Unified Fabric Manager, Dell SmartFabric Manager, SonicWall NSM On-Prem и Arista интерфейси за управление.

„Нито едно от тях не е защитна стена, суич, рутер или фабрика“, се казва в доклада.

„Всяко едно е конзолата, която ги конфигурира, съхранява техните идентификационни данни и осигурява път за контрол на промените във всички тях едновременно.“

Още критични инфраструктурни слабости

Докладът също така акцентира върху две активно експлоатирани уязвимости в SonicWall SMA 1000, които са били свързани верижно в атаки.

CVE-2026-83548 е уязвимост от тип Server-Side Request Forgery с CVSS 10.0 без автентикация в интерфейса Appliance Work Place, а CVE-2026-83549 е уязвимост от тип OS Command Injection в Appliance Management Console.

InfraTrust заявява, че уязвимостите могат да се комбинират за постигане на отдалечено изпълнение на код без автентикация.

CISA добави и двете уязвимости в своя каталог KEV на 2 септември, а SonicWall потвърди, че те се експлоатират в атаки.

Производителят препоръчва на клиентите да инсталират най-новите корекции за сигурност, да разследват системите за признаци на компрометиране и да преинсталират физическите устройства или внедрят отново виртуалните, вместо да се опитват да изчистят компрометираните инсталации на място.

Check Point също оповести три критични уязвимости, подлежащи на отдалечено експлоатиране без необходимост от автентикация.

Те включват CVE-2026-85102 — заобикаляне на автентикацията, което може да доведе до отдалечено изпълнение на код в Remote Access и Site-to-Site VPN, и CVE-2026-85103 — уязвимост, свързана с повреда на паметта, която също може да доведе до отдалечено изпълнение на код.

Холандският Национален център за киберсигурност (NCSC) призова администраторите незабавно да инсталират обновленията за сигурност, предупреждавайки, че експлоатирането им е неизбежно.

Трета уязвимост, CVE-2026-91843, представлява слабост в процеса на вход без автентикация, която може да позволи на атакуващите да изпълняват код с root права върху няколко сървъра за управление и логване на Check Point.

Arista публикува 34 бюлетина за сигурност на 9 септември, включително две уязвимости с максимална степен на критичност, които могат да позволят отдалечено изпълнение на код без автентикация върху системи EOS.

CVE-2026-73453 засяга услугата P4Runtime на TCP порт 9559, докато CVE-2026-73456 засяга gNPSI.

И двете функции са изключени по подразбиране и Arista съобщава, че няма данни някоя от тези уязвимости да е била експлоатирана.

InfraTrust също подчерта CVE-2026-20212 — критична уязвимост в Cisco Nexus 9000, която може да позволи на неавтентикирани атакуващи да получат възможност за изпълнение на код с root права през два портови интерфейса за дебъгване, достъпни по подразбиране при засегнатите суичове.

Една уязвимост в Linux се разпростира в 19 бюлетина

Докладът за септември показва също как уязвимостите във веригата за доставки в компоненти от трети страни могат да създадат сериозни главоболия при инсталирането на корекции за сигурност в инфраструктурните продукти.

InfraTrust установи, че CVE-2026-31431 — уязвимост за ескалация на привилегии в ядрата на Linux, наречена „CopyFail“ и добавена в каталога KEV на CISA през май, сега се появява в 19 отделни бюлетина за сигурност от шест различни производителя.

Arista, F5, Juniper, Extreme Networks и HPE Aruba публикуваха по един бюлетин, засягащ продукти, съдържащи уязвимия компонент, докато Dell отчита 14 бюлетина, покриващи продукти като VxRail, PowerFlex, ThinOS, PowerProtect и Networking OS10.

„Един дефект нагоре по веригата създаде деветнадесет задачи за отстраняване на уязвимости, всяка от които идва по различен график от съответния производител и с различен номер на бюлетина“, обяснява докладът.

Фърмуерът остава друго слабо място

В доклада се споменава и заобикаляне на Secure Boot в UEFI Shell, открито от Eclypsium и разкрито чрез CERT/CC.

Уязвимостта позволява на атакуващ с достъп до настройките за зареждане на UEFI да стартира вграден UEFI Shell, който обикновено е блокиран по време на стартиране.

Оттам атакуващият може да промени настройките на Secure Boot в паметта и да стартира неподписан код, преди операционната система да се зареди.

Разкритието доведе до три уязвимости, проследявани като CVE-2026-20293 за Cisco, CVE-2026-33197 за системи на базата на AMI Aptio и CVE-2026-6485 за Insyde.

AMI, Dell, Cisco, Lenovo и Supermicro са пуснали или обявили корекции за сигурност за засегнатите продукти.