Полный контроль, захват сетей и обход паролей. Две критические уязвимости затронули оборудование Cisco по всему миру
На этот раз все настолько плохо, что в США опубликовали экстренную директиву.
Атаки на сетевое оборудование Cisco оказались настолько серьёзными, что власти США задействовали особый режим. Агентство по кибербезопасности и защите инфраструктуры США CISA выпустило экстренную директиву, обязательную для всех гражданских федеральных ведомств.
Документ опирается на нормы американского законодательства, которые позволяют Министерству внутренней безопасности в случае реальной угрозы требовать немедленных действий от ведомств. Это право передано директору CISA, а федеральные структуры обязаны исполнять такие предписания. Исключение составляют лишь системы национальной безопасности и сети военных и разведывательных органов.
В директиве CISA прямо указывает на продолжающуюся эксплуатацию уязвимостей в Cisco Catalyst SD-WAN Manager и Cisco Catalyst SD-WAN Controller. Речь идёт о CVE-2026-20127, которая позволяет удалённо обойти аутентификацию и получить административные права, и CVE-2022-20775, с помощью которой злоумышленник может повысить привилегии до root и выполнить произвольные команды.
Ведомство потребовало в жёстко заданной последовательности выявить все затронутые системы, собрать журналы и технические артефакты, проверить их на признаки взлома, установить обновления до 27 февраля 2026 года и отчитаться о проделанной работе в несколько этапов вплоть до середины марта. Если обнаружен захват учётной записи root, предписано немедленно уведомить CISA и развернуть новые экземпляры управляющих компонентов из исправленных образов.
Параллельно предупреждение опубликовал британский национальный центр кибербезопасности (NCSC). В совместном документе с партнёрами из Канады, Новой Зеландии, Великобритании и США говорится, что злоумышленники по всему миру взламывают Cisco Catalyst SD-WAN, добавляя в инфраструктуру фиктивный узел. Такой «подставной» участник сети получает возможность выполнять доверенные действия, добиваться прав root и закрепляться в системе на длительный срок.
К совместному предупреждению присоединилось и Австралийское управление радиотехнической разведки. Ведомство опубликовало техническое руководство, которое помогает понять, проникли ли злоумышленники в инфраструктуру. Из документа следует, что как минимум один атакующий использовал уязвимость нулевого дня в средах Cisco SD-WAN с 2023 года. Zero Day выявили лишь в конце 2025 года и уже устранили.
Авторы предупреждения призвали организации срочно проверить свои сети на признаки компрометации, установить последние версии программного обеспечения и выполнить рекомендации по усилению защиты. Особо подчёркивается, что интерфейсы управления SD-WAN не должны быть доступны из интернета, поскольку именно такие конфигурации находятся в зоне наибольшего риска. Конкретные группировки, стоящие за атаками, ведомства не называют.