Злоумышленники использовали критическую уязвимость CVE-2026-20131 в программном обеспечении Cisco Secure Firewall Management Center в качестве нулевого дня более чем за месяц до того, как Cisco выпустила патч. Об этом сообщил главный специалист по безопасности Amazon CJ Moses.
Уязвимость позволяет несанкционированному удаленному атакующему выполнять произвольный Java-код с правами администратора на уязвимых устройствах. Cisco выпустила обновления, устраняющие уязвимость, 4 марта, но преступники успели воспользоваться ею с 26 января.
Кто стоит за атаками?
Согласно словам Moses, группа злоумышленников Interlock использовала данную уязвимость для атак. Эта группировка, появившаяся в 2025 году, уже успела заразить как медицинские учреждения, так и другие организации, что привело к серьезным последствиям для пациентов.
Инструменты атаки
Атака была обнаружена в сети Amazon MadPot, где специалисты зафиксировали активный трафик, связанный с интерфейсом Interlock. Между тем, группа использует инструменты, позволяющие собирать не только информацию о системах жертв, но и обеспечивать постоянный доступ к этим машинам.
Среди особенностей инструментария злоумышленников — сценарии на PowerShell для сбора данных о Windows-средах жертв, а также внедрение JavaScript-кода, скрывающего действия от систем обнаружения.
Практические выводы для пользователей
Пользователям Cisco Secure Firewall следует немедленно обновить свои системы, так как уязвимость открывает доступ к атакующему для осуществления атак на корпоративные сети. Задержка с внедрением исправлений может привести к утечкам данных и финансовым потерям.
Согласно заявлениям Cisco, компания уже обновляет свои рекомендации по безопасности, призывая клиентов к оперативному реагированию.