Rapport varnar för att angripare riktar in sig på nätverkshanteringssystem

Angripare riktar i allt större utsträckning in sig på nätverkshanteringssystem som styr företagsinfrastruktur, enligt Eclypsiums InfraTrust Pulse-rapport för september. Flera kritiska sårbarheter utsattes för attacker före eller kort efter att leverantörerna offentliggjorde dem.

Rapporten följer 1 699 sårbarheter

Mellan den 25 augusti och den 17 september följde InfraTrust 158 säkerhetsmeddelanden från 17 leverantörer. Tillsammans omfattade de 1 699 sårbarheter.

Rapporten räknade 42 kritiska säkerhetsmeddelanden och åtta sårbarheter med det maximala CVSS-värdet 10,0. Den identifierade också 71 sårbarheter som angripare kunde utnyttja på distans utan autentisering.

Fem säkerhetsmeddelanden innehöll sårbarheter som senare lades till i CISA katalog över Known Exploited Vulnerabilities. Rapportens främsta fokus ligger dock på var angripare hittar de mest värdefulla svagheterna.

Nätverkshanteringssystem kan konfigurera enheter, lagra autentiseringsuppgifter och distribuera ändringar i en organisation. Därför kan åtkomst till en enda hanteringskonsol ge en angripare en väg in till många anslutna enheter.

Ciscos hanteringsplattformar utsätts för aktiva attacker

Rapporten lyfter fram CVE-2026-20079, en autentiseringsförbikoppling med maximal allvarlighetsgrad i Cisco Secure Firewall Management Center. En oautentiserad angripare kan skicka särskilt utformade förfrågningar till dess webbgränssnitt och köra kommandon som root.

Cisco bekräftade aktivt utnyttjande den 9 september. Utredare upptäckte senare att angripare kombinerade sårbarheten med en annan sårbarhet, CVE-2026-20316.

Cisco Talos kopplade aktiviteten till tre hotkluster. Angripare använde komprometterade system för rekognosering och stöld av autentiseringsuppgifter. I vissa fall distribuerade de även Qilin-ransomware.

Cisco Identity Services Engine drabbades av en separat aktivt utnyttjad sårbarhet. CVE-2026-76460 gör det möjligt för en oautentiserad fjärrangripare att köra kommandon som root via ett API. Cisco uppger att det inte finns någon tillfällig lösning, även om åtkomstkontroller kan begränsa exponeringen på distans.

Andra infrastrukturprodukter kräver uppmärksamhet

Rapporten tar också upp två sårbarheter i SonicWall SMA 1000 som angripare har kombinerat för att köra kod på distans. SonicWall rekommenderar att den senaste hotfixen installeras och att berörda system undersöks för tecken på intrång.

Samtidigt har en sårbarhet i Linux-kärnan, känd som CopyFail, förekommit i 19 säkerhetsmeddelanden från sex leverantörer. Varje berörd produkt kräver ett eget beslut och en egen tidsplan för åtgärder.

Slutligen lyfter InfraTrust fram en Secure Boot-förbikoppling som involverar UEFI Shell. En angripare med åtkomst till UEFI-startinställningarna kan använda den för att köra osignerad kod innan operativsystemet startar. Flera leverantörer har släppt eller tillkännagivit korrigeringar för berörda produkter.