Rapport advarer om at angripere retter seg mot nettverksadministrasjonssystemer

Angripere retter seg i økende grad mot nettverksadministrasjonssystemer som kontrollerer bedriftsinfrastruktur, ifølge Eclypsiums InfraTrust Pulse-rapport for september. Flere kritiske sårbarheter ble utsatt for angrep før eller kort tid etter at leverandørene offentliggjorde dem.

Rapporten sporer 1 699 sårbarheter

Mellom 25. august og 17. september sporet InfraTrust 158 sikkerhetsvarsler fra 17 leverandører. Til sammen omfattet de 1 699 sårbarheter.

Rapporten registrerte 42 kritiske sikkerhetsvarsler og åtte sårbarheter med maksimal CVSS-score på 10,0. Den identifiserte også 71 sårbarheter som angripere kunne utnytte eksternt uten autentisering.

Fem sikkerhetsvarsler inkluderte sårbarheter som senere dukket opp i CISAs Known Exploited Vulnerabilities-katalog. Rapportens hovedbekymring er imidlertid hvor angripere finner de mest verdifulle svakhetene.

Nettverksadministrasjonssystemer kan konfigurere enheter, lagre legitimasjon og distribuere endringer på tvers av en organisasjon. Som et resultat kan tilgang til én administrasjonskonsoll gi en angriper en vei inn til mange tilkoblede enheter.

Ciscos administrasjonsplattformer utsettes for aktive angrep

Rapporten fremhever CVE-2026-20079, en autentiseringsomgåelse med maksimal alvorlighetsgrad i Cisco Secure Firewall Management Center. En uautentisert angriper kan sende spesiallagde forespørsler til webgrensesnittet og kjøre kommandoer som root.

Cisco bekreftet aktiv utnyttelse 9. september. Etterforskere fant senere ut at angripere kombinerte sårbarheten med en annen sårbarhet, CVE-2026-20316.

Cisco Talos knyttet aktiviteten til tre trusselklynger. Angripere brukte kompromitterte systemer til rekognosering og tyveri av legitimasjon. I enkelte tilfeller distribuerte de også Qilin-ransomware.

Cisco Identity Services Engine ble utsatt for en separat aktivt utnyttet sårbarhet. CVE-2026-76460 gjør det mulig for en uautentisert ekstern angriper å kjøre kommandoer som root via et API. Cisco sier at det ikke finnes noen midlertidig løsning, selv om tilgangskontroller kan begrense ekstern eksponering.

Andre infrastrukturprodukter krever oppmerksomhet

Rapporten dekker også to sårbarheter i SonicWall SMA 1000 som angripere har kombinert for å kjøre kode eksternt. SonicWall anbefaler å installere den nyeste hotfixen og undersøke berørte systemer for kompromittering.

Samtidig har en sårbarhet i Linux-kjernen, kjent som CopyFail, dukket opp i 19 sikkerhetsvarsler fra seks leverandører. Hvert berørte produkt krever sin egen beslutning og tidsplan for utbedring.

Til slutt fremhever InfraTrust en Secure Boot-omgåelse som involverer UEFI Shell. En angriper med tilgang til UEFI-oppstartsinnstillingene kan bruke den til å kjøre usignert kode før operativsystemet starter. Flere leverandører har lansert eller kunngjort rettelser for berørte produkter.