Alvorlig Cisco-sårbarhet utnyttet av avanserte trusselaktører

Angripere utnyttet kritisk sårbarhet i Cisco-systemer

En ny alvorlig null-dags-sårbarhet i Cisco Catalyst SD-WAN Controller og Manager har blitt aktivt utnyttet av en avansert trusselgruppe. Sårbarheten, identifisert som CVE-2026-20182, har fått den høyeste mulige alvorlighetsgraden med en CVSS-score på 10 og fungerer som en "masternøkkel" for angripere.

Ifølge Rapid7, som oppdaget sårbarheten og rapporterte den til Cisco i mars, kan angripere utgi seg for å være en pålitelig nettverksruter. Systemet aksepterer falske identiteter uten tilstrekkelig validering, noe som gir angriperne høyeste nivå av administrator-tilgang. «Dette er cybersecurity-versjonen av en Jedi-hjernevask,» uttalte Douglas McKee, direktør for sårbarhetsintelligens hos Rapid7.

Sårbarheten i korthet

• CVE-2026-20182: Autentiseringsomgåelse med CVSS-score 10
• Utnyttet av: Trusselgruppen UAT-8616
• Risiko: Full administrator-tilgang til systemer
• Patching: Cisco har lansert oppdateringer og CISA har lagt til sårbarheten i sin liste over kjente utnyttede sårbarheter

Trusselgruppen UAT-8616 har lang historie

Cisco Talos-forskere har knyttet de siste angrepene til trusselgruppen UAT-8616, som tidligere har utnyttet to andre null-dags-sårbarheter i Cisco sine nettverksløsninger. Gruppen har vært aktiv i minst tre år før aktiviteten ble oppdaget og rapportert i februar i år.

Selskapet bekrefter at utnyttelsen av den nye null-dagen pågår, men har ikke gitt ytterligere detaljer om gruppens opphav eller motivasjon. «Vi anbefaler sterkt at kunder installerer tilgjengelige oppdateringer og følger veiledningen i våre råd og Cisco Talos-blogg,» uttalte en talskvinne for Cisco.

Flere grupper utnytter sårbarheter i Cisco-systemer

Cisco Talos advarer også om at UAT-8616 og minst ti andre trusselgrupper har kombinert flere sårbarheter for å oppnå bred utnyttelse av tre ukrapporterte sårbarheter i Cisco Catalyst SD-WAN Infrastructure. Disse sårbarhetene ble tidligere patchet av Cisco i februar, men mange systemer er fortsatt sårbare på grunn av manglende oppdateringer.

Rapid7 oppdaget den kritiske autentiseringsomgåelsen under forskning på en tidligere null-dag, CVE-2026-20127, som ble identifisert av Five Eyes-alliansen som aktivt utnyttet av UAT-8616 sent i 2025.

Tidslinje og respons

Cisco og myndigheter ventet minst to måneder med å offentliggjøre og patche sårbarheten, samt dele nødvendig veiledning for å begrense skade. Gruppen har vært aktiv i minst tre år, noe som markerer den andre serien med aktivt utnyttede null-dager i Cisco sine løsninger.

CISA har i løpet av mindre enn tre måneder lagt til sju sårbarheter knyttet til Cisco SD-WAN og brannmurer til sin liste over kjente utnyttede sårbarheter. Cisco er blant de mest utsatte leverandørene, men står ikke alene i å møte en økning i angrep på kundene sine.

«Vi oppfordrer alle kunder til å umiddelbart oppdatere systemene sine og følge sikkerhetsråd fra Cisco.»

— Cisco Talos