Cisco reaguje na atak zero-day — luka w Catalyst SD-WAN zagrożona przez aktywnych cyberprzestępców

Firma Cisco poinformowała o aktywnym wykorzystywaniu krytycznej luki zero-day w swoich produktach Catalyst SD-WAN Controller i Manager. Luka, oznaczona jako CVE-2026-20182, posiada najwyższy możliwy rating zagrożenia (CVSS 10) i pozwala atakującym na obejście uwierzytelniania, uzyskując pełny dostęp administracyjny do systemu.

Według Douglasa McKee, dyrektora ds. inteligencji zagrożeń w Rapid7, atakujący mogą podszyć się pod zaufany router sieciowy i przejąć kontrolę nad systemem bez odpowiedniej weryfikacji.

"To cyberbezpieczeństwo w wersji Jedi Mind Trick — atakujący mogą uzyskać najwyższy poziom dostępu, przedstawiając się jako zaufane urządzenie."

Rapid7 odkryło i zgłosiło lukę do Cisco już 9 marca, jednak firma potwierdziła jej aktywne wykorzystywanie dopiero w tym miesiącu. Cisco wydało poprawkę 16 maja, a amerykański CISA natychmiast dodało ją do katalogu znanych, wykorzystywanych luk. Mimo to, firma nie wyjaśniła, co działo się w ciągu dwóch miesięcy pomiędzy wykryciem a ujawnieniem.

Eksperci podkreślają, że atakujący należą do grupy UAT-8616, która od co najmniej trzech lat prowadzi kampanię przeciwko systemom Cisco. Grupa ta była już odpowiedzialna za wykorzystywanie dwóch innych luk zero-day w oprogramowaniu sieciowym Cisco, ujawnionych w lutym tego roku. Cisco Talos potwierdziło, że atak na nową lukę wciąż trwa.

Firma zaleca klientom natychmiastowe zainstalowanie dostępnych poprawek i stosowanie się do zaleceń zawartych w komunikatach bezpieczeństwa. Cisco Talos ostrzega również, że grupa UAT-8616 oraz co najmniej dziesięć innych grup przestępczych aktywnie wykorzystuje trzy niezałatane luki w Cisco Catalyst SD-WAN Infrastructure.

W lutym Cisco wydało poprawki dla trzech innych krytycznych luk (CVE-2026-20122, CVE-2026-20128 i CVE-2026-20133), które również były wykorzystywane przez UAT-8616. Rapid7 odkryło najnowszą lukę podczas badań nad poprzednią luką zero-day (CVE-2026-20127), potwierdzoną przez alianckie służby wywiadowcze jako aktywnie wykorzystywaną pod koniec 2025 roku.

Autorzy i Cisco czekali co najmniej dwa miesiące z ujawnieniem i wydaniem poprawki, co budzi pytania o czas reakcji na zagrożenie. Kampania UAT-8616, rozpoczęta co najmniej trzy lata temu, stanowi drugą serię aktywnie wykorzystywanych luk zero-day w produktach Cisco.