Эксплуатация VPN-шлюзов Cisco: злоумышленники выбирают доверенную инфраструктуру

Один день новостей о безопасности недавно нарисовал отрезвляющую картину того, как смещается фокус атакующих: VPN-шлюзы Cisco эксплуатируются в активных атаках, zero-day уязвимость в ядре Windows закрыта среди 421 исправления от Microsoft, операторы вымогателей атакуют больницы, а лица, предположительно связанные с Северной Кореей, устраивались на должности в государственных системах США через фальшивые собеседования. По отдельности каждая новость примечательна. Вместе они описывают закономерность, которая должна беспокоить всех, кто полагается на корпоративную VPN-инфраструктуру для безопасности удалённой работы.

Общий знаменатель — доверие. VPN-шлюзы Cisco, компоненты ядра Windows и даже сам процесс найма — всё это системы, которые организации и их сотрудники по умолчанию считают безопасными. Злоумышленники всё чаще делают ставку на то, что именно это предположение делает такие системы привлекательными целями.

Как это связано с более широкой волной zero-day уязвимостей в межсетевых экранах Cisco

Активная эксплуатация VPN-шлюзов Cisco не существует в изоляции. Это последняя глава в череде уязвимостей, затрагивающих линейку продуктов Cisco Secure Firewall — ПО, от которого многие предприятия зависят при управлении удалённым доступом и защитой периметра. Cisco уже пришлось экстренно выпустить исправление для zero-day уязвимости, вызывающей сбой межсетевых экранов ASA, а CISA отдельно выпустила предупреждение после того, как уязвимость Firewall Management Center, CVE-2026-20316, была подтверждена как находящаяся под активной атакой.

Тревожной эту тенденцию делает не какая-то отдельная уязвимость, а частота. Когда межсетевые экраны и VPN-продукты одного и того же производителя снова и снова появляются в бюллетенях об активной эксплуатации, это сигнализирует, что злоумышленники нашли надёжный путь в сети, которые многие ИТ-команды считают решённой задачей после установки и настройки оборудования. Если ваша организация ещё не изучила эти конкретные бюллетени, именно с этого следует начать с технической точки зрения.

Почему доверие к VPN на уровне инфраструктуры становится растущей поверхностью атаки

VPN-шлюзы находятся в уникально привилегированной точке сети. Они спроектированы так, чтобы быть доступными из интернета, чтобы удалённые сотрудники могли к ним подключаться, и спроектированы так, чтобы предоставлять доступ после аутентификации пользователя. Сочетание публичной доступности и повышенного доверия делает их эффективной целью. Одна-единственная неустранённая уязвимость в VPN-шлюзе потенциально может дать атакующему точку опоры, позволяющую обойти многие внутренние защитные механизмы, которые организация выстраивала годами.

Ситуацию усугубляют и другие новости из того же цикла. В число 421 исправления Microsoft вошла zero-day уязвимость в ядре Windows, а это означает, что у атакующих был путь к повышению привилегий на конечных точках даже после преодоления периметра. Операторы вымогателей продолжают атаковать больницы, где простой может стоить жизни, а давление с целью заплатить выкуп наиболее велико. А сообщения о том, что действующие лица уровня национальных государств, включая группы, связанные с Северной Кореей, используют поддельные собеседования для внедрения на должности системных администраторов, показывают: социальная инженерия, направленная на людей, управляющих этой инфраструктурой, столь же активна, как и техническая эксплуатация, направленная на саму инфраструктуру.

В совокупности эти истории говорят о том, что атакующие одновременно действуют на всех уровнях: на периметре сети, на уровне операционной системы и на уровне людей, которые администрируют и то, и другое.

Что это значит для вас

Если ваша организация использует VPN- или межсетевые экраны Cisco для удалённого доступа, эту историю не стоит пробегать глазами. Непропатченные или неправильно настроенные VPN-шлюзы уже стали подтверждённой точкой входа для реальных вторжений, а не теоретическим риском. Удалённым сотрудникам также стоит понимать, что безопасность их соединения в значительной степени зависит от шлюзового оборудования, которое поддерживает работодатель, а не только от надёжности пароля или наличия многофакторной аутентификации.

ИТ- и ИБ-командам стоит особенно внимательно отнестись к аспекту, связанному с атаками на системных администраторов. Если действующие лица уровня национальных государств используют рекрутинг и собеседования как вектор для внедрения своих агентов в организации с привилегированным доступом, стандартные технические средства защиты этого не обнаружат. Процессы найма на должности с доступом к инфраструктуре могут требовать такого же пристального контроля, как и графики установки обновлений ПО.

Практические выводы

  • Убедитесь, что межсетевые экраны Cisco Secure Firewall и VPN-устройства вашей организации используют актуальные исправления, и изучите свежие бюллетени по продуктам ASA, FTD и FMC.
  • Рассматривайте VPN-шлюзы как цели высокой ценности при оценке рисков, а не как рядовую инфраструктуру.
  • Своевременно применяйте последние обновления безопасности Microsoft, особенно те, которые устраняют уязвимости на уровне ядра.
  • Добавьте дополнительные шаги проверки в процессы найма на ИТ-должности и должности системных администраторов с привилегированным доступом к сети.
  • Убедитесь, что больницы и другие критически важные организации имеют проверенные планы резервного копирования и восстановления, учитывая продолжающиеся атаки групп вымогателей.

Общая нить всех этих историй в том, что эксплуатируемые в реальных условиях VPN-шлюзы Cisco — лишь часть более широких усилий злоумышленников по эксплуатации доверия, встроенного в корпоративные системы и процессы найма. Следить за актуальными бюллетенями производителей и относиться к инфраструктуре удалённого доступа как к объекту постоянного контроля, а не как к развёрнутому и забытому решению, — самая практичная защита, доступная прямо сейчас.