Cisco VPN-шлюзи експлуатуються, поки зловмисники націлюються на довірену інфраструктуру

Новини безпеки лише за один день нещодавно показали різку картину того, як зловмисники зміщують фокус: VPN-шлюзи Cisco експлуатуються в активних атаках, серед 421 виправлення Microsoft запатчено zero-day в ядрі Windows, угруповання програм-вимагачів атакують лікарні, а оперативники, пов’язані з Північною Кореєю, за повідомленнями, отримують посади в урядових системах США через фальшиві співбесіди. Окремо кожен пункт вартий уваги. Разом вони описують тенденцію, яка має непокоїти всіх, хто покладається на корпоративну VPN-інфраструктуру для безпеки віддаленої роботи.

Спільним знаменником тут є довіра. VPN-шлюзи Cisco, компоненти ядра Windows і навіть сам процес найму — це системи, які організації та їхні працівники за замовчуванням вважають безпечними. Зловмисники дедалі частіше роблять ставку на те, що саме це припущення робить ці системи привабливими цілями.

Як це пов’язано з ширшою хвилею zero-day у міжмережевих екранах Cisco

Активна експлуатація VPN-шлюзів Cisco не існує у вакуумі. Це новий розділ у низці вразливостей, що стосуються лінійки продуктів Cisco Secure Firewall — програмного забезпечення, від якого багато підприємств залежать для керування віддаленим доступом і захистом периметра. Cisco вже довелося випустити екстрений патч для zero-day, що спричиняє збій міжмережевих екранів ASA, а окремо CISA випустила попередження після того, як вразливість у Firewall Management Center CVE-2026-20316 була підтверджена як така, що перебуває під активною атакою.

Тривожним у цій тенденції є не якась окрема вразливість, а її частота. Коли продукти одного й того самого вендора для міжмережевих екранів і VPN постійно з’являються в бюлетенях про активну експлуатацію, це свідчить про те, що зловмисники знайшли надійний шлях до мереж, які багато ІТ-команд вважають вирішеною проблемою після того, як обладнання встановлене в стійку та налаштоване. Якщо ваша організація ще не переглянула ці конкретні бюлетені, саме з цього варто почати з технічного боку.

Чому довіра до VPN на рівні інфраструктури стає дедалі більшою поверхнею атаки

VPN-шлюзи розташовані в мережі в унікально привілейованій точці. Вони створені так, щоб бути доступними з інтернету, аби віддалені працівники могли до них під’єднатися, і щоб надавати доступ після автентифікації користувача. Це поєднання — публічна доступність плюс підвищена довіра — робить їх ефективною ціллю. Одна неоновлена вразливість у VPN-шлюзі потенційно може дати зловмиснику точку опори, що оминає багато внутрішніх засобів захисту, які організація вибудовувала роками.

Це посилюється іншими історіями того самого новинного циклу. 421 патч Microsoft включав zero-day в ядрі Windows, тобто зловмисники мали шлях до підвищення привілеїв на кінцевих точках навіть після подолання периметрового захисту. Оператори програм-вимагачів продовжують атакувати лікарні, де простій може означати життя або смерть, а тиск заплатити викуп — найвищий. А повідомлення про те, що державні хакери, зокрема угруповання, пов’язані з Північною Кореєю, використовують фальшиві співбесіди, щоб проникнути на посади системних адміністраторів, свідчать: соціальна інженерія, спрямована на людей, які керують цією інфраструктурою, така ж активна, як і технічна експлуатація самої інфраструктури.

Разом ці історії свідчать, що зловмисники працюють одночасно на всіх рівнях: на межі мережі, в операційній системі та серед людей, які адмініструють і те, і інше.

Що це означає для вас

Якщо ваша організація використовує пристрої Cisco VPN або міжмережеві екрани для віддаленого доступу, цю історію не варто легковажно переглядати. Неоновлені або неправильно налаштовані VPN-шлюзи тепер є доведеною точкою входу для реальних вторгнень, а не теоретичним ризиком. Віддалені працівники також мають розуміти, що безпека їхнього з’єднання значною мірою залежить від шлюзового обладнання, яке підтримує роботодавець, а не лише від надійності пароля чи наявності багатофакторної автентифікації.

Для ІТ-команд і команд безпеки особливої уваги заслуговує вектор, спрямований на системних адміністраторів. Якщо державні хакери використовують рекрутинг і співбесіди як вектор для впровадження своїх людей в організації з привілейованим доступом, стандартні технічні засоби захисту цього не виявлять. Процеси найму на посади з доступом до інфраструктури можуть потребувати такої самої ретельності, як і графіки оновлення програмного забезпечення.

Практичні висновки

  • Переконайтеся, що пристрої Cisco Secure Firewall і VPN у вашій організації мають актуальні патчі, та перегляньте останні бюлетені, що стосуються продуктів ASA, FTD і FMC.
  • У своїх оцінках ризиків ставтеся до VPN-шлюзів як до цілей високої цінності, а не як до звичайної інфраструктури.
  • Своєчасно застосовуйте останні оновлення безпеки Microsoft, особливо ті, що стосуються вразливостей рівня ядра.
  • Додайте додаткові кроки перевірки до процесів найму на ІТ-посади та посади системних адміністраторів із привілейованим доступом до мережі.
  • Переконайтеся, що лікарні та інші організації критичних послуг мають перевірені плани резервного копіювання та відновлення, з огляду на постійні атаки угруповань програм-вимагачів.

Наскрізна лінія всіх цих історій полягає в тому, що VPN-шлюзи Cisco, які експлуатуються в реальних атаках, — лише один елемент ширших зусиль зловмисників, спрямованих на експлуатацію довіри, закладеної в корпоративні системи та процеси найму. Залишатися в курсі бюлетенів вендорів і ставитися до інфраструктури віддаленого доступу як до постійного об’єкта перевірки, а не як до рішення «встановив і забув», — це найпрактичніший захист, доступний зараз.