Цього тижня, основну увагу приділено вразливості фаєрволів Cisco, яку активно експлуатують зловмисники та яка впливає на з’єднання VPN для віддаленого доступу. Рішення OPENVAS SCAN версії Enterprise від Greenbone уже містить перевірку цієї вразливості, а також нову перевірку для Sophos UTM і розширений набір перевірок PHP2Shell для конкретних продуктів. Ці оновлення допомагають командам безпеки виявляти вразливі активи серед програмного забезпечення, мережевих пристроїв і пакетів операційних систем. Однак у деяких випадках самої версії програмного забезпечення недостатньо, щоб визначити, чи є система вразливою. Це залежить від конфігурації відповідного продукту, тому виявлення потенційної вразливості під час сканування є лише початком перевірки, а не її завершенням.
Експлуатація вразливості Cisco SSL VPN підвищує її пріоритетність
CVE-2026-76418 дає змогу зловмиснику без автентифікації спричинити перезавантаження вразливого пристрою Cisco ASA або FTD через сервіс SSL VPN для віддаленого доступу. Cisco повідомляє про активну експлуатацію вразливості та оцінює її критичність у 8,6 бала за CVSS 3.1. 29 жовтня CISA додало вразливість до каталогу KEV. CERT-FR також підтверджує, що вразливість активно експлуатується.
Того ж дня Greenbone додала окремі перевірки для ASA (на основі віддаленого банера) та FTD (на рівні пакетів програмного забезпечення).
Для експлуатації вразливості необхідні доступний сервіс SSL VPN та налаштована вторинна автентифікація для відповідної групи тунелів (tunnel group). Cisco звертає увагу на дві важливі деталі, які легко залишити поза увагою: стандартна група тунелів DefaultWEBVPNGroup також підпадає під ці умови, а для доступу до вразливого коду зловмиснику не потрібно успішно проходити автентифікацію у VPN. Командам безпеки, які використовують таку конфігурацію, слід перевірити виправлені версії програмного забезпечення Cisco та визначити пріоритетність усунення вразливості на відповідних пристроях. Обидві перевірки OPENVAS SCAN повідомляють про вразливі версії програмного забезпечення. Якщо SSL VPN та вторинну автентифікацію не налаштовано відповідним чином, перевірки рекомендують створити виняток (override) для результатів сканувань.
Перші версії з виправленням вразливості:
- ASA: 9.16.4.104, 9.18.4.96, 9.20.4.50, 9.22.3.200, 9.23.1.48, а також 9.24.1.27 або 9.24.10.1.
- FTD: 7.0.11, 7.2.13, 7.4.9, 7.6.7, 7.7.14, 10.0.3 та 10.1.1.
За інформацією Cisco, обхідного рішення для цієї вразливості немає. Вимкнення вторинної автентифікації для уражених груп тунелів є тимчасовим заходом зменшення ризику, а Cisco наполегливо рекомендує перейти на версію з виправленням.
Sophos UTM потребує перевірки встановлення патча вручну
Нова перевірка OPENVAS SCAN на основі віддаленого банера, додана 30 жовтня, також охоплює CVE-2026-118633 у Sophos UTM. Sophos описує критичну вразливість, яка може призвести до виконання команд із правами root без автентифікації, якщо використовується поштовий проксі з увімкненим скануванням, а зловмиснику вдається успішно використати стан гонитви (race condition). Причиною вразливості є path traversal, що дозволяє обходити обмеження доступу до файлових шляхів. Вразливість стосується всіх версій UTM.
Підтримку UTM припинено, і, за інформацією Sophos, патч потрібно встановлювати вручну. Відповідні інструкції містяться у статті бази знань KBA-000049692. Інший варіант – перехід на підтримувану версію Sophos Firewall. Перевірка виявляє розгортання, які потребують аналізу. Адміністраторам необхідно окремо підтвердити налаштування поштового проксі та факт встановлення патча. Після встановлення хотфіксів рекомендується створити виняток для отриманого результату.
З минулого тижня охоплення PHP2Shell перевірками стало ще ширшим
Greenbone уже опублікувала детальні рекомендації щодо виявлення PHP2Shell та сканування на наявність відповідних вразливостей. Відтоді, 26 жовтня, CISA додало обидві вразливості, CVE-2026-109618 та CVE-2026-109619, до каталогу KEV. Нещодавні оновлення версії розширили набір перевірок обох вразливостей для конкретних продуктів, охопивши додаткові рішення для IT-інфраструктури, зокрема:
- Juniper Junos OS (JSA112681): Junos OS та Junos OS на пристроях серії SRX – обидві віддалені перевірки за банером служби.
- NetApp ONTAP 9 (NTAP-20261021-0021): перевірка на основі віддаленого банера.
- Aruba ClearPass Policy Manager (HPESBNW05171): перевірка на рівні пакетів.
- Check Point Gaia (sk1000302): перевірка на основі віддаленого банера.
Для Junos OS на пристроях, що не належать до серії SRX, станом на 27 жовтня виправлення ще не було доступне. Водночас на пристроях серії SRX починаючи з Junos OS 25.2R1 PHP більше не використовується. Командам безпеки слід продовжувати перевіряти як продукти виробників, до складу яких входить PHP, так і окремі інсталяції PHP.
Від результатів сканування до практичних дій
Слід підтримувати OPENVAS ENTERPRISE FEED в актуальному стані, сканувати відповідні активи та використовувати результати разом із рекомендаціями виробників для планування оновлень. Для вразливостей, розглянутих цього тижня, рекомендовано:
- Запустити оновлення бази даних вручну, щоб одразу отримати нові перевірки безпеки.
- Просканувати активи, на яких використовуються Cisco ASA або FTD, Sophos UTM і PHP.
- Для кожної виявленої вразливості Cisco та Sophos перевірити відповідність конфігурації умовам експлуатації, описаним вище, перш ніж визначати пріоритетність її усунення. Якщо необхідні умови відсутні або хотфікси вже встановлено, створити виняток для результату сканування.
Ці перевірки виявляють потенційно вразливі версії програмного забезпечення або пакети. Однак виявлення вразливості під час сканування не означає, що відповідний актив уже зазнав її експлуатації.
