На этой неделе основное внимание уделено уязвимости фаерволов Cisco, которую активно эксплуатируют злоумышленники и которая влияет на VPN-соединения для удаленного доступа. Решение OPENVAS SCAN версии Enterprise от Greenbone уже содержит проверку этой уязвимости, а также новую проверку для Sophos UTM и расширенный набор проверок PHP2Shell для конкретных продуктов. Эти обновления помогают командам безопасности выявлять уязвимые активы среди программного обеспечения, сетевых устройств и пакетов операционных систем. Однако в некоторых случаях самой версии программного обеспечения недостаточно, чтобы определить, является ли система уязвимой. Это зависит от конфигурации соответствующего продукта, поэтому выявление потенциальной уязвимости во время сканирования является лишь началом проверки, а не ее завершением.
Эксплуатация уязвимости Cisco SSL VPN повышает ее приоритетность
CVE-2026-76418 позволяет злоумышленнику без аутентификации вызвать перезагрузку уязвимого устройства Cisco ASA или FTD через сервис SSL VPN для удаленного доступа. Cisco сообщает об активной эксплуатации уязвимости и оценивает ее критичность в 8,6 балла по CVSS 3.1. 29 октября CISA добавило уязвимость в каталог KEV. CERT-FR также подтверждает, что уязвимость активно эксплуатируется.
В тот же день Greenbone добавила отдельные проверки для ASA (на основе удаленного баннера) и FTD (на уровне пакетов программного обеспечения).
Для эксплуатации уязвимости необходимы доступный сервис SSL VPN и настроенная вторичная аутентификация для соответствующей группы туннелей (tunnel group). Cisco обращает внимание на две важные детали, которые легко упустить из виду: стандартная группа туннелей DefaultWEBVPNGroup также подпадает под эти условия, а для доступа к уязвимому коду злоумышленнику не нужно успешно проходить аутентификацию в VPN. Командам безопасности, использующим такую конфигурацию, следует проверить исправленные версии программного обеспечения Cisco и определить приоритетность устранения уязвимости на соответствующих устройствах. Обе проверки OPENVAS SCAN сообщают об уязвимых версиях программного обеспечения. Если SSL VPN и вторичная аутентификация не настроены соответствующим образом, проверки рекомендуют создать исключение (override) для результатов сканирований.
Первые версии с исправлением уязвимости:
- ASA: 9.16.4.104, 9.18.4.96, 9.20.4.50, 9.22.3.200, 9.23.1.48, а также 9.24.1.27 или 9.24.10.1.
- FTD: 7.0.11, 7.2.13, 7.4.9, 7.6.7, 7.7.14, 10.0.3 и 10.1.1.
По информации Cisco, обходного решения для этой уязвимости нет. Отключение вторичной аутентификации для затронутых групп туннелей является временной мерой снижения риска, а Cisco настоятельно рекомендует перейти на версию с исправлением.
Sophos UTM требует проверки установки патча вручную
Новая проверка OPENVAS SCAN на основе удаленного баннера, добавленная 30 октября, также охватывает CVE-2026-118633 в Sophos UTM. Sophos описывает критическую уязвимость, которая может привести к выполнению команд с правами root без аутентификации, если используется почтовый прокси с включенным сканированием, а злоумышленнику удается успешно использовать состояние гонки (race condition). Причиной уязвимости является path traversal, что позволяет обходить ограничения доступа к файловым путям. Уязвимость затрагивает все версии UTM.
Поддержка UTM прекращена, и, по информации Sophos, патч нужно устанавливать вручную. Соответствующие инструкции содержатся в статье базы знаний KBA-000049692. Другой вариант – переход на поддерживаемую версию Sophos Firewall. Проверка выявляет развертывания, требующие анализа. Администраторам необходимо отдельно подтвердить настройки почтового прокси и факт установки патча. После установки хотфиксов рекомендуется создать исключение для полученного результата.
С прошлой недели охват PHP2Shell проверками стал еще шире
Greenbone уже опубликовала детальные рекомендации по обнаружению PHP2Shell и сканированию на наличие соответствующих уязвимостей. С тех пор, 26 октября, CISA добавило обе уязвимости, CVE-2026-109618 и CVE-2026-109619, в каталог KEV. Недавние обновления версии расширили набор проверок обеих уязвимостей для конкретных продуктов, охватив дополнительные решения для IT-инфраструктуры, в частности:
- Juniper Junos OS (JSA112681): Junos OS и Junos OS на устройствах серии SRX – обе удаленные проверки по баннеру службы.
- NetApp ONTAP 9 (NTAP-20261021-0021): проверка на основе удаленного баннера.
- Aruba ClearPass Policy Manager (HPESBNW05171): проверка на уровне пакетов.
- Check Point Gaia (sk1000302): проверка на основе удаленного баннера.
Для Junos OS на устройствах, не относящихся к серии SRX, по состоянию на 27 октября исправление еще не было доступно. В то же время на устройствах серии SRX начиная с Junos OS 25.2R1 PHP больше не используется. Командам безопасности следует продолжать проверять как продукты производителей, в состав которых входит PHP, так и отдельные инсталляции PHP.
От результатов сканирования к практическим действиям
Следует поддерживать OPENVAS ENTERPRISE FEED в актуальном состоянии, сканировать соответствующие активы и использовать результаты вместе с рекомендациями производителей для планирования обновлений. Для уязвимостей, рассмотренных на этой неделе, рекомендовано:
- Запустить обновление базы данных вручную, чтобы сразу получить новые проверки безопасности.
- Просканировать активы, на которых используются Cisco ASA или FTD, Sophos UTM и PHP.
- Для каждой обнаруженной уязвимости Cisco и Sophos проверить соответствие конфигурации условиям эксплуатации, описанным выше, прежде чем определять приоритетность ее устранения. Если необходимые условия отсутствуют или хотфиксы уже установлены, создать исключение для результата сканирования.
Эти проверки выявляют потенциально уязвимые версии программного обеспечения или пакеты. Однако обнаружение уязвимости во время сканирования не означает, что соответствующий актив уже подвергся ее эксплуатации.
