CISA потребовало закрыть три эксплуатируемые уязвимости Cisco, Citrix и Fortinet до 12 сентября
Американское агентство CISA внесло в каталог KEV уязвимости в Cisco Secure Firewall Management Center, Citrix NetScaler и продуктах Fortinet. Для федеральных гражданских ведомств США установлен срок установки исправлений — 12 сентября 2026 года.
Агентство по кибербезопасности и защите инфраструктуры США (CISA) добавило в каталог Known Exploited Vulnerabilities (KEV) три уязвимости, которые уже используются в атаках. Они затрагивают Cisco Secure Firewall Management Center (FMC), Citrix NetScaler ADC и NetScaler Gateway, а также Fortinet FortiOS, FortiSwitchManager и FortiSASE.
Федеральные гражданские ведомства исполнительной власти США должны установить исправления до 12 сентября 2026 года. Включение в KEV означает, что CISA располагает данными об эксплуатации уязвимости; для затронутых федеральных систем устранение таких проблем становится обязательным в установленный срок.
Наиболее критичная из трёх — CVE-2026-20079 в веб-интерфейсе Cisco Secure Firewall Management Center с оценкой CVSS 10,0. Уязвимость позволяет удалённому неаутентифицированному атакующему обойти проверку подлинности, выполнить скрипты на устройстве и получить root-доступ к базовой операционной системе. Cisco сообщила, что узнала об атаках с использованием этой проблемы в августе 2026 года, не раскрывая дополнительных подробностей.
Вторая проблема, CVE-2026-19490 с оценкой CVSS 9,3, связана с обходом аутентификации в Citrix NetScaler ADC и NetScaler Gateway. Она проявляется, когда устройство настроено как виртуальный сервер AAA либо как шлюз для SSL VPN, ICA Proxy, CVPN или RDP Proxy. По данным Previdian, с 3 сентября его ловушки зафиксировали 56 попыток эксплуатации, из них 36 — 8 сентября.
Третья уязвимость — CVE-2025-25249 с оценкой CVSS 7,3 — представляет собой переполнение буфера в куче в FortiOS, FortiSwitchManager и FortiSASE. Специально сформированные запросы могут позволить удалённому неаутентифицированному злоумышленнику выполнить произвольный код или команды.
Исследователи SOCRadar ранее связывали эту проблему с кампанией по распространению Node.js-трояна удалённого доступа PivotC2. По их оценке, целью кампании были более 3 тыс. IP-адресов, а PivotC2 был установлен на 178 устройствах; большая часть скомпрометированных систем находилась в США. Самые ранние свидетельства эксплуатации CVE-2025-25249 датируются июлем 2026 года.