Когда средство защиты само становится точкой входа

За последние дни сразу два показательных кейса.
Cisco закрыла критическую уязвимость CVE-2026-76504 в Catalyst SD-WAN Manager. Уязвимость позволяла удаленному неаутентифицированному атакующему обходить аутентификацию и получать административный доступ. Cisco подтвердила эксплуатацию в реальных атаках.

Почти одновременно Fortinet сообщила об активной эксплуатации CVE-2026-104286 в FortiMail. Через специально сформированные HTTP/HTTPS-запросы атакующий без аутентификации мог записывать произвольные файлы в систему. Уязвимость также получила оценку CVSS 9.8.

Сами по себе две критические CVE — уже не редкость.

Интереснее другое: в обоих случаях речь идет о системах, которым организация доверяет управление или защиту инфраструктуры.

А значит, возникает неприятный парадокс:

средство, которое должно снижать риск, само становится привилегированной точкой входа.

Для ИБ-команды это хороший повод проверить не только наличие патчей. Стоит посмотреть шире:

— какие management-интерфейсы доступны извне
— насколько изолирован management plane
— кто и как контролирует актуальность самих средств защиты
— есть ли отдельный процесс emergency patching для таких систем
— видит ли SOC подозрительную активность на ИБ-инфраструктуре
— что произойдет, если уже скомпрометировано именно защитное или управляющее устройство

Проблема здесь не в конкретном Cisco или Fortinet.

Любое средство защиты с высокими привилегиями автоматически становится особенно ценным объектом для атакующего.

Пожалуй, главный вывод здесь простой: защищать нужно не только бизнес-системы, но и те инструменты, на которые мы сами привыкли опираться. Потому что в момент инцидента особенно неприятно выяснить, что точкой входа стало именно то, что должно было эту точку закрывать.

#ПрактикаИБ #Уязвимости #ЭкспертизаАкстел