CISA фиксирует атаки на коммутаторы Zyxel и агент Veeam для Windows

Американское агентство по кибербезопасности и защите инфраструктуры (CISA) в понедельник внесло уже исправленную уязвимость коммутаторов Zyxel серии GS1900 в свой каталог известных эксплуатируемых уязвимостей (KEV), сославшись на признаки активных атак.

Брешь, получившая идентификатор CVE-2026-7273 (оценка CVSS — 8.8), представляет собой переполнение буфера в стеке, которое может привести к выполнению произвольных команд операционной системы. По данным Zyxel, изъян находится в CGI-программе прошивки коммутаторов: неаутентифицированный злоумышленник из локальной сети может воспользоваться специально сформированным HTTP-запросом и потенциально выполнить команды ОС. Соответствующее уведомление компания опубликовала ещё в июне 2026 года.

Исправления выпущены для целого ряда моделей линейки — от GS1900-8 до GS1900-48HPv2. Уязвимость обнаружили и сообщили о ней Lei Gu, Jun Cao, Zhiqing Rui, Jingzheng Wu и Tianyue Luo из ISCAS.

CISA не раскрыла, кто стоит за атаками, когда они начались, сколько организаций стали целью и что именно делали злоумышленники после проникновения. Сама Zyxel на момент публикации ещё не обновила своё уведомление, чтобы подтвердить факт активной эксплуатации. Федеральным гражданским ведомствам предписано установить обновления до 24 сентября 2026 года.

Атаки на Veeam Agent для Windows

Одновременно компания Arctic Wolf предупредила об активной эксплуатации CVE-2026-32996 (CVSS — 7.3) — уязвимости локального повышения привилегий в Veeam Agent для Microsoft Windows, позволяющей злоумышленнику с локальным доступом получить контроль над конечной точкой на уровне SYSTEM.

Проблема кроется в том, как служба Veeam Endpoint Backup обрабатывает привилегированные клиентские сессии через локальный именованный канал gRPC. Служба кэширует привилегированного администратора по управляемому клиентом идентификатору сессии (UID), который не привязан ни к запрашивающему пользователю, ни к соединению.

Поскольку такие UID записываются в журнальный файл, доступный для чтения обычным пользователям, атакующий может добыть действующий UID и с его помощью выполнять команды от имени SYSTEM. Опубликованный на GitHub проверочный эксплойт демонстрирует это, запуская whoami и записывая вывод в файл.

Источник: The Hacker News