Нови сканирания за стар пропуск в Cisco IOS XE, какво да проверите

Атакуващи отново търсят мрежови устройства с пропуска CVE-2023-20198 в Cisco IOS XE. Ето как да проверите дали сте засегнати.

Какво се случи

На 5 ноември 2026 г. SANS ISC, център, който следи атаките в интернет, съобщи за нови сканирания срещу мрежово оборудване на Cisco. Анализаторът ги забелязал в данните от своя хонипот, тоест капан, който събира опитите за атака. По думите му сканиранията най-вероятно търсят пропуска CVE-2023-20198.

Този пропуск не е нов. Той е в уеб интерфейса за управление на Cisco IOS XE, софтуера на много рутери и суичове на Cisco. Cisco го обяви през октомври 2023 г. и тогава хиляди устройства по света бяха пробити. Пропускът позволява на човек отвън, без парола, да си създаде собствен администраторски акаунт на устройството. След това той има пълен контрол над него.

Защо това е важно сега? Сканиранията показват, че атакуващите продължават да търсят устройства, които никой не е обновил от 2023 г. Такива устройства има, особено в малки офиси, където рутерът е настроен веднъж и после е забравен.

Засяга ли ме

Засегнати са устройства с Cisco IOS XE, на които уеб интерфейсът за управление е включен и се вижда от интернет. Ако вашият офис или магазин има рутер или суич на Cisco, особено по-стар модел, който е настроен от външна фирма, проверете го. Ако използвате само рутера, който ви е дал интернет доставчикът, и той не е Cisco, този пропуск не ви засяга.

Рискът за малка фирма е голям. Пробит рутер дава на нападателя поглед върху целия трафик на офиса. Той може да пренасочва посетители към фалшиви страници, да прихваща данни или да спре интернета ви. Освен това пробитото устройство може да се използва за атаки срещу други, без да разберете.

Какво да направя сега

Разберете какво оборудване имате: попитайте човека или фирмата, която поддържа мрежата ви, дали имате устройства на Cisco с IOS XE.
Изключете уеб интерфейса към интернет: това е основната препоръка на Cisco. Управлението на устройството не трябва да е достъпно от интернет, а само от вътрешната мрежа или изобщо да е изключено.
Обновете софтуера: Cisco издаде поправени версии още през 2023 г. Ако устройството не е обновявано оттогава, обновяването е задължително.
Проверете за непознати акаунти: при пробив атакуващите създават свой администраторски акаунт. Нека вашият ИТ специалист провери списъка с потребители на устройството.
Пазете копие на настройките: запазвайте конфигурацията на рутера на сигурно място, за да можете бързо да го възстановите, ако се наложи.

Ако не знаете кой поддържа мрежата ви, това е първото, което трябва да разберете. Стар рутер, за който никой не отговаря, е една от най-лесните врати за атака.