باج‌افزار Interlock از آسیب‌پذیری روز صفر Cisco FMC با شناسه CVE-2026-20131 برای دسترسی روت سوءاستفاده می‌کند

گروه باج‌افزاری (ransomware) اینترلاک (Interlock) با بهره‌برداری از یک آسیب‌پذیری بحرانی در نرم‌افزار مدیریت فایروال سیسکو (Cisco Secure Firewall Management Center) به نام CVE-2026-20131 با امتیاز CVSS برابر ۱۰ از ۱۰، یک کمپین حمله فعال را به راه انداخته است. این آسیب‌پذیری که ناشی از عدم امنیت در بازسازی داده‌های جاوا (insecure deserialization) است، به مهاجمان اجازه می‌دهد بدون احراز هویت، کد دلخواه را با سطح دسترسی ریشه (root) اجرا کنند. بر اساس هشدار اطلاعات تهدید آمازون (Amazon Threat Intelligence)، این آسیب‌پذیری از ۲۶ ژانویه ۲۰۲۶ به‌عنوان یک آسیب‌پذیری روز-صفر (zero-day) مورد بهره‌برداری قرار گرفته؛ یعنی بیش از یک ماه پیش از آنکه سیسکو آن را به‌صورت عمومی افشا کند. مدیر ارشد امنیت اطلاعات آمازون، CJ Moses، اعلام کرد که این کشف از طریق شبکه حسگر جهانی MadPot و به لطف یک خطای عملیاتی از سوی مهاجمان صورت گرفت که ابزارهای جرایم سایبری خود را از طریق یک سرور با پیکربندی نادرست در معرض دید قرار داده بودند.

زنجیره حمله شامل ارسال درخواست‌های HTTP دستکاری‌شده، اجرای کد مخرب، و استقرار مجموعه‌ای از ابزارهای پیشرفته است؛ از جمله تروجان‌های دسترسی از راه دور (remote access trojans) سفارشی نوشته‌شده به زبان‌های جاوا و جاوااسکریپت، اسکریپت‌های شناسایی محیط ویندوز، پوسته وب مقیم در حافظه (memory-resident web shell)، و ابزارهایی نظیر ConnectWise ScreenConnect برای دسترسی پایدار و Certify برای بهره‌برداری از خدمات گواهی اکتیو دایرکتوری (Active Directory Certificate Services). سیسکو اکنون بهره‌برداری فعال از این آسیب‌پذیری را تأیید کرده و به کاربران توصیه می‌کند هرچه سریع‌تر وصله‌های امنیتی را اعمال کنند. کارشناسان تأکید می‌کنند که در برابر حملات روز-صفر، رویکرد دفاع چندلایه (defense-in-depth) ضروری است، چرا که حتی سریع‌ترین برنامه‌های وصله‌گذاری نیز نمی‌توانند در بازه زمانی میان کشف و انتشار وصله، سازمان‌ها را کاملاً محافظت کنند.