ماندیانت فاش کرد چگونه حملات روز-صفر به Cisco SD-WAN دسترسی روت به دست آوردند

شرکت امنیتی Mandiant جزئیات جدیدی از نحوه بهره‌برداری هکرها از آسیب‌پذیری روز صفر (zero-day) با شناسه CVE-2026-20245 در محصولات Cisco Catalyst SD-WAN منتشر کرد. این آسیب‌پذیری با شدت بالا، یک نقص تزریق دستور (command injection) در مدیریت‌کننده، کنترل‌کننده و اعتبارسنج SD-WAN سیسکو است که به مهاجمان احراز هویت‌شده اجازه می‌دهد دستورات دلخواه را با سطح دسترسی root اجرا کنند. بر اساس گزارش Mandiant، مهاجمان از اوایل مارس ۲۰۲۶ با ایجاد اتصالات همتا (peer connections) غیرمجاز به زیرساخت یک ارائه‌دهنده خدمات نفوذ کردند و پس از دسترسی اولیه، با بارگذاری یک فایل CSV مخرب با نام «evil_tenant.csv» از طریق رابط خط فرمان (CLI)، آسیب‌پذیری مذکور را برای ارتقای سطح دسترسی (privilege escalation) به کار گرفتند و حساب کاربری جدیدی با نام «troot» و دسترسی root ایجاد کردند.

مهاجمان برای فرار از شناسایی، به شدت از تاکتیک‌های ضدجرم‌شناسی دیجیتال (anti-forensic) بهره بردند؛ از جمله تهیه نسخه پشتیبان از فایل‌های پیکربندی سیستم پیش از دستکاری، حذف فایل CSV مخرب، پاک‌سازی فایل‌های موقت و بازگرداندن رمز عبور حساب مدیریتی به حالت اولیه پس از اتمام عملیات. Mandiant اعلام کرد که این آسیب‌پذیری را خود به سیسکو گزارش داده و شاخص‌های نفوذ (indicators of compromise)، آدرس‌های IP مهاجمان و راهنمایی‌های لازم را برای کمک به سازمان‌ها در تشخیص احتمال نفوذ منتشر کرده است. سیسکو پیش‌تر به‌روزرسانی‌های امنیتی برای رفع این آسیب‌پذیری ارائه داده و از مشتریان خواسته است هرچه سریع‌تر نرم‌افزارهای خود را ارتقا دهند.