هکرها از آسیب‌پذیری RCE سیتی‌ورکس برای نفوذ به سرورهای Microsoft IIS سوءاستفاده می‌کنند

شرکت نرم‌افزاری تریمبل (Trimble) هشدار داده که مهاجمان سایبری در حال سوءاستفاده از آسیب‌پذیری غیرسریال‌سازی (deserialization) در نرم‌افزار سیتی‌ورکس (Cityworks) هستند تا از راه دور دستورات را بر روی سرورهای IIS اجرا کرده و بیکن‌های کوبالت استرایک (Cobalt Strike beacons) را برای دسترسی اولیه به شبکه مستقر کنند. این آسیب‌پذیری با شناسه CVE-2025-0994 و امتیاز شدت بالای 8.6 در سیستم CVSS v4.0، به کاربران احراز هویت شده اجازه حملات اجرای کد از راه دور (RCE) علیه سرورهای مایکروسافت IIS مشتریان را می‌دهد.

آژانس امنیت سایبری و امنیت زیرساخت‌های آمریکا (CISA) مشاوره هماهنگی منتشر کرده و از مشتریان خواسته فوراً شبکه‌های خود را در برابر حملات ایمن کنند. این نقص بر نسخه‌های سیتی‌ورکس قبل از 15.8.9 و نسخه‌های همراه با Office Companion قبل از 23.10 تأثیر می‌گذارد که آخرین نسخه‌های بروزرسانی شده در 28 و 29 ژانویه 2025 منتشر شده‌اند. تریمبل اعلام کرده که برخی از استقرارهای محلی ممکن است دارای مجوزهای هویت IIS بیش از حد مجاز باشند و توصیه کرده این سیستم‌ها نباید با امتیازات مدیریتی محلی یا سطح دامنه اجرا شوند. شاخص‌های سازش (IOCs) منتشر شده نشان می‌دهد که مهاجمان ابزارهای متنوعی از جمله WinPutty و بیکن‌های کوبالت استرایک را برای دسترسی از راه دور مستقر کرده‌اند.