В начале 2026 года Mandiant обнаружила злоумышленника, нацеленного на SD-WAN инфраструктуру поставщика услуг. Злоумышленник получил первоначальный доступ через несанкционированные пиринговые соединения, манипулируя паролями учетных записей по умолчанию. Затем они использовали уязвимость нулевого дня, CVE-2026-20245, в Cisco Catalyst SD-WAN. Это позволило им повысить привилегии с административной учетной записи до уровня root. Уязвимость использовала недостаток в функции загрузки файлов устройства, которая не имела должной фильтрации вредоносных данных. Злоумышленник также использовал антикриминалистические методы, выборочно удаляя и восстанавливая файлы конфигурации системы. Они даже выполнили скрипт проверки, чтобы убедиться, что все следы их деятельности были удалены. Эта кампания подчеркивает растущую тенденцию компрометации сетевых устройств для обхода традиционных периметров безопасности. Оркестраторы SD-WAN становятся основными целями из-за их централизованного управления и ограниченной телеметрии. Организациям настоятельно рекомендуется немедленно установить исправление для Cisco Catalyst SD-WAN Manager и следовать рекомендациям по усилению безопасности для повышения защиты.