Uued kriitilised haavatavused Fortineti, Cisco ja Palo Alto Networksi toetes nõuavad kiiret tegutsemist. Analüüs riskidest ja juhised Balti ettevõtetele.

Küberturvalisuse maastik on taas kord muutunud pingeks, kui mitme juhtiva võrguturvalisuse tehnoloogiapartneri toetes on avastatud tõsised haavatavused. Teie ettevõtte perimeteri kaitseks mõeldud tulemüürid ja haldussüsteemid, mis peaksid olema esimesed kaitsejoonid, võivad konkreetsetes konfiguratsioonides muutuda rünnaku sissepojouks. Teataud lekked puudutavad ettevõtteid, kes kasutavad laia valikut Fortineti, Cisco ja Palo Alto Networksi lahendusi.

Kriitilised lekked Fortineti ökosüsteemis

Fortineti puhul on olukord eriti murettekitav, kuna haavatavused ei piirdu vaid ühe tootege, vaid ulatuvad FortiOS-ilt FortiSIEM-ini, hõlmates ka FortiSASE, FortiFone ja FortiSwitchManageri. Kõige murettekitavamaid on kaks kriitilise tasimega ja üks kõrge tasimega haavatavust, mis võimaldavad kaugtasemel koodi täitmist (Remote Code Execution) ning info avalikustamist.

Eriti tähelepanuväärne on CVE-2025-25249, mille kohta on teatatud aktiivset kasutamist võrgudes rünnakute lälgutamiseks. Samuti on tuvastatud PoC (Proof of Concept) haavatavuse CVE-2025-64155 jaoks, mis tähendab, et rünnaku meetodid on potentsiaalselt avalikud ja kättesaadavad kurikuupidele. Sest riskid on kõrged, on Fortineti toete kasutajatel kiiresti kontrollida oma versioone, eriti kui kasutatakse FortiOS-i versioone enne 7.6.4, 7.4.9, 7.2.12, 7.0.18 või 6.4.17.

Cisco Secure Firewall ja root-õiguste risk

Samal ajal on Cisco välja lasknud turvauuendused, mis parandavad mitmeid haavatavusi oma Secure Firewalli tootesarjas. Kokku on tuvastatud kaks kriitilist ja viisteist kõrge tasimega haavatavust. Kõige tõsisemad on CVE-2026-20079 ja CVE-2026-20131, mille CVSS-skoor on maksimaalne 10.

Need haavatavused puudutavad Cisco Secure Firewall Management Centeri (FMC) veebiliidest. Rünnaja, kellel puuduvad autentimisandmed, võib HTTP-päringute abil või ebakorrektse Java-objekti kaudu täita 임arbitraarsed käsud ja skripte. Tulemus on katastrofaalne: rünnaja saab saavutada root-õigused süsteemis, mis annab täieliku kontrolli võrguturvalisuse halduskeskuse üle. See võimaldab mitte ainult andmete varastamist, vaid ka kogu võrgupärssi konfigureerimise muutmist rünnaja kasuks.

Palo Alto Networks ja teenuse kättesaadavuse ohus

Ka Palo Alto Networksi PAN-OS, mida kasutatakse uue põlyvuse tulemüürides ja turvalisuse keskhalduse lahendustes, ei ole olnud veatustest vaba. Avastatud kõrge tasimega haavatavus CVE-2026-0310 tuleneb sisendiparametrite valideerimise veast. See lekke on ohtlik, kuna võimaldab autentimata kauglürikule pääseu saada veebihaldusliidestesse või dataplane liidestesse.

Sõltuvalt seadme tüübist on riskid erinevad. VM-Series tulemüüride puhul võib rünnak kompromitteerida teenuse kättesaadavuse, põhjustades Denial of Service (DoS) rünnaku. PA-sarja süsteemide puhul aga võib rünnaja täita 임arbitraarset koodi kõrgete õigustega. PAN-OS uuendused on kriitilised kõigile versioonidele alates 10.2.x kuni 12.2.x, kus ei ole veel paigaldatud viimaseid turvaparandusi.

Kuidas reageerida ja süsteeme kaitsta

Küberrünnakute tõenäosuse vähendamiseks on ainus tõhus meetod tarkvara viimase versioonini uuendamine. Kuna tegemist on infrastruktuuri kriitiliste komponentidega, on soovitatav järgida järgmist strateegiat:

Täielik sõltuvus ühe vendorist loob ühepunktilise nurga. Isegi kõige turvalisemad tulemüürid vajavad pidevat jälgimist ja kiiret patch-managementi, kuna nullpäevahavatavused on vältimatu osa tänapäeva IT-arhitektuurist.

Esimeseks sammuks peaks olema inventariseerimine: tuvastage kõik võrgus olevad seadmed, mis kuuluvad Fortineti, Cisco või Palo Alto Networksi tooteperedele. Seejärel võrrelge jooksvaid versioone tootjate avaldatud turvabülletenidega. Kui kasutate haldussüsteeme, nagu Cisco FMC, veenduge, et haldusliidestele on piiratud pääs, kasutades VPN-i või IP-filtreerimist, et vähendada autentimata rünnakute riski.

Tugitegevused ja open source alternatiivid

Turvalisuse tagamine ei piirdu vaid tulemüüridega. Samal ajal on Rapid7 teatanud turvauuendustest Velociraptori platvormile. Tegemist on avatud lähtekoodiga tööriistaga, mida kasutatakse digitaalse forensika ja insidentidele reageerimise (DFIR) eesmärkis. See rõhutab seda, et haavatavused esinevad nii kommertsilistes kui ka open source lahendustes.

Ettevõttele tähendab see, et turvakeht ringi ei sulge tarkvara ostmisega, vaid see nõuab pidevat seiret ja vastutuse võtmist uuenduste üle. Kui teie IT-meeskond kasutab Velociraptorit süsteemide tervise ja turvalisuse jälgimiseks, on oluline kontrollida ka selle versiooni ajakohasust, et vältida olukorda, kus turvavahend ise muutub haavatavaks.

Mida see tähendab Eesti ja Balti ettevõtetele

Eesti ja Balti riikide digitaalne ökosüsteem on üks maailma avatumaid ja digitaliseeritumaid, mis teeb meid konkurentsivõjeliseks, kuid samas ka küberrünnakute jaoks atraktiivseks siheks. e-Estonia mudel tugineb usalduslikkusele ja terviklikule digitaalsele infrastruktuurile, kus võrguturvalisuse seadmete rike võib avaldada kaskadefekti kõigile ühendatud teenustele.

Balti riikide ettevõtjad, kes on kiiresti liigutunud pilvelahenduste ja hübriidvõrkude poole, kasutavad tihti just Fortineti ja Cisco lahendusi oma perimeteri kaitseks. Kuna meil on tugev side riiklike küberkaitseorganitega, on oluline, et ettevõtted ei tugineks ainult automaatsetele uuendustele, vaid rakendaksid aktiivset haavatavuste haldamist. AI Acti ja tulevaste Euroopa küberturvalisuse regulatsioonide valguses muutub tarkvara turvalisuse tagamine mitte ainult tehniliseks vajaduseks, vaid ka juriidiliseks kohustuseks.

Kohalikule ettevõtmele tähendab see, et IT-eelarves peab olema reserveeritud aeg ja ressursid just patch-managementiks. Balti riikide väike suurus võimaldab meil olla agiilsed, kuid see agility peab väljenduma kires reageerimises kriitilistele teatele. Kui teie ettevõte on osa kriitilise infrastruktuuri ahelast, on nende kolme tootja uuenduste teostamine järgmise 48 tunni jooksul prioriteet number üks.

Korduma kippuvad küsimused

---

Allikad: Acn (7) ·