Positive Technologies помогла закрыть уязвимости в межсетевых экранах и точках доступа Zyxel
Компания Zyxel, производитель сетевых устройств, поблагодарила эксперта Positive Technologies Никиту Абрамова за выявление шести уязвимостей в оборудовании. Пять из этих ошибок — высокого уровня опасности. Вендор был уведомлен об угрозе в рамках политики ответственного разглашения и выпустил обновления для устранения недостатков.
Согласно мониторингу, проведенному специалистами Positive Technologies, ошибкам могли быть подвержены около 23 тысяч устройств1. В Италии обнаружилось почти 8 тысяч таких систем, во Франции — 4,5 тысячи, в Чехии и в США — более 2 тысяч. Россия в этом списке занимает восьмое место с более чем 680 устройствами.
«Наибольшую опасность представляют уязвимости CVE-2023-22913 и CVE-2023-22916, получившие оценку 8,1 балла по шкале CVSS v3.1, — рассказал специалист отдела анализа приложений Positive Technologies Никита Абрамов. — Эти две ошибкипозволяли атакующему удаленно внедрять произвольные системные команды в код приложения и выполнять их на межсетевом экране. Злоумышленник мог вывести из строя оборудование, вызвав отказ в обслуживании, отключить некоторые элементы защиты или изменить часть конфигурационных данных. Любое из описанных действий является недопустимым событием в отношении штатного режима работы межсетевого экрана. Альтернативным сценарием эксплуатации незащищенных устройств является развертывание ботнета. Такие сети широко используются хакерами».
Две другие уязвимости, CVE-2023-22915 и CVE-2023-22917, получили оценку 7,5 балла. Эксплуатация первой могла привести к отказу в обслуживании межсетевого экрана, вторая же позволяла загрузить вредоносный файл и получить контроль над устройством. Немного ниже оценили опасность CVE-2023-22914 (7,2 балла). Аутентифицированный злоумышленник с правами администратора мог выполнять неавторизованные команды операционной системы в одной из папок для хранения временных файлов межсетевого экрана.
В свою очередь, уязвимость CVE-2023-22918 (6,5 балла) была опасна и для межсетевых экранов, и для точек доступа Zyxel. Она потенциально позволяла злоумышленнику, прошедшему проверку подлинности, получить зашифрованную информацию администратора на устройстве. Используя эти сведения и общедоступные скрипты, можно расшифровывать данные, в том числе пользовательские пароли.
Для устранения уязвимостей необходимо руководствоваться рекомендациями производителя.
В начале 2023 года компания Zyxel уже устранила четыре недостатка, обнаруженных Никитой Абрамовым в нескольких сериях Wi-Fi-роутеров и других устройств.
1 Оценивалось число видимых в глобальной сети устройств с уязвимыми прошивками, однако часть функций, эксплуатируемых уязвимостями, может быть отключена по умолчанию.
Теги:
похожие материалы
Обзор кибератак и уязвимостей за прошедшую неделю 9 - 13 февраля 2026
Редакция Cyber Media собрала для вас главные события уходящей недели: среди нашумевших инфоповодов - снижение числа IT-преступлений в России, крупная ошибка в системе криптовалютной биржи Bithumb, приведшая с колоссальным финансовым последствиям, уязвимость в libpng с 30-летней историей, растущие темпы кибератак на инженеров, и неутешительные прогнозы Microsoft про быструю автоматизацию рутинной работы ИИ.
Дьявольская мышь за $44: как взломать компьютер за несколько секунд
Исследователи продемонстрировали устройство EvilMouse - внешне обычную USB-мышь, которая при подключении к компьютеру автоматически выполняет вредоносные команды и может открыть злоумышленнику доступ к системе с повышенными правами.
Фальшивые AI-ассистенты в Chrome заразили 260 тыс. браузеров через скрытые iframes
Исследователи из платформы безопасности LayerX обнаружили крупномасштабную кампанию вредоносных расширений для Google Chrome, замаскированных под «помощников на базе искусственного интеллекта».
OpenAI vs DeepSeek: американский гигант обвинил китайцев в копировании ИИ через «дистилляцию» моделей
Компания OpenAI направила служебную записку в Специальный комитет Палаты представителей США по стратегической конкуренции с Китаем, в которой обвинила китайский стартап DeepSeek в использовании «методов дистилляции» для обучения собственных моделей на основе выходных данных американских ИИ-систем.
Хактивисты Head Mare используют новый вредонос PhantomHeart и активнее автоматизируют кибератаки
В конце 2025 года аналитики Cyber Threat Intelligence из «Лаборатории Касперского» обнаружили новую волну целевых кибератак хактивистов Head Mare — на российские государственные структуры, строительные и промышленные предприятия.
Фейковые сайты «Европола» и «Интерпола» атакуют россиян
Компания CICADA8 сообщила о резком росте числа фишинговых ресурсов, которые выдают себя за официальные сайты Европола и Интерпола.
Пенсионеры бьют тревогу: мошенники переключились на стационарные телефоны
Злоумышленники начали активно использовать стационарные телефоны для обмана россиян.
«Белые воротнички» под ударом: директор по ИИ Microsoft прогнозирует автоматизацию большинства рабочих задач
В течение 1-1,5 года большинство рабочих задач «белых воротничков» будут полностью автоматизированы с помощью искусственного интеллекта, заявил генеральный директор Microsoft по ИИ Мустафа Сулейман.
«Газинформсервис» выступит партнёром Уральского форума «Кибербезопасность в финансах»
18–20 февраля в Екатеринбурге пройдёт Уральский форум «Кибербезопасность в финансах», компания «Газинформсервис» — партнёр мероприятия — представит свои решения в сфере ИБ и ИТ, а также поучаствует в одной из сессий.
Есть куда расти: эксперты оценили уровень зрелости ИБ российских компаний
Эксперты бизнес-направления AKTIV CONSULTING Компании «Актив» представили первый аналитический отчет «Оценка уровня зрелости информационной безопасности».