Co znajdziesz w tym artykule?
Wprowadzenie do problemu / definicja
Bezpieczeństwo nowoczesnej infrastruktury IT coraz silniej zależy od odporności urządzeń brzegowych, platform sieciowych, firmware oraz komponentów sprzętowych działających poniżej warstwy systemu operacyjnego. To właśnie te elementy odpowiadają za dostęp zdalny, kierowanie ruchem, segmentację sieci, terminację połączeń oraz zarządzanie krytycznymi usługami.
Raport InfraTrust Pulse pokazuje, że tradycyjne podejście do priorytetyzacji poprawek, oparte głównie na wskaźniku CVSS, nie odzwierciedla już realnego ryzyka. W praktyce większe znaczenie mają dziś takie czynniki jak ekspozycja usługi do internetu, możliwość zdalnego wykorzystania podatności oraz brak wymogu uwierzytelnienia.
W skrócie
Pierwsza edycja InfraTrust Pulse analizuje 61 biuletynów bezpieczeństwa od 14 dostawców i wskazuje, że najwyższy priorytet powinny otrzymywać luki dotyczące urządzeń infrastrukturalnych dostępnych z sieci. Raport identyfikuje sześć krytycznych advisory oraz 26 podatności możliwych do zdalnego wykorzystania bez uwierzytelnienia.
- Najwyżej oceniono luki w urządzeniach edge i platformach zarządzania ruchem.
- Kluczowe znaczenie mają scenariusze pre-auth i internet-facing.
- Wśród istotnych dostawców wymieniono m.in. SonicWall, Fortinet, Dell, F5, Juniper i NVIDIA.
- Raport promuje model advisory-centric zamiast wyłącznie CVE-centric.
Kontekst / historia
W ostatnich latach routery, koncentratory VPN, load balancery, zapory sieciowe i kontrolery aplikacyjne stały się jednym z głównych celów atakujących. Wynika to z ich strategicznego położenia w architekturze przedsiębiorstwa: są często wystawione do internetu i jednocześnie zapewniają dostęp do kluczowych segmentów środowiska.
Przejęcie urządzenia brzegowego nie służy już wyłącznie uzyskaniu początkowego dostępu. W wielu kampaniach pozwala ono utrzymać trwałą obecność, podsłuchiwać ruch, omijać klasyczne rozwiązania ochronne oraz wykonywać dalsze ruchy boczne w sieci.
Na tym tle InfraTrust Pulse proponuje zmianę perspektywy. Zamiast koncentrować się wyłącznie na liczbie identyfikatorów CVE, raport analizuje biuletyny producentów jako jednostki operacyjne. To ważne, ponieważ pojedyncze advisory dla firmware lub platformy sieciowej może obejmować szeroki zestaw poprawek o istotnym wpływie na bezpieczeństwo.
Analiza techniczna
Najważniejszy wniosek z raportu jest jednoznaczny: pierwszeństwo powinny otrzymywać podatności zdalne, osiągalne przez sieć i niewymagające uwierzytelnienia, zwłaszcza jeśli dotyczą systemów dostępnych publicznie. Tego rodzaju luki tworzą najkrótszą drogę od wykrycia podatności do realnego incydentu.
Szczególną uwagę zwrócono na SonicWall SMA1000, gdzie odnotowano aktywne wykorzystanie dwóch luk jeszcze przed pełnym upublicznieniem szczegółów technicznych. To połączenie cech szczególnie niebezpiecznych: urządzenie brzegowe, scenariusz pre-auth oraz potwierdzone użycie w praktyce.
Raport wskazuje też na krytyczne luki command injection w Fortinet FortiSandbox. To przykład, że nawet wcześniej opublikowany biuletyn może nagle zyskać najwyższy priorytet, gdy pojawią się przesłanki aktywnego wykorzystania lub jego wpisania do katalogów obserwowanych podatności.
Wysoką wagę przypisano również rozwiązaniom Dell EMC Networking OS10 oraz SmartFabric Manager. Ich kompromitacja może oznaczać ingerencję w płaszczyznę zarządzania siecią, zmiany konfiguracji, manipulację segmentacją oraz zakłócenia komunikacji w środowiskach centrum danych.
Istotną kategorią są także podatności w F5 BIG-IP. Urządzenia tej klasy znajdują się na styku usług publicznych, uwierzytelniania, TLS i dystrybucji ruchu. Luka niewymagająca logowania może w takim miejscu prowadzić nie tylko do wykonania kodu, ale również do przechwytywania sesji, modyfikacji ruchu lub obchodzenia polityk bezpieczeństwa.
Raport omawia również podatności w Juniper Junos OS, które mogą powodować zdalnie osiągalne warunki denial-of-service. Nawet bez bezpośredniego wykonania kodu ich wpływ operacyjny może być bardzo wysoki, ponieważ naruszają dostępność usług, stabilność routingu oraz działanie płaszczyzny sterowania.
Na uwagę zasługuje także obszar NVIDIA BlueField i ConnectX. DPU oraz SmartNIC są coraz ważniejsze w środowiskach AI, serwerowych i data center. Ich kompromitacja może oddziaływać na ścieżkę danych, izolację zasobów i bezpieczeństwo architektur wysokiej wydajności.
Dodatkowym problemem pozostają opóźnienia w aktualizacjach firmware i sprzętu. Poprawki często muszą przejść przez wielu dostawców i integratorów, co wydłuża okno ekspozycji oraz utrudnia szybkie zamknięcie ryzyka.
Konsekwencje / ryzyko
Największe zagrożenie dotyczy organizacji posiadających publicznie dostępne urządzenia do zdalnego dostępu, zapory sieciowe, systemy ADC, platformy zarządzania siecią oraz appliance’y backupowe. W takich środowiskach skuteczne wykorzystanie podatności może mieć konsekwencje wykraczające poza pojedynczy system.
- uzyskanie początkowego dostępu do sieci przedsiębiorstwa,
- zdalne wykonanie kodu bez uwierzytelnienia,
- zakłócenie działania usług krytycznych,
- przejęcie płaszczyzny zarządzania infrastrukturą,
- ukrycie aktywności poza kontrolą klasycznych agentów bezpieczeństwa,
- dalsze przemieszczanie się w sieci i eskalacja uprawnień.
Raport podkreśla, że nawet luki o umiarkowanym lub wysokim CVSS mogą stanowić większe ryzyko niż te oceniane wyżej, jeśli są dostępne bezpośrednio z internetu i nie wymagają autoryzacji. To właśnie różnica między oceną liczbową a faktyczną ekspozycją staje się kluczowym problemem dla zespołów bezpieczeństwa.
Wiele organizacji nadal ma też ograniczoną widoczność warstwy firmware, BIOS, BMC, DPU czy SmartNIC. W efekcie proces vulnerability management bywa skuteczny dla systemów operacyjnych i aplikacji, ale znacznie słabszy dla komponentów infrastrukturalnych i sprzętowych.
Rekomendacje
Organizacje powinny zaktualizować swoje modele priorytetyzacji tak, aby oprócz CVSS uwzględniały rzeczywisty kontekst eksploatacyjny. Obejmuje to zarówno architekturę środowiska, jak i bieżące informacje o aktywnym wykorzystaniu luk.
- Nadawać najwyższy priorytet poprawkom dla urządzeń wystawionych do internetu, zwłaszcza w scenariuszach pre-auth.
- Przejść z modelu CVE-centric na advisory-centric w obszarze urządzeń sieciowych i firmware.
- Utrzymywać pełną inwentaryzację urządzeń brzegowych, BMC, kontrolerów sieciowych, appliance’y bezpieczeństwa, SmartNIC i DPU.
- Korelować własne zasoby z biuletynami producentów oraz listami aktywnie wykorzystywanych podatności.
- Ograniczać dostęp do interfejsów administracyjnych za pomocą segmentacji, VPN, ACL i silnego MFA.
- Monitorować anomalie konfiguracyjne, restarty usług, zmiany routingu, nowe konta administracyjne oraz nietypowy ruch wychodzący z urządzeń.
W praktyce oznacza to, że harmonogram zmian dla infrastruktury brzegowej powinien być krótszy niż dla mniej eksponowanych elementów środowiska. Zwłoka w aktualizacji systemów edge może bowiem otworzyć drogę do incydentu o dużym zasięgu operacyjnym.
Podsumowanie
InfraTrust Pulse pokazuje, że w 2026 roku skuteczne zarządzanie podatnościami wymaga odejścia od prostego porządkowania luk według CVSS. Najwyższy priorytet powinny otrzymywać te podatności, które dotyczą urządzeń brzegowych, są osiągalne zdalnie, nie wymagają uwierzytelnienia albo są już wykorzystywane w realnych atakach.
Dla zespołów bezpieczeństwa oznacza to potrzebę lepszej widoczności warstwy infrastrukturalnej, szybszego reagowania na biuletyny producentów oraz pełnego włączenia firmware i komponentów sprzętowych do procesu patch management. To właśnie tam coraz częściej znajduje się najbardziej krytyczna powierzchnia ataku.
Źródła
- New InfraTrust report reveals infrastructure flaws admins should patch first — https://www.bleepingcomputer.com/news/security/new-infratrust-report-reveals-infrastructure-flaws-admins-should-patch-first/
- July 2026 InfraTrust Pulse — https://pulse.infra-trust.org/
- Fortinet FortiSandbox advisories — https://fortiguard.fortinet.com/
- F5 Security Advisory K000153397 — https://my.f5.com/
- NVIDIA Security Bulletin 5865 — https://nvidia.custhelp.com/