Cisco выпустила патч для IMC: root‑доступ через веб‑консоль и готовый эксплойт CIMCown

Коротко о главном

5 августа 2026 года Cisco выпустила патчи для уязвимости в веб‑консоли контроллера управления сервером Integrated Management Controller (IMC), получившей идентификатор CVE‑2026‑20200. Аутентифицированный пользователь даже с низкими правами может передать в интерфейс специально сформированные данные и выполнить произвольные команды в операционной системе контроллера с правами root. На следующий день исследователь опубликовал рабочий эксплойт CIMCown на GitHub, поэтому обновление стоит установить как можно быстрее.

Это не рядовой баг веб‑панели. IMC — это отдельный служебный компьютер внутри сервера, который живёт ниже операционной системы и переживает её переустановку, поэтому закрепление злоумышленника здесь особенно живуче. Если ваша инфраструктура стоит на серверах Cisco UCS, проверка и обновление IMC — задача уровня информационной безопасности, а не рутинного патч‑цикла; при отсутствии внутренней экспертизы её стоит вынести в отдельный IT‑аудит инфраструктуры.

Что произошло

Уязвимость CVE‑2026‑20200 затрагивает веб‑интерфейс управления Cisco Integrated Management Controller и вызвана недостаточной проверкой пользовательского ввода. По классификации Cisco её базовый балл CVSS — 8.8 из 10 (уровень High). Для эксплуатации нужна аутентификация: атакующему требуется учётная запись с низкими привилегиями. Но результат непропорционален входному порогу — успешная атака даёт выполнение команд от имени root на нижележащей ОС контроллера.

Нашёл проблему Кристоф Пайль из немецкой компании NSIDE ATTACK LOGIC в ходе заказного тестирования на проникновение. После того как Cisco выпустила исправление, исследователь опубликовал proof‑of‑concept под названием CIMCown на GitHub — то есть публично доступен рабочий код, демонстрирующий эксплуатацию. На момент выхода бюллетеня Cisco признаков реальных атак в дикой природе зафиксировано не было, однако наличие готового эксплойта резко сокращает окно, за которое защищающимся нужно успеть закрыться.

Почему компрометация IMC опаснее обычного RCE

Большинство новостей об уязвимостях сводятся к «поставьте патч» — но здесь важнее понять, что именно захватывает атакующий. IMC относится к классу контроллеров out‑of‑band управления (в мире серверов их также называют BMC): это автономная микросистема с собственным процессором, памятью и сетевым интерфейсом, которая управляет сервером независимо от основной операционной системы — включает и выключает питание, монтирует образы, обновляет прошивку и отдаёт удалённую консоль.

Из этой позиции контроллер, по словам самого исследователя, способен влиять на BIOS и SecureBoot и взаимодействовать с ОС над собой. Практические последствия для защиты три. Во‑первых, root на IMC — это управление сервером на уровне «железа», а не приложения. Во‑вторых, закрепление в прошивке контроллера переживает переустановку ОС: вычистить хост и развернуть его заново недостаточно. В‑третьих, эта прослойка находится ниже привычных средств обнаружения — EDR и антивирус на гостевой ОС такую активность попросту не видят. Именно поэтому доступ к плоскости управления серверами должен быть строго изолирован, а не рассматриваться как ещё одна веб‑панель за логином.

Кого это касается

По данным Cisco, уязвимость затрагивает IMC на серверах UCS C‑Series M7 и M8 в автономном (standalone) режиме, а также ряд аппаратных решений Cisco, построенных на преднастроенных серверах UCS C‑Series. Последний пункт коварен: IMC может «приехать» в инфраструктуру не как отдельный сервер, а внутри специализированного устройства — и о нём легко забыть при инвентаризации. Задокументированных обходных путей Cisco не приводит, единственная штатная мера — обновление на исправленную версию прошивки; если установить его прямо сейчас невозможно, снизить риск помогает временное отключение веб‑интерфейса управления.

Что это значит для команд

CVE‑2026‑20200 вышла не в одиночку. В том же пакете бюллетеней от 5 августа Cisco закрыла ещё несколько критических дыр: в IOS XE это CVE‑2026‑20272 с баллом CVSS 9.8 (класс инъекций команд и аргументов), а в Catalyst SD‑WAN — группа уязвимостей уровня 9.9 (CVE‑2026‑20303, CVE‑2026‑20304, CVE‑2026‑20310). Для команд, у которых Cisco стоит в сетевом ядре и в серверном парке, это повод не выхватывать одну строку из ленты, а прогнать весь августовский набор бюллетеней и сопоставить его со своим оборудованием.

Ключевая деталь именно IMC‑истории — публичный PoC. Разница между «уязвимость есть» и «эксплойт лежит в открытом доступе» на практике огромна: второе резко расширяет круг тех, кто может провести атаку, и снимает с неё требование глубокой квалификации. Для планирования это переводит задачу из категории «внесём в ближайший цикл обновлений» в категорию «закрываем в приоритете». Регулярный внешний контроль периметра и плоскости управления — часть работы по тестированию на проникновение — помогает ловить такие сценарии раньше, чем это сделает злоумышленник.

Что делать прямо сейчас

Практическая последовательность выглядит так. Проведите инвентаризацию: найдите все серверы UCS C‑Series и устройства на их базе, включая те, что «спрятаны» внутри аппаратных решений. Обновите прошивку IMC на исправленную версию из бюллетеня Cisco — это единственная штатная мера. Если обновиться немедленно нельзя, временно отключите веб‑интерфейс управления и убедитесь, что плоскость управления серверами (IMC/BMC) вынесена в отдельный изолированный сегмент сети и недоступна из общей корпоративной сети и тем более из интернета.

Дальше — гигиена доступа. Поскольку эксплуатация требует учётной записи, проверьте, кто и зачем имеет доступ к консоли IMC, включите многофакторную аутентификацию там, где это поддерживается, и удалите неиспользуемые или дефолтные учётные записи. И наконец — мониторинг: заведите журналирование доступа к IMC отдельно от логов основной ОС, потому что активность на уровне контроллера гостевые средства защиты не покажут.

Часто задаваемые вопросы

Что такое CVE‑2026‑20200? Это уязвимость в веб‑интерфейсе управления Cisco Integrated Management Controller (IMC), позволяющая аутентифицированному пользователю с низкими правами выполнить произвольные команды с правами root на контроллере. Базовый балл CVSS — 8.8. Cisco выпустила исправление 5 августа 2026 года.

Уязвимость уже эксплуатируют? На момент публикации бюллетеня Cisco данных о реальных атаках не было. Но 6 августа исследователь опубликовал рабочий proof‑of‑concept CIMCown на GitHub, поэтому вероятность появления атак повышается — обновление стоит установить в приоритетном порядке.

Какие устройства затронуты? Серверы Cisco UCS C‑Series M7 и M8 в автономном режиме, а также ряд аппаратных решений Cisco на базе преднастроенных серверов UCS C‑Series. Проверьте инвентарь: IMC может присутствовать внутри специализированного устройства.

Есть ли обходные пути? Задокументированных обходных путей Cisco не приводит — штатная мера одна, обновление прошивки. Как временную меру снижения риска можно отключить веб‑интерфейс управления и изолировать плоскость управления сервером в отдельном сегменте сети.

Источники

Cisco Security Advisory — Cisco Integrated Management Controller Web-Based Management Interface Command Injection Vulnerability (CVE‑2026‑20200), 5 августа 2026 года (первоисточник).

Help Net Security — Critical Cisco IMC bug gives attackers root, PoC is out (CVE-2026-20200), 6 августа 2026 года.

SecurityWeek — Cisco Patches Critical SD-WAN, IOS XE, FMC Vulnerabilities, 2026.

The Hacker News — Cisco Patches 12 SD-WAN and IOS XE Flaws, Including 9.8 CVSS Score Bugs, 2026.