Brandväggen står på listan. Verktygen gör det inte.

Be en verksamhet räkna upp vad de har nåbart från internet, och listan blir ofta bra: hemsidan, e-posten, VPN:en, brandväggen. Det som sällan kommer med är verktygen. Verktyget som administrerar brandväggarna, panelen som övervakar driften, webbgränssnittet på backupservern. De hamnade under ”administration” i huvudet på den som räknade, inte under ”exponerat mot internet”. Men listan ska beskriva vad som är nåbart, inte hur systemen är indelade.

Vad som hände

Den 9 september bekräftade Cisco att en brist i Secure Firewall Management Center, produkten som administrerar deras brandväggar, utnyttjas aktivt. Samma dag lade den amerikanska myndigheten CISA in den i sin katalog över kända utnyttjade sårbarheter. Bristen kräver ingen inloggning och ger den som lyckas full kontroll över verktyget.

Uppdateringen är inte ny. Cisco gick ut om bristen redan i mars, då utan tecken på att någon utnyttjade den. Det som ändrades i september var inte sårbarheten utan läget.

Ciscos egen hotanalysgrupp Talos beskriver tre separata angriparkluster som använt bristen, och knyter ett av dem till en statlig rysk aktör och ett annat till en aktör inom utpressningsprogram. Det är Talos bedömning, inte vår. Det vi tar med oss är vad klustren gick efter: konfiguration och inloggningsuppgifter.

Det handlar inte om Cisco

Namnet spelar mindre roll än mönstret. Alla större tillverkare av nätverksutrustning har ett centralt administrationsverktyg, och samma vecka som den här bekräftades kom motsvarande besked om en produkt för fjärråtkomst från en annan tillverkare. Mönstret är inte produktspecifikt.

Det som gör administrationsverktyg särskilt värda att skydda är vad de innehåller. En brandvägg som blir angripen ger angriparen en enhet. Verktyget som administrerar brandväggarna ger regelverket, adresseringen och en bild av hur nätet hänger ihop, i ett steg. Det är därför angriparen hämtar konfigurationen i stället för att slå sönder något. Den är kartan över nästa steg.

Det finns också en obekväm förklaring. Ett administrationsverktyg är byggt för att vara bekvämt att nå för den som ska sköta driften. Ofta är driften utlagd, eller sköts på kvällen hemifrån, och då blir det praktiskt att verktyget svarar mot internet. Beslutet fattas en gång, av någon som löser ett driftproblem, och står sedan kvar i flera år.

Vad vi ser i kartläggningen

Det här är inte en teoretisk oro. Vi hittar regelbundet den här sortens system nåbara från internet när vi kartlägger utifrån: Webmin och liknande serverpaneler, övervakningstjänster, automations- och mätdataverktyg. Nästan alltid är de åtkomstskyddade, och vi påstår inget annat. Men åtkomstskyddad är inte samma sak som att den borde svara mot internet, och den sortens verktyg står sällan på verksamhetens egen lista över internetvända system.

En del av förklaringen är var de bor. Automation, mätdata och övervakning ligger ofta på portar långt utanför de vanligaste, och en genomgång som bara tittar på de vanliga portarna hittar dem inte.

Ett administrationsverktyg som svarar mot internet är annars ett av de tydligaste fynden i en extern exponeringskoll. Det syns för att det svarar, och ofta går det att se vilken version som körs.

Vi börjar utifrån, utan att röra era system. Det vi då kan belägga är att tjänsten är nåbar och kör en berörd version, inte att den är bekräftat sårbar. Aktiva kontroller görs efter överenskommelse och aldrig mot driftmiljö.

Vad ni gör åt det

Räkna administrationsverktygen som internetvända system. Paneler, hanteringsportaler, övervakning och driftgränssnitt hör på samma lista som hemsidan och VPN:en. Om de inte står där är listan inte färdig.
Utgå från era adresser, inte era namn. En förteckning byggd på domännamn missar allt som aldrig fick ett namn.
Leta högre upp än de vanliga portarna. Automation, mätdata och övervakning bor sällan på port 443.
Fråga varför var och en av dem är nåbar. Svaret är ofta en driftlösning från ett annat år. Ibland är svaret bra. Ofta går åtkomsten att flytta in bakom fjärråtkomsten i stället.
Följ läget över tid. I mars var läget lugnt. I september var det inte det. Samma produkt, samma version, samma verksamhet. Bara läget ändrades.

Själva åtgärden, att uppdatera verktyget eller ta bort dess exponering, ligger hos den som driftar utrustningen. Vår del är att hitta dörren och belägga att den står öppen.

Så tänker vi

Enskilda brister kommer och går. Det som består är att listan över det som är nåbart utifrån sällan har fel om brandväggen, men ofta är ofullständig om verktygen runt den.

Vill ni veta vilka av era administrationsverktyg som svarar mot internet idag? Hör av er.

Källor: Cisco Talos, Active exploitation of Cisco Secure Firewall Management Center vulnerabilities (9 sep 2026); CISA, Adds Four Known Exploited Vulnerabilities to Catalog (9 sep 2026).