Платформа централизованного управления ASUS Control Center Enterprise содержит уязвимость, которая позволяет не прошедшему проверку подлинности пользователю получить права root на затронутом узле. Проблема зарегистрирована как CVE-2026-75754. В бюллетене ASUS, опубликованном и обновлённом 4 сентября 2026 года, затронутыми названы версии ACC 4.0.0.2 и более ранние.
Уязвимость CVE-2026-75754
По шкале CVSS (Common Vulnerability Scoring System, международный стандарт оценки серьёзности уязвимостей) дефект набрал максимальные 10 баллов. Метрики показывают, что атака не требует учётных данных, наличия прав у пользователя или выполнения им каких-либо действий. Вектор атаки сетевой, сложность эксплуатации низкая. Для атакующего достаточно, чтобы уязвимая служба была доступна по сети, после чего он получает полный контроль над системой без дополнительных предпосылок.
Технические детали ASUS сейчас не раскрывает. В уведомлении отсутствуют сведения о компоненте, в котором находится ошибка, о векторе атаки и требованиях к окружению. Не опубликованы и демонстрационные примеры эксплуатации. Возможно, компания намеренно отложила подробности, чтобы дать администраторам время развернуть исправление. При этом отсутствие готовых описаний не снижает риска: злоумышленники могут самостоятельно выявить проблему и построить атаку на её основе.
ASUS Control Center Enterprise предназначен для централизованного администрирования и мониторинга парка серверов и других устройств. Такие продукты обычно имеют широкие права на большое количество конечных узлов. Поэтому компрометация ACC опаснее взлома отдельного сервера: атакующий получает доступ не к одной точке инфраструктуры, а к инструменту, через который обслуживаются десятки или сотни систем.
Получение прав root в такой среде позволяет менять конфигурации, читать оперативные данные, включая чувствительную информацию, нарушать работу сервисов и внедрять механизмы, которые переживут перезагрузку системы. Кроме того, скомпрометированный сервер управления можно использовать для атак на смежные узлы, поскольку он часто находится в доверенной части сети. Конкретные последствия зависят от того, как развёрнута платформа, какие сети имеют к ней доступ и насколько строго разграничены учётные записи администраторов.
Администраторам в первую очередь следует провести инвентаризацию установок и проверить, какие из них попадают в затронутый диапазон. Если используется ACC 4.0.0.2 или более ранняя версия, обновление нужно запланировать как приоритетное и перенести на ближайшее окно обслуживания. Само исправление необходимо получать только из официальных каналов ASUS, чтобы исключить риск установки поддельного пакета.
Пока обновление не развёрнуто, стоит ограничить доступ к интерфейсу управления. В частности, нужно разрешить подключение только авторизованным администраторам, убрать доступность ACC из ненадёжных сетей и пересмотреть правила межсетевых экранов, механизмы удалённого доступа и контроля привилегированных учётных записей. Чем меньше людей и систем имеют возможность дотянуться до уязвимого сервиса, тем ниже вероятность реальной эксплуатации в случае появления готового эксплойта.
Параллельно специалистам по безопасности стоит проанализировать журналы аутентификации, процессов и сетевых подключений, связанных с серверами ACC и управляемыми конечными точками. Признаками возможной компрометации могут быть неожиданные сеансы root, создание новых привилегированных учётных записей, изменение конфигурации служб и подозрительные запланированные задания. Отдельное внимание следует уделить соединениям, которые инициируются из сегмента управления в сторону других узлов. Поскольку опубликованный бюллетень не содержит признаков компрометации, важную роль играют поиск аномалий и сравнение текущего поведения системы с базовым профилем.
При подготовке к обновлению стоит учитывать одну особенность опубликованных материалов. В описании уязвимости речь идёт об ASUS Control Center Enterprise версии 4.0.0.2 и более ранних, тогда как в отдельной рекомендации для ASUS Control Center названа безопасная версия v3.1.0.9 или более поздняя. Причина расхождения в нумерации в документах не объясняется, поэтому перед развёртыванием исправления необходимо сверять конкретную редакцию продукта и её версию с официальной страницей бюллетеней безопасности ASUS.
Производитель заявляет, что придерживается практики координированного раскрытия уязвимостей и участвует в программе CVE Numbering Authority, в рамках которой организациям присваиваются идентификаторы для новых проблем безопасности. Это означает, что технические пояснения и данные об исправленных версиях могут появляться поэтапно. Организациям стоит регулярно проверять страницу предупреждений ASUS, фиксировать, какие хосты используют ACC, и сохранять журналы до момента, когда станет окончательно ясно, была ли проблема задействована в реальных атаках.
Централизованные инструменты управления давно привлекают злоумышленников именно потому, что открывают путь к большому числу машин. Даже одна ошибка, позволяющая получить root-доступ без аутентификации, способна перерасти в компрометацию значительной части управляемой среды. Поэтому устранение этой уязвимости следует рассматривать не как плановое обновление, а как оперативную защитную меру.
Ссылки
