サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は2025年3月21日週の初めに、この脆弱性（注1）を、犯罪者に悪用されている既知の脆弱性をまとめたKEVカタログに追加した。この脆弱性は2025年3月にSANS Technology InstituteのInternet Storm Centerが報告済みのものだ（注2）。

　CVE-2024-20439は、Smart Licensing Utilityにおける静的認証情報に関する脆弱性だ。共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.8」と高く、深刻度は最も高い「Critical」だ。この脆弱性自体は2024年9月にもう一つの脆弱性「CVE-2024-20440」とともに発表済みで（注3）、回避策はないものの、アップデートも公開されている。後者の脆弱性はリモートからSmart Licensing Utilityにおける情報漏えいを引き起こす恐れがある。

　CVE-2024-20439は認証されていない攻撃者が文書化されていない静的管理者認証情報を使用して、脆弱な状態にあるCisco Systemsのデバイスにリモートアクセスできるというものだ。ネットワーキングに関係する大手企業によれば、この脆弱性はSmart Licensing Utilityがアクティブに実行されている場合にのみ悪用される可能性があるという。

　Cisco Systemsも2025年4月2日にこの2つの脆弱性の悪用の試みがあったことを確認して、セキュリティアドバイザリーを更新した（注4）。セキュリティアドバイザリーには「2025年3月、Cisco Systemsのセキュリティインシデント対応チームが、この脆弱性を悪用する試みが実際にあったことを認識した」と記されている。

　CVE-2024-20439に関するKEVカタログには「ランサムウェア攻撃で使用されているかどうかは不明」と記されている。

専門家が経緯を説明

　2025年3月19日、Internet Storm Centerに所属するヨハネス・ウルリッヒ氏は、この脆弱性に対する悪用の試みを発見した（注5）。

　当時、ウルリッヒ氏は『Cybersecurity Dive』に対して「他の悪質な活動に利用されていた小規模なbotネットからこの試みが発信されたようだ」と語った。同氏によると、2025年3月中旬に悪用例が急増したという。同氏は2025年3月、電子メールで「それ以前はこの脆弱性に関連する活動はごくわずかで、同年1月の初めに1日だけ急増したことがあった」と記した。

　ウルリッヒ氏は2025年3月31日の週にCybersecurity Diveに対して次のように語った。

　「ここ2週間の悪用はbotネットからの攻撃に限られている。新たな活動は確認されていない。われわれの最初の報告が、CISAがこの脆弱性をリストに追加する一因になったと考えている」

　Internet Storm Centerによる投稿の中でウルリッヒ氏は、この脆弱性を「バックドア」と呼び、「Cisco Systemsは製品にしばしばバックドアを用意している」と述べた。このような静的管理者認証情報が、もし悪意のある者の手に渡ってしまうとシステムへのアクセスを許してしまうため、注意が必要だと警告した。

　ウルリッヒ氏はセキュリティ研究者のニコラス・スターク氏が2024年9月にブログ記事で「CVE-2024-20439」の技術的な詳細を公開しており（注6）、その中に静的認証情報が含まれている旨を指摘した。攻撃者はこのブログ記事で静的認証情報を見つけて、それを使ってSmart Licensing Utilityを実行しているCisco Systemsの製品にアクセスした可能性がある。