Невідома вразливість в обладнанні Huawei паралізувала телеком Люксембургу на кілька годин

Минулого літа Люксембург на кілька годин майже повністю втратив телекомунікаційний зв’язок — і лише тепер стало відомо, що причиною стала кібератака через невідому раніше вразливість в обладнанні Huawei. Мешканці країни не могли користуватися ані мобільним, ані стаціонарним зв’язком, а частина людей не могла додзвонитися до екстрених служб.

23 липня 2025 року, наприкінці робочого дня, державний оператор POST Lux­em­bourg зафіксував масштабний збій: перестали працювати стаціонарна телефонія, а також мережі четвертого та п’ятого поколінь. Відновити зв’язок вдалося лише через понад три години — після чого до центру екстрених викликів надійшли сотні додаткових дзвінків.

За даними Record­ed Future News, атака була спрямована проти програмного забезпечення корпоративних маршрутизаторів Huawei. Спеціально сформований мережевий трафік змусив пристрої безперервно перезавантажуватися, що призвело до відмови критичних частин інфраструктури оператора. Глава відділу комунікацій POST Lux­em­bourg Пол Рауш підтвердив: зловмисники використали «непублічну та неописану поведінку», для якої на той момент не існувало жодного виправлення, а сам інцидент не був пов’язаний із раніше відомими вразливостями.

Джерела, обізнані із закритими брифінгами у справі, кваліфікували атаку як використання вразливості нульового дня. За десять місяців після інциденту їй так і не присвоїли ідентифікатор CVE, а інші оператори, що використовують схоже обладнання, не отримали публічного попередження. Сама Huawei повідомила POST Lux­em­bourg, що раніше не стикалася з подібною атакою і не мала готового рішення.

Влада Люксембургу спочатку охарактеризувала подію як «виключно просунуту та складну кібератаку» з ознаками розподіленої DDoS-атаки. Однак пізніше POST Lux­em­bourg уточнила: інцидент не був звичайною масовою атакою з величезним обсягом трафіку, типовою для хактивістів чи кіберзлочинців. Прокуратура встановила, що через інфраструктуру оператора пройшли пошкоджені дані — замість того щоб передати їх далі, системи зупинилися і почали циклічно перезавантажуватися. Доказів цілеспрямованої атаки саме на POST Lux­em­bourg слідство не знайшло, кримінальних обвинувачень нікому не пред’явили.

Після інциденту влада Люксембургу та Huawei провели кілька технічних зустрічей. Національні органи кібербезпеки сповістили партнерські групи реагування на інциденти в Європі — але лише по закритих державних каналах. Публічного повідомлення для всієї галузі так і не з’явилося. Представниця Вищої комісії з національного захисту Люксембургу Анн Юнг пояснила: за стандартною процедурою рішення про випуск CVE ухвалює виробник.

Huawei регулярно оприлюднює відомості про вразливості у споживчих продуктах, проте останніми роками дедалі рідше публічно повідомляє про проблеми в корпоративному мережевому обладнанні — для таких клієнтів компанія випускає бюлетені через закритий портал. Через десять місяців після збою досі незрозуміло, чи була вразливість повністю усунута, скільки операторів могли опинитися під загрозою і чи залишаються схожі системи Huawei вразливими сьогодні.