Des failles sans authentification de Cisco FMC exploitées par le ransomware Qilin et des hackers liés à Sandworm

Les vulnérabilités de Cisco Secure Firewall Management Center font actuellement l’objet d’une exploitation active par trois groupes malveillants qui déploient des ransomwares, volent des identifiants, mènent des opérations d’espionnage et maintiennent un accès persistant aux réseaux.

Les attaques ciblent CVE-2026-20079, une faille critique permettant de contourner l’authentification et d’exécuter des commandes avec les privilèges root, ainsi que CVE-2026-20316, qui expose des identifiants statiques associés à un compte aux privilèges limités. Cisco a publié des correctifs urgents et exhorte ses clients à les installer immédiatement.

Cisco Talos suit ces groupes sous les noms UAT-12197, UAT-11823 et UAT-11988. Leurs activités montrent comment la compromission d’un système centralisé de gestion des pare-feu peut exposer des identifiants, des configurations d’équipements, des services internes et des terminaux situés derrière le périmètre de sécurité.

Deux failles de FMC offrent plusieurs voies d’accès à l’appliance

CVE-2026-20079 affecte l’interface web de Cisco Secure Firewall Management Center 7.0.0. Elle obtient le score CVSS v3 maximal de 10,0, avec le vecteur CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H.

Cette vulnérabilité est classée CWE-288, qui correspond à un contournement de l’authentification par un chemin ou un canal alternatif. La création incorrecte d’un processus système lors du démarrage permet à un attaquant distant non authentifié d’envoyer des requêtes HTTP spécialement conçues, d’exécuter des fichiers de script et potentiellement d’obtenir un accès root au système d’exploitation sous-jacent.

Aucune interaction utilisateur ni aucun compte préalable n’est nécessaire. Une interface de gestion exposée sur Internet constitue donc une cible particulièrement dangereuse.

CVE-2026-20316 affecte les versions de Cisco Secure Firewall Management Center jusqu’à la version 7.0.9 incluse. Elle affiche un score CVSS v3 de 5,3, avec le vecteur CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N.

Cette seconde faille, classée CWE-259, est due à la présence d’identifiants statiques associés à un compte aux privilèges limités. Un attaquant non authentifié peut utiliser ces identifiants pour accéder aux informations disponibles pour ce compte.

Son score inférieur ne reflète pas l’intégralité du risque opérationnel. Cisco classe le problème comme étant de niveau élevé, car les attaquants peuvent combiner cet accès initial avec d’autres failles de FMC afin d’élever leurs privilèges et de progresser dans l’environnement administré.

Cisco a fourni des correctifs urgents pour les deux vulnérabilités. Les numéros exacts des versions corrigées n’ont pas été communiqués dans les informations disponibles, tandis qu’une mise à jour de renforcement plus large de FMC, corrigeant d’autres vulnérabilités, est attendue la semaine prochaine.

Les opérateurs de Qilin ont transformé des identifiants statiques en accès au ransomware

Talos attribue avec un haut degré de confiance UAT-11988 à des affiliés de l’opération de ransomware Qilin. Les attaquants ont d’abord accédé à une appliance FMC au moyen des identifiants statiques associés à CVE-2026-20316.

Après s’être connectés, ils ont utilisé les fonctionnalités légitimes de FMC pour cartographier l’environnement de la victime. Les informations collectées comprenaient des noms d’hôtes, des adresses IP, des listes de répertoires, des inventaires d’ordinateurs, des informations de domaine ainsi que les correspondances entre les serveurs internes et leurs adresses.

Les opérateurs ont également obtenu des identifiants de comptes de service Active Directory, des identifiants MySQL et d’autres données relatives aux comptes de domaine. Ils ont regroupé les informations volées dans des fichiers exposés via le serveur FMC compromis, puis les ont téléchargés au moyen de requêtes HTTP GET.

Pour atteindre les systèmes situés au-delà de l’appliance, les attaquants ont établi un proxy SOCKS5 en Python et un tunnel SSH inverse. La redirection de ports leur a fourni des accès aux services LDAP, LDAPS, Kerberos, SMB, NetBIOS et WinRM présents sur le réseau interne.

Leur arsenal comprenait Impacket, Invoke-TheHash et des utilitaires personnalisés conçus pour arrêter ou désactiver les logiciels de détection et de réponse sur les terminaux. L’opération s’est achevée par le déploiement du ransomware Qilin sur les terminaux, qui a chiffré les fichiers.

Cette séquence montre qu’un accès FMC limité peut servir de passerelle vers l’infrastructure d’identité et les services d’administration Windows lorsqu’il n’est pas circonscrit.

Un groupe lié à Sandworm a déployé une variante de Cyclops Blink

Talos associe UAT-11823 à un acteur de la menace persistante avancée dont les outils présentent des similitudes avec ceux de Sandworm, le groupe soutenu par l’État russe et lié au GRU. Le groupe a exploité les deux vulnérabilités de FMC lors des intrusions observées.

Les opérateurs ont obtenu un accès soit en exploitant le contournement d’authentification de CVE-2026-20079, soit en utilisant les identifiants statiques exposés par CVE-2026-20316. Ils ont ensuite modifié un fichier nommé license.tmp afin d’établir un reverse shell Netcat connecté à une infrastructure de commande et de contrôle.

Un utilitaire Cisco légitime, package_info.pl, a servi à exécuter le fichier de licence malveillant avec les privilèges root. Cette technique mélangeait du contenu contrôlé par l’attaquant avec un composant administratif de confiance déjà présent sur l’appliance.

Le groupe a également exécuté des scripts qui collectaient les données de configuration des équipements administrés par FMC. Ces données ont été compressées dans des archives en vue de leur exfiltration.

La charge finale était une variante de Cyclops Blink. Ce malware Linux modulaire assurait un accès persistant, récupérait des identifiants et espionnait le trafic réseau.

Cette activité permet également de lever une incertitude antérieure concernant les deux failles. Cisco avait signalé l’exploitation de CVE-2026-20316 le 29 juillet 2026 et mentionné /var/tmp/license.tmp comme indicateur. L’entreprise avait ensuite inclus ce même indicateur dans les informations relatives à CVE-2026-20079, sans confirmer l’existence d’un lien.

Talos a désormais relié ce mécanisme à UAT-11823 et confirmé que le groupe avait exploité les deux vulnérabilités.

Un troisième groupe a installé une porte dérobée Java permettant l’exécution de commandes

UAT-12197 a suivi une autre voie après l’exploitation de CVE-2026-20079. Les attaquants ont placé un web shell JSP dans le répertoire webroot de Tomcat de Cisco Security Manager.

Ce web shell a installé une archive Java malveillante nommée cmd.jar, qui permettait d’exécuter des commandes sur le serveur compromis. Les opérateurs ont ensuite interrogé des bases de données internes et collecté des enregistrements d’authentification ainsi que des identifiants utilisateur.

Bien qu’aucun ransomware ni lien avec un acteur étatique n’ait été divulgué concernant UAT-12197, son activité a produit la même conséquence fondamentale : l’appliance de gestion des pare-feu est devenue une plateforme d’accès à des données dépassant son rôle administratif prévu.

Les échéances de la CISA tiennent compte de l’exploitation confirmée

La CISA a ajouté CVE-2026-20316 à son catalogue Known Exploited Vulnerabilities le 29 juillet 2026. La date limite de remédiation pour les agences fédérales américaines était fixée au 1er août 2026.

CVE-2026-20079 a été ajoutée au catalogue KEV le 9 septembre 2026, avec une date limite de remédiation fixée au 12 septembre 2026 pour les agences fédérales. Cette inscription confirme que le problème n’est pas seulement théorique.

Pour les deux failles, la CISA exige des mesures d’atténuation conformes aux instructions de Cisco, au BOD 26-04 et aux Forensics Triage Requirements de l’agence. Les recommandations applicables aux services cloud doivent également être suivies. Lorsque aucune mesure d’atténuation n’est disponible, la CISA demande aux organisations concernées de cesser d’utiliser le produit.

Ces entrées rejoignent plusieurs autres vulnérabilités Cisco ajoutées au catalogue KEV au cours des 90 derniers jours : CVE-2026-20349 le 11 août 2026, CVE-2008-4128 le 13 juillet 2026, CVE-2026-20230 le 25 juin 2026 et CVE-2026-20262 le 15 juin 2026.

L’application des correctifs doit s’accompagner d’une recherche de compromission

Les administrateurs doivent installer immédiatement les correctifs urgents de Cisco pour les deux vulnérabilités et se préparer à évaluer la mise à jour de renforcement plus large attendue la semaine prochaine. Les systèmes doivent faire l’objet de vérifications ciblées afin d’identifier les instances FMC 7.0.0 exposées à CVE-2026-20079 et les versions allant jusqu’à 7.0.9 pour CVE-2026-20316.

L’application des correctifs ne suffit pas à supprimer les artefacts ou les identifiants laissés par une intrusion antérieure. Les équipes de sécurité doivent rechercher notamment :

• /var/tmp/license.tmp ou d’autres fichiers license.tmp modifiés
• Une exécution inhabituelle de package_info.pl
• Des reverse shells Netcat, des proxys SOCKS5 en Python et des tunnels SSH inverses
• Des web shells JSP dans les répertoires webroot de Tomcat
• L’archive malveillante cmd.jar
• Des fichiers accessibles publiquement contenant des données de reconnaissance regroupées
• Des requêtes HTTP GET utilisées pour récupérer ces fichiers
• Impacket, Invoke-TheHash ou des outils désactivant les produits EDR
• Une redirection inattendue de trafic LDAP, LDAPS, Kerberos, SMB, NetBIOS ou WinRM
• Des composants de Cyclops Blink ou une activité liée au ransomware Qilin

Les organisations doivent également examiner les actions d’administration dans FMC, les exportations de configuration des équipements administrés, les requêtes adressées aux bases de données et les accès aux services d’identité internes.

Les identifiants Active Directory, de domaine, de comptes de service, MySQL et FMC potentiellement exposés doivent être renouvelés. Les enquêteurs doivent considérer que les identifiants stockés sur une appliance de gestion compromise ou accessibles depuis celle-ci ont pu être collectés, même si aucun ransomware n’a été observé.

Si une instance FMC vulnérable ne peut pas être protégée, la CISA demande de cesser de l’utiliser plutôt que de laisser fonctionner un plan de gestion exploitable.