Des opérateurs liés à Sandworm enchaînent des failles de Cisco FMC pour déployer une nouvelle version de Cyclops Blink

Un acteur malveillant vraisemblablement lié à l’État russe exploite deux vulnérabilités de Cisco Secure Firewall Management Center pour installer une version enrichie de la porte dérobée Cyclops Blink.

La chaîne d’intrusion combine un contournement critique de l’authentification, CVE-2026-20079, avec une faille liée à des identifiants statiques, CVE-2026-20316. Les attaquants accèdent aux systèmes FMC vulnérables, déploient un shell inverse et un proxy basés sur Netcat, puis installent la nouvelle variante du malware.

Sophos estime avec un niveau de confiance élevé que les opérateurs ont un lien avec la Russie. L’entreprise attribue cette activité à Sandworm, un groupe qu’elle suit sous le nom d’Iron Viking, avec un niveau de confiance modéré, car les enquêteurs n’ont trouvé aucune preuve concluante reliant directement les déploiements observés à ce groupe.

La date exacte du début de la campagne et son ampleur complète restent inconnues. Les deux vulnérabilités font toutefois l’objet d’une exploitation active et ont été ajoutées au catalogue des vulnérabilités exploitées connues de la Cybersecurity and Infrastructure Security Agency des États-Unis.

Deux vulnérabilités FMC servent de point d’entrée

Cisco Secure Firewall Management Center est une cible intéressante pour les attaquants, car la solution occupe une position de confiance dans l’infrastructure de gestion des réseaux. La compromission de la plateforme peut donner accès à la visibilité sur le trafic, les configurations, les identifiants et les systèmes situés derrière le périmètre réseau.

Les deux vulnérabilités exploitées présentent des niveaux de gravité et des effets immédiats sensiblement différents :

Vulnérabilité	Versions concernées	Impact technique	CVSS
CVE-2026-20079	Cisco Secure Firewall Management Center 7.0.0	Contournement de l’authentification sans authentification préalable permettant l’exécution de scripts ou de commandes et un accès potentiel aux privilèges root	10
CVE-2026-20316	Cisco Secure Firewall Management Center 7.0.9 et versions antérieures	Des identifiants statiques permettent un accès sans authentification par l’intermédiaire d’un compte disposant de faibles privilèges et l’exposition de données sensibles	5,3

CVE-2026-20079 se trouve dans l’interface web de FMC et résulte d’une configuration incorrecte d’un processus système créé lors du démarrage. Un attaquant distant peut envoyer des requêtes HTTP spécialement conçues sans s’authentifier au préalable. Une exploitation réussie permet d’exécuter des scripts et des commandes avec des privilèges suffisants pour obtenir un accès root au système d’exploitation sous-jacent.

Son vecteur CVSS, CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H, reflète une exploitation à distance, une faible complexité d’attaque, l’absence de privilèges requis ou d’interaction avec l’utilisateur, ainsi qu’un impact élevé sur la confidentialité, l’intégrité et la disponibilité. La vulnérabilité est classée CWE-288, contournement de l’authentification par un autre chemin ou canal.

CVE-2026-20316 a un impact direct plus limité. L’interface FMC attribue des identifiants statiques à un compte disposant de faibles privilèges, ce qui permet à un attaquant distant de s’authentifier sans posséder d’identifiants utilisateur légitimes. Le résultat immédiat est l’accès aux informations sensibles disponibles pour ce compte.

Cisco a également averti que les attaquants pouvaient combiner cet accès avec des vulnérabilités FMC connues antérieurement afin d’élever leurs privilèges. Son vecteur est CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N, et la faiblesse est classée CWE-259, utilisation d’un mot de passe codé en dur.

Le score inférieur de 5,3 n’indique pas un risque opérationnel faible. CVE-2026-20316 fait l’objet d’une exploitation active et a également été utilisée dans des campagnes de ransomware.

Cyclops Blink étend ses cibles au-delà des appliances d’origine

Après avoir exploité l’installation FMC, les opérateurs présumés liés à Sandworm déploient un shell inverse et un outil proxy basés sur Netcat. Ces outils intermédiaires leur fournissent un canal interactif et contribuent à préparer le système à l’installation de Cyclops Blink.

Cyclops Blink est un botnet et une porte dérobée modulaires que des agences gouvernementales américaines et britanniques ont précédemment associés à Sandworm. Le malware est apparu pour la première fois en 2022, en compromettant d’abord des pare-feu WatchGuard, puis des appareils ASUS.

Les versions précédentes pouvaient transmettre des informations sur les appareils infectés à une infrastructure de commande et de contrôle, télécharger et exécuter des fichiers, ainsi que charger des modules supplémentaires. Elles étaient également conçues pour rester présentes après les redémarrages et les mises à jour légitimes du firmware.

La variante récemment identifiée représente une refonte importante. Elle s’exécute sur Linux 64 bits x86-64, au lieu de l’architecture PowerPC 32 bits utilisée précédemment, et ne dépend plus de modifications du firmware propres à WatchGuard pour assurer sa persistance.

Elle utilise à la place des mécanismes de persistance SysV génériques, disponibles sur un éventail plus large de systèmes Linux. Cette évolution pourrait rendre l’implant exploitable contre des appliances réseau basées sur Linux, au-delà des produits ciblés lors des campagnes précédentes.

La nouvelle version peut également :

• Analyser les réseaux internes à la recherche d’autres systèmes.
• Capturer sélectivement des paquets réseau en direct.
• Collecter des hachages de mots de passe.
• Enregistrer les lignes de commande des processus.
• Collecter des informations sur le processeur et la configuration du système.
• Maintenir des communications de balise avec l’infrastructure de commande et de contrôle.
• Télécharger et exécuter des charges utiles supplémentaires.
• Charger des modules qui étendent ses fonctionnalités.

Ces fonctions transforment une appliance de gestion compromise en bien plus qu’une porte dérobée persistante. L’attaquant peut l’utiliser comme plateforme de reconnaissance, point de collecte du trafic, source d’identifiants et système de relais pour progresser plus profondément dans le réseau.

L’attribution à Sandworm reste nuancée

Sophos a attribué la campagne avec un niveau de confiance élevé à des opérateurs liés à la Russie, mais n’a accordé qu’un niveau de confiance modéré au lien spécifique avec Sandworm. Cette distinction est importante : les enquêteurs ont reconnu Cyclops Blink et des comportements d’infrastructure associés à des opérations russes, mais n’ont pas identifié de preuve définitive reliant ces compromissions précises à Iron Viking.

Sandworm a déjà été associé à des opérations d’espionnage et à des attaques destructrices, notamment aux perturbations du réseau électrique ukrainien et à l’épidémie NotPetya. Le groupe a également ciblé des infrastructures accessibles depuis Internet et des organisations d’importance stratégique.

Le lien avec le malware renforce cette évaluation, mais ne prouve pas que chaque déploiement de Cyclops Blink soit contrôlé par le même opérateur. La campagne Cisco FMC signalée doit donc être considérée comme probablement liée à Sandworm, sans que cette attribution soit définitive.

Cisco Talos a identifié deux autres groupes d’activité exploitant les mêmes vulnérabilités à des fins différentes. Rien ne permet actuellement d’établir que les trois campagnes sont dirigées par le même opérateur.

UAT 12197 exploite CVE-2026-20079 pour installer des web shells et un outil d’exécution de commandes basé sur Java, avec notamment pour objectif le vol d’identifiants. UAT 11988 exploite CVE-2026-20316 pour distribuer le ransomware Qilin.

Ces failles contribuent donc à des activités d’intrusion liées à des États, au vol d’identifiants, à la mise en place d’un accès distant persistant et au déploiement de ransomwares à motivation financière.

Les échéances de la CISA sont déjà dépassées

La CISA a ajouté CVE-2026-20316 à son catalogue KEV le 29 juillet 2026, avec une échéance de remédiation fixée au 1er août 2026 pour les agences civiles fédérales américaines. Le catalogue indique que la vulnérabilité a été utilisée dans des campagnes de ransomware.

CVE-2026-20079 a rejoint le catalogue KEV le 9 septembre 2026. L’échéance de remédiation fédérale était fixée au 12 septembre 2026.

La CISA exige des agences qu’elles appliquent les mesures de correction fournies par le fournisseur tout en respectant la BOD 26-04, « Prioritizing Security Updates Based on Risk », ainsi que ses exigences en matière de triage forensique. Les organisations doivent également évaluer l’exposition de chaque équipement à Internet. Pour les services cloud concernés, les agences doivent suivre les recommandations applicables de la BOD 26-04 ou cesser d’utiliser le produit lorsque aucune mesure de correction n’est disponible.

Ces entrées s’inscrivent dans une série plus large de failles Cisco récemment exploitées. Parmi les autres vulnérabilités Cisco ajoutées au catalogue KEV au cours des 90 jours précédents figurent CVE-2026-20349, le 11 août 2026, CVE-2008-4128, le 13 juillet 2026, et CVE-2026-20230, le 25 juin 2026.

L’application des correctifs doit s’accompagner d’une investigation forensique

Cisco a publié des correctifs d’urgence pour les deux vulnérabilités FMC et a recommandé à ses clients de les installer immédiatement. L’entreprise prévoit également une version renforcée plus complète, couvrant ces problèmes ainsi que d’autres vulnérabilités FMC découvertes en interne. Aucune date de publication n’a été communiquée.

Les administrateurs doivent inventorier tous les déploiements FMC, en particulier ceux qui utilisent la version 7.0.0 et ceux qui fonctionnent sous la version 7.0.9 ou une version antérieure. Ils doivent ensuite appliquer les correctifs d’urgence de Cisco et installer la version renforcée dès qu’elle sera disponible.

La remédiation seule ne permet pas d’établir qu’un système n’a pas été compromis auparavant. Les équipes de sécurité doivent examiner les hôtes FMC et les données de télémétrie du réseau environnant à la recherche des éléments suivants :

• Web shells non autorisés.
• Shells inverses Netcat ou activité de proxy inattendue.
• Composants Java d’exécution de commandes non reconnus.
• Entrées ou services de démarrage SysV suspects.
• Analyse interne provenant d’une appliance FMC.
• Activité sélective de capture de paquets.
• Accès à des hachages de mots de passe ou à des données de configuration sensibles.
• Connexions sortantes anormales et communications de balise avec l’infrastructure de commande et de contrôle.
• Lignes de commande de processus inattendues ou exécutables téléchargés.
• Indices de vol d’identifiants ou de déplacement latéral ultérieur.

Aucun hachage de fichier, domaine ou adresse IP précis n’est publiquement identifié dans les informations disponibles. Les défenseurs doivent donc associer les indicateurs fournis par le fournisseur à une recherche fondée sur les comportements et à un examen forensique.

Tout système FMC accessible depuis Internet et appartenant aux plages de versions concernées doit être considéré comme une cible d’investigation prioritaire. Lorsqu’une compromission est établie, les équipes d’intervention doivent partir du principe que les identifiants et le trafic visibles par l’appliance ont pu être exposés et étendre l’enquête aux réseaux qu’elle gère.