Vulnerabilità Cisco FMC senza autenticazione sfruttate dal ransomware Qilin e da hacker legati a Sandworm

Le vulnerabilità di Cisco Secure Firewall Management Center sono sfruttate attivamente da tre cluster di minacce impegnati nella distribuzione di ransomware, nel furto di credenziali, nello spionaggio e nel mantenimento dell’accesso alla rete.

Gli attacchi prendono di mira CVE-2026-20079, una vulnerabilità critica che consente di aggirare l’autenticazione ed eseguire comandi con privilegi root, e CVE-2026-20316, che espone credenziali statiche per un account con privilegi ridotti. Cisco ha rilasciato hot fix e invita i clienti a installarli immediatamente.

Cisco Talos monitora i gruppi con le sigle UAT-12197, UAT-11823 e UAT-11988. La loro attività dimostra come la compromissione di un sistema centralizzato per la gestione dei firewall possa esporre credenziali, configurazioni dei dispositivi, servizi interni ed endpoint situati oltre il perimetro di sicurezza.

Due vulnerabilità di FMC offrono percorsi diversi per compromettere l’appliance

CVE-2026-20079 interessa l’interfaccia web di Cisco Secure Firewall Management Center 7.0.0. Ha ottenuto il punteggio CVSS v3 massimo, pari a 10,0, con il vettore CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H.

La vulnerabilità è classificata come CWE-288, ovvero un bypass dell’autenticazione attraverso un percorso o un canale alternativo. La creazione errata di un processo di sistema durante l’avvio consente a un attaccante remoto non autenticato di inviare richieste HTTP appositamente predisposte, eseguire file di script e ottenere potenzialmente l’accesso root al sistema operativo sottostante.

Non sono necessarie né l’interazione dell’utente né un account preesistente. Per questo, un’interfaccia di gestione esposta a Internet rappresenta un bersaglio particolarmente pericoloso.

CVE-2026-20316 interessa le versioni di Cisco Secure Firewall Management Center fino alla 7.0.9 inclusa. Ha ottenuto un punteggio CVSS v3 di 5,3, con il vettore CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N.

Questa seconda vulnerabilità, classificata come CWE-259, deriva dalla presenza di credenziali statiche incorporate per un account con privilegi ridotti. Un attaccante non autenticato può utilizzare tali credenziali per accedere alle informazioni disponibili per quell’account.

Il punteggio più basso non riflette l’intero rischio operativo. Cisco considera il problema di gravità elevata perché gli attaccanti possono combinare l’accesso iniziale con altre vulnerabilità di FMC per aumentare i privilegi e penetrare più a fondo nell’ambiente gestito.

Cisco ha fornito hot fix per entrambe le vulnerabilità. Le informazioni disponibili non indicano i numeri esatti delle build corrette, mentre per la prossima settimana è previsto un aggiornamento più ampio per il rafforzamento di FMC, che risolverà ulteriori vulnerabilità.

Gli operatori di Qilin hanno trasformato le credenziali statiche in un accesso utile al ransomware

Talos attribuisce con elevata confidenza UAT-11988 ad affiliati dell’operazione ransomware Qilin. Gli attaccanti hanno inizialmente effettuato l’accesso a un’appliance FMC utilizzando le credenziali statiche associate a CVE-2026-20316.

Dopo aver effettuato l’accesso, hanno sfruttato le funzionalità legittime di FMC per mappare l’ambiente della vittima. Le informazioni raccolte comprendevano nomi host, indirizzi IP, elenchi di directory, inventari dei computer, informazioni sul dominio e associazioni tra i server interni e i relativi indirizzi.

Gli operatori hanno inoltre ottenuto credenziali di account di servizio Active Directory, credenziali MySQL e altri dati relativi agli account di dominio. Hanno raccolto le informazioni sottratte in file esposti tramite il server FMC compromesso, quindi hanno scaricato tali file con richieste HTTP GET.

Per raggiungere i sistemi oltre l’appliance, gli attaccanti hanno configurato un proxy SOCKS5 in Python e un reverse SSH tunnel. Il port forwarding ha fornito loro percorsi verso i servizi LDAP, LDAPS, Kerberos, SMB, NetBIOS e WinRM presenti nella rete interna.

Il loro kit comprendeva Impacket, Invoke-TheHash e utility personalizzate progettate per terminare o disabilitare i software di endpoint detection and response. L’operazione si è conclusa con la distribuzione del ransomware Qilin sugli endpoint e la cifratura dei file.

La sequenza degli eventi dimostra che l’accesso a FMC con privilegi ridotti può trasformarsi in un ponte verso l’infrastruttura delle identità e i servizi di amministrazione Windows se non viene adeguatamente isolato.

Il cluster legato a Sandworm ha distribuito una variante di Cyclops Blink

Talos associa UAT-11823 a un attore avanzato di minaccia persistente i cui strumenti presentano sovrapposizioni con Sandworm, il gruppo sponsorizzato dallo Stato russo e collegato al GRU. Il cluster ha sfruttato entrambe le vulnerabilità di FMC durante le intrusioni osservate.

Gli operatori hanno ottenuto l’accesso attraverso il bypass dell’autenticazione di CVE-2026-20079 oppure tramite le credenziali statiche esposte da CVE-2026-20316. Hanno quindi modificato un file denominato license.tmp per configurare una reverse shell Netcat collegata all’infrastruttura di comando e controllo.

Una utility legittima di Cisco, package_info.pl, è stata utilizzata per eseguire il file di licenza dannoso con privilegi root. La tecnica ha combinato contenuti controllati dagli attaccanti con un componente amministrativo affidabile già presente sull’appliance.

Il gruppo ha inoltre eseguito script per raccogliere i dati di configurazione dei dispositivi gestiti da FMC. Le informazioni sono state compresse in archivi in preparazione dell’esfiltrazione.

Il payload finale era una variante di Cyclops Blink. Il malware Linux modulare garantiva l’accesso persistente, acquisiva credenziali e intercettava il traffico di rete.

Questa attività chiarisce anche un’incertezza precedente relativa alle due vulnerabilità. Cisco aveva comunicato lo sfruttamento di CVE-2026-20316 il 29 luglio 2026, indicando /var/tmp/license.tmp come indicatore. In seguito, l’azienda aveva inserito lo stesso indicatore nelle informazioni relative a CVE-2026-20079 senza confermare alcun collegamento.

Talos ha ora ricondotto il meccanismo a UAT-11823 e ha confermato che il cluster ha sfruttato entrambe le vulnerabilità.

Un terzo cluster ha installato una backdoor Java per l’esecuzione di comandi

UAT-12197 ha seguito un percorso post-exploitation diverso dopo aver sfruttato CVE-2026-20079. Gli attaccanti hanno collocato una web shell JSP nella directory webroot di Tomcat di Cisco Security Manager.

La web shell ha installato un archivio Java dannoso denominato cmd.jar, che consentiva di eseguire comandi sul server compromesso. In seguito, gli operatori hanno interrogato i database interni e raccolto record di autenticazione degli utenti e credenziali.

Sebbene per UAT-12197 non siano stati resi noti né episodi di ransomware né legami con gruppi sponsorizzati da Stati, la sua attività ha prodotto la stessa conseguenza principale: l’appliance per la gestione dei firewall è diventata una piattaforma per accedere a dati oltre il ruolo amministrativo previsto.

Le scadenze CISA riflettono lo sfruttamento confermato

CISA ha aggiunto CVE-2026-20316 al catalogo Known Exploited Vulnerabilities il 29 luglio 2026. Per le agenzie federali statunitensi, la scadenza per la remediation era il primo agosto 2026.

CVE-2026-20079 è entrata nel catalogo KEV il 9 settembre 2026, con scadenza per la remediation federale il 12 settembre 2026. La sua inclusione conferma che il problema non è soltanto teorico.

Per entrambe le vulnerabilità, CISA richiede misure di mitigazione in linea con le istruzioni di Cisco, con BOD 26-04 e con i Forensics Triage Requirements dell’agenzia. È inoltre necessario seguire le indicazioni applicabili ai servizi cloud. Quando le misure di mitigazione non sono disponibili, CISA ordina alle organizzazioni interessate di interrompere l’utilizzo del prodotto.

Queste vulnerabilità si aggiungono ad altri problemi di sicurezza Cisco inseriti nel catalogo KEV negli ultimi 90 giorni: CVE-2026-20349 l’11 agosto 2026; CVE-2008-4128 il 13 luglio 2026; CVE-2026-20230 il 25 giugno 2026; e CVE-2026-20262 il 15 giugno 2026.

L’applicazione delle patch deve essere accompagnata dalla verifica di una possibile compromissione

Gli amministratori devono installare immediatamente gli hot fix di Cisco per entrambe le vulnerabilità e prepararsi a valutare l’aggiornamento più ampio per il rafforzamento previsto la prossima settimana. È necessario verificare in particolare l’esposizione di FMC 7.0.0 a CVE-2026-20079 e delle versioni fino alla 7.0.9 a CVE-2026-20316.

L’applicazione delle patch, da sola, non può rimuovere gli artefatti o le credenziali lasciati da un’intrusione precedente. I team di sicurezza dovrebbero verificare la presenza di:

• /var/tmp/license.tmp o di altri file license.tmp modificati
• Esecuzioni anomale di package_info.pl
• Reverse shell Netcat, proxy SOCKS5 in Python e reverse SSH tunnel
• Web shell JSP nelle directory webroot di Tomcat
• L’archivio dannoso cmd.jar
• File accessibili pubblicamente contenenti dati di ricognizione raccolti dagli attaccanti
• Richieste HTTP GET utilizzate per recuperare tali file
• Impacket, Invoke-TheHash o strumenti che disabilitano i prodotti EDR
• Inoltri imprevisti del traffico LDAP, LDAPS, Kerberos, SMB, NetBIOS o WinRM
• Componenti di Cyclops Blink o attività riconducibili al ransomware Qilin

Le organizzazioni dovrebbero inoltre esaminare le azioni amministrative eseguite in FMC, le esportazioni delle configurazioni dei dispositivi gestiti, le query ai database e gli accessi ai servizi interni per la gestione delle identità.

Le credenziali potenzialmente esposte di Active Directory, dei domini, degli account di servizio, di MySQL e di FMC devono essere ruotate. Gli investigatori dovrebbero presumere che le credenziali archiviate su un’appliance di gestione compromessa, o raggiungibili dalla stessa, possano essere state raccolte, anche se non sono state osservate attività ransomware.

Se non è possibile mitigare un’istanza FMC vulnerabile, CISA ordina di interromperne l’utilizzo invece di lasciare operativo un piano di gestione esposto allo sfruttamento.