FlawOpen

flawopen.com/Incidents/cisco-fmc-auth-bypass-qilin-sandworm-intrusions-september-2026

● Cisco Secure Firewall Management Center · CVE-2026-20079 · 2026-09-09 · CVSS 10.0 · Sévérité éditoriale : Critique
Recherche · FlawOpen

Attaques contre Cisco FMC : bypass, Sandworm et Qilin

Cisco Talos a documenté trois groupes d’intrusion distincts visant Cisco Secure Firewall Management Center (FMC). Les activités combinent un contournement d’authentification CVSS 10.0, une faille distincte de justificatifs statiques et des suites allant du vol d’identifiants à Cyclops Blink et au rançongiciel Qilin.[1], [2], [3]

💡 Explication en Langage Simple (ELI5)

Le gestionnaire de pare-feu est la salle de contrôle de nombreuses portes réseau. Si un intrus prend cette salle, il peut voler les clés, modifier la surveillance ou s’en servir comme passage discret dans le bâtiment. Talos a observé trois groupes utiliser les FMC compromis différemment : il faut donc corriger le gestionnaire et rechercher les traces de compromission.[1]

Concepts Clés et Termes

Plan de gestion
L’interface et les services FMC qui administrent les pare-feu. Une compromission peut exposer des identifiants et servir de point de pivot vers les réseaux gérés.[1], [2]
CVE-2026-20079 (CWE-288)
Cisco classe cette faille de contournement d’authentification CVSS 10.0. Son avis indique qu’un processus système créé au démarrage peut permettre à un attaquant distant non authentifié d’exécuter des scripts et d’obtenir les droits root.[2]
CVE-2026-20316 (CWE-259)
Une faille distincte de justificatifs statiques, CVSS 5.3, permet une connexion avec un compte peu privilégié. Cisco indique qu’elle peut se combiner à d’autres failles FMC pour accroître l’impact ; ce n’est pas la même faille que CVE-2026-20079.[3]
Groupe d’intrusion
Ensemble suivi de comportements liés après compromission. Talos a distingué trois groupes ; leurs accès et leurs objectifs ne doivent pas être fusionnés en une chaîne unique.[1]
Évaluation de l’impact de l’incident
La gravité éditoriale de FlawOpen est Critique, car Cisco attribue un score CVSS de 10,0 à CVE-2026-20079 et Talos documente des suites de compromission menant à Cyclops Blink ou au rançongiciel Qilin. Cette évaluation de l’incident ne signifie pas que CVE-2026-20316 est elle-même Critique : Cisco attribue un score CVSS de 5,3 à cette faille distincte.[2], [1], [3]

Correspondances de référentiels

Chronologie de l'Incident

2026-03-04

Cisco a rendu publique CVE-2026-20079 ; CVE-2026-20316 a été divulguée le 29 juillet.[2], [3]

2026-07 à 2026-08

Cisco a ensuite indiqué que son PSIRT avait eu connaissance d’exploitations actives de CVE-2026-20316 en juillet et de CVE-2026-20079 en août.[2], [3]

2026-09-09

Talos a décrit trois groupes et leurs activités post-compromission distinctes.[1]

2026-09-16

Cisco a publié des versions de durcissement corrigeant les deux CVE ainsi que d’autres failles découvertes en interne.[4], [2], [3]

Déroulement de l'Attaque Étape par Étape

Étape 1

Deux failles d’accès distinctes

CVE-2026-20079 est un contournement non authentifié de l’interface Web qui permet l’exécution de scripts avec les droits root. CVE-2026-20316 correspond à des identifiants statiques pour un compte peu privilégié. Certaines intrusions les combinent, mais elles restent deux vulnérabilités distinctes.[2], [3]

Étape 2

Talos a suivi trois groupes différents

UAT-12197 a exploité CVE-2026-20079 et déployé un web shell et un exécuteur de commandes JAR pour obtenir des identifiants. UAT-11823 a utilisé les deux CVE, puis déployé des outils de proxy/reverse shell et une variante de Cyclops Blink ; Talos relève un chevauchement d’outils avec Sandworm.[1], [2], [3]

Étape 3

L’activité Qilin a suivi une autre voie

Selon Talos, UAT-11988 s’est connecté grâce à la faille d’identifiants statiques, a mené des reconnaissances et des vols d’identifiants, établi des tunnels et déployé le rançongiciel Qilin sur certains postes. Talos estime avec un haut niveau de confiance qu’il s’agissait d’un opérateur de rançongiciel.[1], [3]

Étape 4

Corrigez puis recherchez les compromissions

La vérification des journaux documentée par Cisco peut signaler une exploitation possible. Un correctif ou une version de durcissement bloque les exploitations futures, mais Cisco avertit qu’il ne nettoie pas nécessairement une compromission existante ; contactez le TAC si l’indicateur apparaît.[2], [3], [4]

Code Source : Vulnérable vs Sécurisé

Ce court exemple Python illustre une frontière d’autorisation ; ce n’est ni du code Cisco FMC ni une reconstitution des CVE. La forme vulnérable déclenche une action privilégiée sans vérifier l’identité ni les droits ; la forme durcie exige une authentification et une autorisation explicite de gestion. Cisco décrit CVE-2026-20079 uniquement comme un processus système incorrect créé au démarrage et ne publie ni l’implémentation concernée ni le diff du correctif. L’exemple enseigne la frontière de contrôle sans prétendre reproduire le code Cisco.[2], [3]

IMPLÉMENTATION VULNÉRABLE
def invoke_management_action(identity, action):
    return action.execute()
PATCH SÉCURISÉ ET ROBUSTE
def invoke_management_action(identity, action):
    if identity is None:
        raise PermissionError('authentication required')
    if not identity.can_manage_firewall:
        raise PermissionError('management authorization required')
    return action.execute()

Liste de Contrôle de Sécurité pour l'Ingénierie

Sources