flawopen.com/Incidents/cisco-fmc-auth-bypass-qilin-sandworm-intrusions-september-2026

● Cisco Secure Firewall Management Center · CVE-2026-20079 · 2026-09-09 · CVSS 10.0 · संपादकीय गंभीरता: अति गंभीर

सुरक्षा अनुसंधान · FlawOpen

Cisco FMC पर हमले: प्रमाणीकरण बायपास, Sandworm और Qilin

Cisco Talos ने Cisco Secure Firewall Management Center (FMC) को निशाना बनाने वाले तीन अलग घुसपैठ समूह दर्ज किए। गतिविधियों में CVSS 10.0 प्रमाणीकरण बायपास, अलग स्थिर-क्रेडेंशियल कमजोरी और क्रेडेंशियल चोरी से लेकर Cyclops Blink तथा Qilin रैनसमवेयर तक के अलग-अलग बाद के चरण शामिल थे।^{[1], [2], [3]}

💡 आसान भाषा में (ELI5)

फ़ायरवॉल मैनेजर कई नेटवर्क दरवाज़ों का नियंत्रण कक्ष है। घुसपैठिया नियंत्रण कक्ष पर कब्ज़ा कर ले तो वह चाबियाँ चुरा सकता है, निगरानी बदल सकता है या इमारत में जाने के लिए छिपा रास्ता बना सकता है। Talos ने देखा कि तीन समूहों ने compromised FMC को अलग-अलग तरह से इस्तेमाल किया, इसलिए अपडेट और घटना-जाँच दोनों ज़रूरी हैं।^[1]

इस पेज के मुख्य शब्द

प्रबंधन स्तर: फ़ायरवॉल उपकरणों के प्रशासन के लिए FMC का इंटरफ़ेस और सेवाएँ। समझौता होने पर क्रेडेंशियल उजागर हो सकते हैं और प्रबंधित नेटवर्क में आगे बढ़ने का रास्ता मिल सकता है।^{[1], [2]}
CVE-2026-20079 (CWE-288): Cisco इस प्रमाणीकरण बायपास को CVSS 10.0 देता है। सलाह के अनुसार, बूट के समय बना गलत सिस्टम प्रोसेस दूरस्थ, बिना प्रमाणीकरण वाले हमलावर को स्क्रिप्ट चलाने और root अधिकार पाने दे सकता है।^[2]
CVE-2026-20316 (CWE-259): अलग CVSS 5.3 स्थिर-क्रेडेंशियल कमजोरी कम-अधिकार वाले खाते से लॉगिन की अनुमति देती है। Cisco के अनुसार इसे अन्य FMC खामियों के साथ जोड़कर असर बढ़ाया जा सकता है; यह CVE-2026-20079 वाली खामी नहीं है।^[3]
घुसपैठ समूह: समझौते के बाद देखे गए संबंधित व्यवहारों का ट्रैक किया हुआ समूह। Talos ने तीन समूह अलग रखे; उनके प्रवेश तरीकों और नतीजों को एक सामान्य श्रृंखला नहीं मानना चाहिए।^[1]
घटना के प्रभाव का आकलन: FlawOpen का संपादकीय आकलन गंभीर है, क्योंकि Cisco ने CVE-2026-20079 को CVSS 10.0 दिया और Talos ने समझौते के बाद Cyclops Blink या Qilin ransomware तक पहुँचने वाले रास्ते दर्ज किए। घटना का यह आकलन यह नहीं बताता कि अलग कमजोरी CVE-2026-20316 भी गंभीर है; Cisco ने उसे CVSS 5.3 दिया है।^{[2], [1], [3]}

फ्रेमवर्क मैपिंग

इस गाइड में बताई गई कमजोरी के लिए CWE संदर्भ: CWE-259 CWE-288
CISA KEV — जोड़ा गया 2026-09-09 — CVE-2026-20079

घटना का समयक्रम (Timeline)

2026-03-04

Cisco ने CVE-2026-20079 सार्वजनिक की; CVE-2026-20316 29 जुलाई को सामने आई।^{[2], [3]}

2026-07 से 2026-08

Cisco ने बाद में बताया कि PSIRT को CVE-2026-20316 के सक्रिय शोषण की जानकारी जुलाई में और CVE-2026-20079 की अगस्त में मिली।^{[2], [3]}

2026-09-09

Talos ने तीन समूहों और उनकी अलग-अलग घुसपैठ-पश्चात गतिविधियों का विवरण दिया।^[1]

2026-09-16

Cisco ने hardening रिलीज़ जारी कीं, जिनमें दोनों CVE और आंतरिक रूप से मिली अन्य खामियों के सुधार शामिल हैं।^{[4], [2], [3]}

हमले का चरण-दर-चरण प्रवाह

चरण 1

पहुँच की दो अलग खामियाँ

CVE-2026-20079 वेब इंटरफ़ेस का प्रमाणीकरण बिना लॉगिन के बायपास कर root अधिकार से स्क्रिप्ट चलाने देता है। CVE-2026-20316 कम-अधिकार खाते के स्थिर क्रेडेंशियल से जुड़ी है। कुछ घुसपैठ में दोनों का इस्तेमाल हुआ, पर ये अलग कमजोरियाँ हैं।^{[2], [3]}

चरण 2

Talos ने तीन अलग समूह देखे

UAT-12197 ने CVE-2026-20079 से web shell और JAR-आधारित command executor रखा और क्रेडेंशियल हासिल किए। UAT-11823 ने दोनों CVE इस्तेमाल कीं, फिर proxy/reverse-shell उपकरण और Cyclops Blink का एक रूप तैनात किया; Talos ने Sandworm के साथ उपकरणों का मेल बताया।^{[1], [2], [3]}

चरण 3

Qilin की गतिविधि अलग रास्ते से चली

Talos के अनुसार UAT-11988 ने स्थिर-क्रेडेंशियल खामी से लॉगिन किया, जाँच और क्रेडेंशियल चोरी की, टनल बनाए और चुने हुए एंडपॉइंट पर Qilin रैनसमवेयर चलाया। Talos का उच्च विश्वास है कि यह रैनसमवेयर ऑपरेटर था।^{[1], [3]}

चरण 4

पैच और समझौता-जाँच अलग रखें

Cisco की दस्तावेज़ित लॉग-जाँच संभावित शोषण का संकेत दे सकती है। hotfix या hardening रिलीज़ भविष्य के शोषण को रोकती है, लेकिन पहले से हुए समझौते को साफ़ करना सुनिश्चित नहीं करती; संकेत मिलने पर TAC से संपर्क करें।^{[2], [3], [4]}

सोर्स कोड: कमज़ोर बनाम सुरक्षित कार्यान्वयन

यह छोटा Python उदाहरण authorization boundary समझाने के लिए है; यह Cisco FMC का source code या किसी CVE का पुनर्निर्माण नहीं है। कमजोर रूप पहचान या अनुमति जाँचे बिना विशेषाधिकार वाला काम चलाता है; सुरक्षित रूप प्रमाणीकरण और स्पष्ट प्रबंधन-अधिकार दोनों माँगता है। Cisco CVE-2026-20079 को केवल boot पर बनाए गए गलत सिस्टम प्रोसेस के रूप में बताता है और प्रभावित implementation या patch diff प्रकाशित नहीं करता। उदाहरण नियंत्रण-सीमा सिखाता है, Cisco code होने का दावा नहीं करता।^{[2], [3]}

कमज़ोर कार्यान्वयन

def invoke_management_action(identity, action):
    return action.execute()

सुरक्षित और सुदृढ़ फ़िक्स

def invoke_management_action(identity, action):
    if identity is None:
        raise PermissionError('authentication required')
    if not identity.can_manage_firewall:
        raise PermissionError('management authorization required')
    return action.execute()

इंजीनियरिंग और सिस्टम सुरक्षा चेकलिस्ट

✓स्थानीय FMC को Cisco की मौजूदा सलाह में संबंधित शाखा की पहली fixed release पर अपडेट करें। सही product, platform और release के लिए Cisco Software Checker का उपयोग करें; hardening रिलीज़ में अन्य सुरक्षा सुधार भी हैं।^{[2], [3], [5], [4]}
✓Cisco के अनुसार CVE-2026-20079 से उसका SaaS Security Cloud Control Firewall Management सेवा प्रभावित थी, लेकिन Cisco ने सुधार लागू कर दिया है; CVE-2026-20316 से Security Cloud Control प्रभावित नहीं है। ऑन-प्रिमाइज़ FMC के लिए अलग से फिक्स्ड-वर्ज़न मार्गदर्शन अपनाएँ।^{[2], [3]}
✓नेटवर्क प्रतिबंध को patch न मानें। Cisco कहता है कि management interface सार्वजनिक इंटरनेट से दूर होने पर exposure घटता है, लेकिन इन दोनों कमजोरियों का कोई workaround नहीं है।^{[2], [3]}
✓FMC पर Cisco द्वारा बताई expert-mode log जाँच से package_info और license खोजें; /var/tmp/license.tmp वाला मिलान बताता है कि उपकरण का शोषण हुआ हो सकता है, यह अपने आप में समझौते का प्रमाण नहीं है।^{[2], [3], [1]}
✓यह संकेत या अन्य संदिग्ध गतिविधि मिले तो लॉग सुरक्षित रखें और recovery guidance के लिए Cisco TAC से संपर्क करें। Cisco चेतावनी देता है कि hotfix भविष्य के शोषण को रोकती है, पर समझौता हो चुके उपकरण को साफ़ नहीं भी कर सकती।^{[2], [3], [1]}
✓FlawOpen की परिचालन सलाह: Management-plane पहुँच और स्वतंत्र नेटवर्क telemetry जाँचें: क्रेडेंशियल का असामान्य उपयोग, नई सेवाएँ या web files, tunnels, और मैनेजर से आंतरिक host तक कनेक्शन देखें। हर संकेत को जाँच की शुरुआत मानें और managed उपकरणों तथा क्रेडेंशियल को भी दायरे में लें।