FlawOpen

flawopen.com/Incidents/cisco-fmc-auth-bypass-qilin-sandworm-intrusions-september-2026

● Cisco Secure Firewall Management Center · CVE-2026-20079 · 2026-09-09 · CVSS 10.0 · Tingkat keparahan editorial: Kritis
Riset Keamanan · FlawOpen

Serangan Cisco FMC: bypass autentikasi, Sandworm, dan Qilin

Cisco Talos mencatat tiga kelompok intrusi berbeda yang menargetkan Cisco Secure Firewall Management Center (FMC). Aktivitasnya mencakup bypass autentikasi CVSS 10.0, celah kredensial statis yang terpisah, serta rangkaian pascakompromi mulai dari pencurian kredensial hingga Cyclops Blink dan ransomware Qilin.[1], [2], [3]

💡 Penjelasan Sederhana (ELI5)

Pengelola firewall adalah ruang kendali bagi banyak pintu jaringan. Jika penyusup mengambil alih ruang kendali, mereka dapat mencuri kunci, mengubah pemantauan, atau menjadikannya jalur tersembunyi ke dalam gedung. Talos melihat tiga kelompok memakai sistem FMC yang dikompromi dengan cara berbeda, sehingga pembaruan dan penyelidikan insiden sama-sama diperlukan.[1]

Konsep Kunci & Istilah

Plane manajemen
Antarmuka dan layanan FMC untuk mengelola perangkat firewall. Kompromi dapat mengekspos kredensial dan menjadi pijakan menuju jaringan yang dikelola.[1], [2]
CVE-2026-20079 (CWE-288)
Cisco memberi celah bypass autentikasi ini skor CVSS 10.0. Advisori menyebut proses sistem yang keliru saat boot dapat memungkinkan penyerang jarak jauh tanpa autentikasi menjalankan skrip dan memperoleh akses root.[2]
CVE-2026-20316 (CWE-259)
Celah kredensial statis terpisah dengan CVSS 5.3 ini memungkinkan login memakai akun berhak rendah. Cisco menyatakan celah ini dapat digabungkan dengan kelemahan FMC lain untuk meningkatkan dampak; ini bukan celah yang sama dengan CVE-2026-20079.[3]
Kelompok intrusi
Kumpulan perilaku pascakompromi terkait yang dilacak. Talos memisahkan tiga kelompok; cara akses dan dampaknya jangan digabung menjadi satu rantai yang berlaku umum.[1]
Penilaian dampak insiden
Penilaian editorial FlawOpen adalah Kritis karena Cisco memberi CVSS 10,0 untuk CVE-2026-20079 dan Talos mendokumentasikan jalur pascakompromi yang berujung pada Cyclops Blink atau ransomware Qilin. Penilaian pada tingkat insiden ini tidak berarti CVE-2026-20316 sendiri Kritis; Cisco memberi CVSS 5,3 pada kelemahan yang terpisah tersebut.[2], [1], [3]

Pemetaan kerangka kerja

Kronologi Insiden

2026-03-04

Cisco mengungkap CVE-2026-20079; CVE-2026-20316 diungkap pada 29 Juli.[2], [3]

2026-07 hingga 2026-08

Cisco kemudian menyatakan PSIRT mengetahui eksploitasi aktif CVE-2026-20316 pada Juli dan CVE-2026-20079 pada Agustus.[2], [3]

2026-09-09

Talos menjelaskan tiga kelompok dan aktivitas pascakompromi mereka yang berbeda.[1]

2026-09-16

Cisco menerbitkan rilis hardening yang memperbaiki kedua CVE dan kelemahan lain yang ditemukan secara internal.[4], [2], [3]

Alur Serangan Langkah demi Langkah

Langkah 1

Dua celah akses yang berbeda

CVE-2026-20079 membypass autentikasi antarmuka web tanpa login dan memungkinkan skrip berjalan dengan akses root. CVE-2026-20316 berkaitan dengan kredensial statis untuk akun berhak rendah. Sebagian intrusi memakai keduanya, tetapi keduanya merupakan kerentanan berbeda.[2], [3]

Langkah 2

Talos melacak tiga kelompok berbeda

UAT-12197 memakai CVE-2026-20079 lalu menaruh web shell dan eksekutor perintah berbasis JAR untuk memperoleh kredensial. UAT-11823 memakai kedua CVE, kemudian menyebarkan alat proxy/reverse shell dan varian Cyclops Blink; Talos melaporkan kemiripan alat dengan Sandworm.[1], [2], [3]

Langkah 3

Aktivitas Qilin menempuh jalur terpisah

Menurut Talos, UAT-11988 masuk melalui celah kredensial statis, melakukan pengintaian dan pencurian kredensial, membuat tunnel, lalu menyebarkan ransomware Qilin pada endpoint tertentu. Talos menilai dengan keyakinan tinggi bahwa kelompok ini adalah operator ransomware.[1], [3]

Langkah 4

Patch dan investigasi kompromi adalah langkah terpisah

Pemeriksaan log yang didokumentasikan Cisco dapat menunjukkan kemungkinan eksploitasi. Hotfix atau rilis hardening mencegah eksploitasi berikutnya, tetapi Cisco memperingatkan bahwa keduanya belum tentu membersihkan kompromi yang sudah terjadi; hubungi TAC jika indikator ditemukan.[2], [3], [4]

Kode Sumber: Rentan vs Aman

Contoh Python singkat ini menggambarkan batas otorisasi; ini bukan kode sumber Cisco FMC atau rekonstruksi CVE. Bentuk rentan menjalankan tindakan berhak istimewa tanpa memeriksa identitas atau izin; bentuk yang diperkuat mensyaratkan autentikasi dan otorisasi manajemen eksplisit. Cisco hanya menjelaskan CVE-2026-20079 sebagai proses sistem keliru yang dibuat saat boot dan tidak menerbitkan implementasi terdampak atau diff patch. Contoh ini mengajarkan batas kontrol tanpa mengklaim sebagai kode Cisco.[2], [3]

IMPLEMENTASI RENTAN
def invoke_management_action(identity, action):
    return action.execute()
PERBAIKAN AMAN & KUAT
def invoke_management_action(identity, action):
    if identity is None:
        raise PermissionError('authentication required')
    if not identity.can_manage_firewall:
        raise PermissionError('management authorization required')
    return action.execute()

Daftar Periksa Penguatan Sistem Rekayasa

Sumber