flawopen.com/Incidents/cisco-fmc-auth-bypass-qilin-sandworm-intrusions-september-2026

● Cisco Secure Firewall Management Center · CVE-2026-20079 · 2026-09-09 · CVSS 10.0 · 編集上の深刻度：緊急

セキュリティ研究 · FlawOpen

Cisco FMCへの攻撃：認証バイパス、Sandworm、Qilin

Cisco Talosは、Cisco Secure Firewall Management Center（FMC）を狙う3つの異なる侵入グループを記録しました。CVSS 10.0の認証バイパス、別個の静的認証情報の脆弱性、認証情報窃取からCyclops Blink、Qilinランサムウェアまで異なる侵入後の動きが含まれます。^{[1], [2], [3]}

💡 わかりやすい解説 (ELI5)

ファイアウォール管理装置は、多数のネットワークの扉を制御する司令室です。侵入者が司令室を掌握すると、鍵を盗んだり、監視を変えたり、建物に入る隠れた通路として使ったりできます。Talosは侵害されたFMCを3つのグループが異なる方法で利用する様子を確認したため、更新と侵害調査の両方が必要です。^[1]

主要な概念と専門用語

管理プレーン: ファイアウォール機器を管理するFMCのインターフェースとサービスです。侵害されると認証情報が漏れ、管理対象ネットワークへの踏み台になる可能性があります。^{[1], [2]}
CVE-2026-20079 (CWE-288): Ciscoはこの認証バイパスをCVSS 10.0と評価しています。アドバイザリによると、起動時に作成される不適切なシステムプロセスにより、未認証のリモート攻撃者がスクリプトを実行してroot権限を得る可能性があります。^[2]
CVE-2026-20316 (CWE-259): 別個のCVSS 5.3の静的認証情報の脆弱性で、低権限アカウントでのログインを許します。Ciscoは他のFMC脆弱性と組み合わせて影響を拡大できると説明しており、CVE-2026-20079と同じ脆弱性ではありません。^[3]
侵入グループ: 侵入後に関連する行動を追跡したまとまりです。Talosは3グループを区別しており、アクセス方法と結果を単一の共通チェーンとして扱うべきではありません。^[1]
インシデント影響度の評価: FlawOpenの編集上の評価は「重大」です。CiscoはCVE-2026-20079をCVSS 10.0と評価し、Talosは侵害後にCyclops BlinkまたはQilinランサムウェアへ至る経路を記録しています。このインシデント全体の評価は、別個の脆弱性CVE-2026-20316自体が重大という意味ではありません。Ciscoによる同CVEの評価はCVSS 5.3です。^{[2], [1], [3]}

フレームワーク対応

このガイドで説明する弱点の CWE 参照： CWE-259 CWE-288
CISA KEV — 追加日 2026-09-09 — CVE-2026-20079

インシデントのタイムライン

2026-03-04

CiscoはCVE-2026-20079を公表し、CVE-2026-20316は7月29日に公表されました。^{[2], [3]}

2026-07〜2026-08

Ciscoは後に、PSIRTがCVE-2026-20316の悪用を7月、CVE-2026-20079の悪用を8月に把握したと説明しました。^{[2], [3]}

2026-09-09

Talosは3つのグループと、それぞれ異なる侵入後の活動を報告しました。^[1]

2026-09-16

Ciscoは両CVEと社内で発見した他の脆弱性を修正するhardeningリリースを公開しました。^{[4], [2], [3]}

ステップ・バイ・ステップの攻撃フロー

ステップ 1

異なる2つのアクセス脆弱性

CVE-2026-20079はWebインターフェースの認証を未認証で迂回し、root権限でスクリプトを実行できます。CVE-2026-20316は低権限アカウントの静的認証情報に関するものです。一部の侵入では併用されましたが、別々の脆弱性です。^{[2], [3]}

ステップ 2

Talosが追跡した3つの異なるグループ

UAT-12197はCVE-2026-20079を使い、認証情報を得るためWebシェルとJARベースのコマンド実行器を配置しました。UAT-11823は両CVEを使い、プロキシ／reverse shellツールとCyclops Blinkの亜種を配置しました。TalosはSandwormとのツールの重複を報告しています。^{[1], [2], [3]}

ステップ 3

Qilinの活動は別の経路

TalosによるとUAT-11988は静的認証情報の脆弱性でログインし、偵察と認証情報窃取、トンネル構築を行い、一部の端末にQilinランサムウェアを展開しました。Talosはこのグループをランサムウェア運用者と高い確度で評価しています。^{[1], [3]}

ステップ 4

修正と侵害調査を分けて行う

Ciscoが文書化したログ確認は、悪用の可能性を示す手掛かりになります。hotfixやhardening版は今後の悪用を防ぎますが、既に起きた侵害を解消するとは限らないとCiscoは警告しています。該当する兆候があればTACに連絡してください。^{[2], [3], [4]}

ソースコード比較：脆弱 vs 堅牢化

この短いPython例は認可境界を示すもので、Cisco FMCのソースコードでも、いずれかのCVEの再現でもありません。脆弱な形では本人確認や権限確認なしに特権操作を実行します。修正後の形では認証と明示的な管理権限の両方を要求します。CiscoはCVE-2026-20079を起動時に作成される不適切なシステムプロセスとだけ説明し、影響を受けた実装やパッチdiffは公開していません。この例はCiscoコードを再現すると主張せず、制御境界を説明します。^{[2], [3]}

脆弱な実装

def invoke_management_action(identity, action):
    return action.execute()

堅牢化されたセキュアパッチ

def invoke_management_action(identity, action):
    if identity is None:
        raise PermissionError('authentication required')
    if not identity.can_manage_firewall:
        raise PermissionError('management authorization required')
    return action.execute()

エンジニアリング＆システム堅牢化チェックリスト

✓Ciscoの現行アドバイザリにある該当ブランチの最初の修正版へオンプレミスFMCを更新してください。Cisco Software Checkerで製品、プラットフォーム、リリースを確認してください。hardening版には他のセキュリティ修正も含まれます。^{[2], [3], [5], [4]}
✓Ciscoによると、CVE-2026-20079はSaaS版Security Cloud Control Firewall Managementに影響しましたが、Ciscoが修正を適用済みです。CVE-2026-20316はSecurity Cloud Controlに影響しません。オンプレミスFMCには、別途、修正済みバージョンの案内に従ってください。^{[2], [3]}
✓ネットワーク制限をパッチとして扱わないでください。Ciscoは管理インターフェースを公開インターネットから切り離すと露出を減らせるとしていますが、どちらの脆弱性にも回避策はありません。^{[2], [3]}
✓FMC機器でCiscoが案内するexpertモードのログ確認を使い、package_info と license を検索してください。/var/tmp/license.tmp を含む一致は悪用された可能性を示しますが、それだけで侵害が確定するわけではありません。^{[2], [3], [1]}
✓該当する兆候や他の不審な活動があればログを保全し、復旧手順についてCisco TACに連絡してください。Ciscoはhotfixが今後の悪用を防いでも、侵害済み機器のクリーンアップにはならない可能性があると警告しています。^{[2], [3], [1]}
✓FlawOpenの運用ガイダンス：管理プレーンへのアクセスと独立したネットワークテレメトリーを確認し、認証情報の不審な使用、新規サービスやWebファイル、トンネル、管理装置から内部ホストへの接続を調べてください。各兆候を調査の手掛かりとし、管理対象機器と認証情報も対象にしてください。