FlawOpen

flawopen.com/Incidents/cisco-fmc-auth-bypass-qilin-sandworm-intrusions-september-2026

● Cisco Secure Firewall Management Center · CVE-2026-20079 · 2026-09-09 · CVSS 10.0 · Редакционная оценка: Критический
Исследования · FlawOpen

Атаки на Cisco FMC: обход аутентификации, Sandworm и Qilin

Cisco Talos описала три отдельные группы вторжений в Cisco Secure Firewall Management Center (FMC). Атаки включали обход аутентификации с CVSS 10.0, отдельную уязвимость статических учётных данных и действия после проникновения — от кражи учётных данных до Cyclops Blink и программы-вымогателя Qilin.[1], [2], [3]

💡 Простыми словами (ELI5)

Менеджер межсетевых экранов — это диспетчерская множества сетевых дверей. Захватив её, злоумышленник может украсть ключи, изменить наблюдение или использовать диспетчерскую как скрытый проход в здание. Talos наблюдала три группы, по-разному использовавшие взломанные системы FMC, поэтому важно и установить обновление, и проверить, что уже произошло.[1]

Ключевые понятия и термины

Плоскость управления
Интерфейс и службы FMC для администрирования межсетевых экранов. Компрометация может раскрыть учётные данные и дать точку перехода в управляемые сети.[1], [2]
CVE-2026-20079 (CWE-288)
Cisco оценивает этот обход аутентификации в CVSS 10.0. В бюллетене сказано, что созданный при загрузке системы ошибочный процесс может позволить удалённому анонимному нарушителю запускать скрипты и получить root-доступ.[2]
CVE-2026-20316 (CWE-259)
Отдельная уязвимость статических учётных данных с CVSS 5.3 позволяет войти под учётной записью с низкими привилегиями. Cisco указывает, что её можно объединить с другими уязвимостями FMC; это не та же ошибка, что CVE-2026-20079.[3]
Группа вторжения
Отслеживаемая совокупность связанных действий после проникновения. Talos разделила активность на три группы; их способы доступа и цели нельзя объединять в одну универсальную цепочку.[1]
Оценка последствий инцидента
Редакционная оценка FlawOpen — критическая: Cisco присвоила CVE-2026-20079 оценку CVSS 10,0, а Talos описала развитие компрометации вплоть до Cyclops Blink или шифровальщика Qilin. Эта оценка инцидента не означает, что сама CVE-2026-20316 критическая: Cisco оценивает эту отдельную уязвимость в CVSS 5,3.[2], [1], [3]

Связи со стандартами

Хронология инцидента

2026-03-04

Cisco раскрыла CVE-2026-20079; CVE-2026-20316 была раскрыта 29 июля.[2], [3]

2026-07 — 2026-08

Позднее Cisco сообщила, что PSIRT узнала об активной эксплуатации CVE-2026-20316 в июле, а CVE-2026-20079 — в августе.[2], [3]

2026-09-09

Talos описала три группы и их разные действия после проникновения.[1]

2026-09-16

Cisco выпустила версии hardening с исправлениями обеих CVE и других уязвимостей, обнаруженных внутри компании.[4], [2], [3]

Пошаговый сценарий атаки

Шаг 1

Две разные уязвимости доступа

CVE-2026-20079 позволяет без аутентификации обойти вход в веб-интерфейс и запускать скрипты с root-доступом. CVE-2026-20316 — статические учётные данные для учётной записи с низкими привилегиями. В некоторых вторжениях их использовали вместе, но это две разные уязвимости.[2], [3]

Шаг 2

Talos отслеживала три разные группы

UAT-12197 использовала CVE-2026-20079 и установила веб-оболочку и JAR-модуль выполнения команд для получения учётных данных. UAT-11823 использовала обе CVE, затем развернула прокси/обратную оболочку и вариант Cyclops Blink; Talos отмечает пересечение инструментов с Sandworm.[1], [2], [3]

Шаг 3

Активность Qilin шла отдельно

По данным Talos, UAT-11988 вошла с помощью уязвимости статических учётных данных, провела разведку и похищение учётных данных, создала туннели и запустила программу-вымогатель Qilin на отдельных конечных узлах. Talos с высокой уверенностью считает эту группу оператором ransomware.[1], [3]

Шаг 4

Обновление и расследование — отдельные задачи

Описанная Cisco проверка журналов может указать на возможную эксплуатацию. Hotfix или версия hardening блокирует будущую эксплуатацию, но Cisco предупреждает, что это может не устранить уже существующую компрометацию; при наличии индикатора обратитесь в TAC.[2], [3], [4]

Исходный код: Уязвимый vs Защищённый вариант

Этот короткий пример на Python иллюстрирует границу авторизации; это не исходный код Cisco FMC и не реконструкция CVE. Уязвимый вариант запускает привилегированное действие без проверки личности и прав; защищённый вариант требует аутентификации и явного разрешения на управление. Cisco описывает CVE-2026-20079 только как ошибочный системный процесс, создаваемый при загрузке, и не публикует затронутую реализацию или diff исправления. Пример объясняет границу контроля, не выдавая её за код Cisco.[2], [3]

УЯЗВИМАЯ РЕАЛИЗАЦИЯ
def invoke_management_action(identity, action):
    return action.execute()
БЕЗОПАСНЫЙ ИСПРАВЛЕННЫЙ ВАРИАНТ
def invoke_management_action(identity, action):
    if identity is None:
        raise PermissionError('authentication required')
    if not identity.can_manage_firewall:
        raise PermissionError('management authorization required')
    return action.execute()

Чек-лист по защите системы для инженеров

Источники