FlawOpen

flawopen.com/Incidents/cisco-fmc-auth-bypass-qilin-sandworm-intrusions-september-2026

● Cisco Secure Firewall Management Center · CVE-2026-20079 · 2026-09-09 · CVSS 10.0 · 编辑严重性评级： 严重
安全研究 · FlawOpen

Cisco FMC 遭攻击：身份验证绕过、Sandworm 与 Qilin

Cisco Talos 记录了针对 Cisco Secure Firewall Management Center（FMC）的三个不同入侵团伙。活动涉及 CVSS 10.0 身份验证绕过、另一项静态凭据漏洞，以及从凭据窃取到 Cyclops Blink 和 Qilin 勒索软件的不同后续路径。[1], [2], [3]

💡 通俗易懂的原理解析 (ELI5)

防火墙管理器就像控制许多网络门禁的控制室。入侵者控制控制室后，可以窃取钥匙、改变监控方式，或把它当作进入建筑的隐蔽通道。Talos 观察到三个团伙以不同方式利用被攻陷的 FMC，因此既要修补管理器，也要调查已经发生的活动。[1]

核心概念与专有名词

管理平面
用于管理防火墙设备的 FMC 界面和服务。遭入侵后可能暴露凭据，并成为进入受管网络的跳板。[1], [2]
CVE-2026-20079 (CWE-288)
Cisco 将此身份验证绕过漏洞评为 CVSS 10.0。公告称，启动时创建的异常系统进程可能让远程未认证攻击者执行脚本并取得 root 权限。[2]
CVE-2026-20316 (CWE-259)
另一项 CVSS 5.3 静态凭据漏洞允许攻击者以低权限账户登录。Cisco 表示它可与其他 FMC 漏洞配合扩大影响；它与 CVE-2026-20079 是不同漏洞。[3]
入侵团伙
一组被跟踪的相关入侵后行为。Talos 区分了三个团伙；不能将它们的访问方式和结果合并成一条普遍攻击链。[1]
事件影响评级
FlawOpen 将事件影响编辑性评为严重：Cisco 对 CVE-2026-20079 的 CVSS 评分为 10.0，Talos 记录了后续入侵活动最终部署 Cyclops Blink 或 Qilin 勒索软件的路径。此事件级评级不表示 CVE-2026-20316 本身为严重级别；Cisco 对该独立漏洞的 CVSS 评分为 5.3。[2], [1], [3]

框架映射

事件演进时间线

2026-03-04

Cisco 公布 CVE-2026-20079；CVE-2026-20316 于 7 月 29 日公布。[2], [3]

2026-07 至 2026-08

Cisco 后来表示，PSIRT 在 7 月获知 CVE-2026-20316 遭主动利用，在 8 月获知 CVE-2026-20079 遭利用。[2], [3]

2026-09-09

Talos 描述了三个团伙及其不同的入侵后活动。[1]

2026-09-16

Cisco 发布 hardening 版本，修复两项 CVE 及其他内部发现的漏洞。[4], [2], [3]

攻击执行流程分解

步骤 1

两项不同的访问漏洞

CVE-2026-20079 可在未认证情况下绕过 Web 界面身份验证并以 root 权限运行脚本。CVE-2026-20316 是低权限账户的静态凭据。部分入侵同时使用两项漏洞，但它们是不同的问题。[2], [3]

步骤 2

Talos 跟踪到三个不同团伙

UAT-12197 利用 CVE-2026-20079 部署 Web shell 和基于 JAR 的命令执行器以获取凭据。UAT-11823 使用两项 CVE，随后部署代理/反向 shell 工具和 Cyclops Blink 变种；Talos 指出其工具与 Sandworm 存在重合。[1], [2], [3]

步骤 3

Qilin 活动走的是另一条路径

Talos 称 UAT-11988 使用静态凭据漏洞登录，开展侦察和凭据窃取、建立隧道，并在部分终端部署 Qilin 勒索软件。Talos 高度确信该团伙是勒索软件操作者。[1], [3]

步骤 4

分别修补并调查

Cisco 文档中的日志检查可提示可能发生过利用。hotfix 或 hardening 版本能阻止后续利用，但 Cisco 警告它们未必能清除既有入侵；出现该迹象时应联系 TAC。[2], [3], [4]

源代码对比：漏洞与安全实现

这段简短 Python 代码用于说明授权边界，不是 Cisco FMC 源码，也不是对任一 CVE 的还原。易受攻击的形式在未检查身份或权限时执行特权操作；加固后的形式要求通过身份验证并具备明确的管理权限。Cisco 仅将 CVE-2026-20079 描述为启动时创建的异常系统进程，并未公开受影响实现或补丁 diff。因此示例只说明控制边界，不声称复现 Cisco 代码。[2], [3]

存在漏洞的实现
def invoke_management_action(identity, action):
    return action.execute()
加固后的安全修复
def invoke_management_action(identity, action):
    if identity is None:
        raise PermissionError('authentication required')
    if not identity.can_manage_firewall:
        raise PermissionError('management authorization required')
    return action.execute()

工程与系统安全加固清单

参考来源