Хакери експлоатират критична уязвимост във файъруол на Cisco, за да получат root достъп и да внедрят зловреден код

Cisco Talos потвърди активна експлоатация на две уязвимости, засягащи софтуера Cisco Secure Firewall Management Center (FMC), като държавно спонсорирани хакерски групи и партньори на зловреден софтуер за откуп (ransomware) използват слабостите, за да придобият root достъп, да инсталират зловреден код и да организират атаки срещу корпоративни мрежи.

Разкритието отбелязва един от по-сериозните инциденти с корпоративната сигурност през годината, като се има предвид ролята на FMC като централна консола, която администраторите използват за управление на групи от файъруоли на Cisco.

Хакери експлоатират слабост във файъруол на Cisco

По-опасната от двете грешки, проследявана като CVE-2026-20079, има максимална CVSS оценка от 10.0 и позволява на неудостоверен отдалечен атакуващ да заобиколи напълно контролите за вход.

Уязвимостта произтича от неправилен системен процес, създаден при стартиране на FMC устройство; ако получената сесия никога не бъде поискана от легитимен потребител, атакуващ може да я прихване и да я използва за изпълнение на скриптове с root привилегии върху управляващата операционна система.

Cisco отстрани уязвимостта през март 2026 г., но потвърди на 9 септември, че нейният екип за реагиране на инциденти с продукти за сигурност е научил за злоупотреби в реална среда, започнали през август.

Агенцията за киберсигурност и инфраструктурна сигурност на САЩ (CISA) оттогава добави уязвимостта към своя каталог с известни експлоатирани уязвимости (KEV), давайки на федералните агенции срок до 12 септември за отстраняването ѝ.

Втората слабост, CVE-2026-20316, има сравнително скромна оценка от 5.3 по скалата CVSS, но произтича от твърдо кодирани (hard-coded), статични идентификационни данни, свързани с акаунт с ниски привилегии, които позволяват на отдалечени атакуващи да се влязат без съответна авторизация.

Сама по себе си грешката предлага ограничен достъп, но Talos предупреждава, че тя става далеч по-опасна, когато се верижно свърже със заобикалянето на автентификацията или с други уязвимости във FMC за ескалация на привилегии. Cisco разкри и коригира тази уязвимост в края на юли 2026 г., а CISA я добави към каталога KEV приблизително по същото време.

Изследователите от Talos идентифицираха три отделни клъстера от активност след компрометиране, всеки от които отразява целите на различен автор на заплахи, както е детайлизирано в техническото разкритие на Cisco Talos.

Първият, обозначен като UAT-12197, е експлоатирал заобикалянето на автентификацията, за да инсталира базиран на JSP уеб шел (web shell) в главната уеб директория на Tomcat във FMC, а след това го е използвал за пускане на изпълнител на команди от тип Java Archive, наименуван „cmd.jar“, способен да прави заявки към вътрешната база данни на устройството, за да открадне съхранени потребителски данни.

Вторият клъстер, UAT-11823, се оценява с висока степен на увереност като усъвършенстван персистентен субект (APT), припокриващ се със свързаната с руското военно разузнаване група Sandworm.

Тази група е свързала верижно двете уязвимости (CVE), заменила е легитимен лицензен файл с зловреден пакет Makeself за установяване на reverse shell на базата на Netcat, извлякла е конфигурации на устройството и в крайна сметка е внедрила вариант на зловредния код Cyclops Blink — модулен имплант, свързан преди това с ботнет операциите на Sandworm срещу периферни мрежови устройства.

Вариантът на Cyclops Blink, открит в компрометираните FMC системи, поддържа устойчивост (persistence) чрез init.d скриптове, разрешаване на команди през DNS-over-HTTPS (C2), събиране на идентификационни данни, подслушване на пакети (packet sniffing) и произволно отдалечено изпълнение на команди.

Третият клъстер, UAT-11988, се оценява с висока степен на увереност като оператор на ransomware Qilin, който е пропуснал напълно заобикалянето на автентификацията, а вместо това е влезе през слабостта със статичните данни за достъп, след което е използвал наличните вградени административни инструменти на FMC (living off the land).

Групата е събрала идентификационни данни за Active Directory и MySQL, картографирала е домейнови контролери, файлови сървъри и Exchange инфраструктура, след което се е тунелирала по-дълбоко в мрежите на жертвите през LDAP, Kerberos, SMB, NetBIOS и WinRM с помощта на Python SOCKS5 прокси и reverse-SSH връзки, преди да внедри инструменти за обезвреждане на антивирусни програми и самия зловреден код Qilin на избрани крайни точки.

Cisco и Talos настоятелно съветват всяка организация, работеща със Secure FMC, незабавно да инсталира вече издадените спешни корекции за сигурност за CVE-2026-20079 и CVE-2026-20316, вместо да чака по-обширната версия за подобряване на защитата, планирана за седмицата от 14 септември, която ще обедини тези корекции с допълнителни вътрешно намерени пластири.

Администраторите, които не могат да отстранят уязвимостта веднага, трябва също така да ограничат достъпа до интерфейсите за управление на FMC от интернет, тъй като това значително намалява повърхността за атака за всички три наблюдавани кампании.