Държавно спонсорирани и финансово мотивирани атакуващи активно злоупотребяват с CVE-2026-20079 – критична уязвимост за заобикаляне на автентикацията в Cisco Secure Firewall Management Center (FMC), който се използва за централизирано управление на множество устройства Cisco Secure Firewall в мрежата.
Две уязвимости във FMC са обект на активни атаки
„Cisco Talos активно проследява експлоатацията на две уязвимости в софтуера Secure Firewall Management Center (FMC) на Cisco“, потвърдиха изследователите на компанията в сряда.
Това са споменатите по-горе CVE-2026-20079 и CVE-2026-20316, които Cisco отбеляза като активни обект на атаки през юли 2026 г.
И двете уязвимости се намират в уеб интерфейса на софтуера FMC.
CVE-2026-20079 беше намерена от Брандън Сакаи от Cisco по време на вътрешни тестове за сигурност и беше коригирана / публично оповестена в началото на март 2026 г.
Тази уязвимост за заобикаляне на автентикацията се дължи на неправилен системен процес, който се създава при зареждане на системата, и позволява на отдалечени, неудостоверени атакуващи да изпълняват скриптове и команди, осигуряващи root достъп до устройството чрез изпращане на специално конфигурирани HTTP заявки към устройство без инсталирани корекции за сигурност.
CVE-2026-20316 беше докладвана от Джими Себри от Horizon3.ai и оповестена (заедно с налична корекция) на 29 юли, когато CISA също я добави в своя каталог с известни експлоатирани уязвимости (KEV).
Произтичаща от твърдо кодирани (вградени) идентификационни данни за акаунт с ниски привилегии, тя позволява на неудостоверени, отдалечени киберпрестъпници да се влизат в засегнато устройство/инстанция.
Три клъстера на проникване, включително активност на Sandworm и Qilin
Когато през юли 2026 г. Cisco потвърди, че CVE-2026-20316 е била експлоатирана от атакуващи, тя добави същите индикатори за компрометиране в бюлетините за сигурност и за двете уязвимости CVE-2026-20316 и CVE-2026-20079, но не посочи дали последната се използва в атаки.
Потвърждението дойде вчера, когато аналитиците по разузнаване на заплахи на компанията детайлизираха три клъстера на проникване, използващи едната или и двете уязвимости.
Първият клъстер на проникване експлоатира CVE-2026-20079 и разполага злонамерен web shell в директорията CSM Tomcat webroot, който след това се използва за разполагане на зловреден JAR файл в същата директория. Този файл позволява на атакуващите да изпълняват команди за получаване на данни за автентикация на потребители и пароли.
Втората атака, за която се смята, че е дело на руската държавно спонсорирана група Sandworm, започва с получаване на достъп от атакуващите чрез една от двете уязвимости. След това те актуализират файла license.tmp със злонамерено копие, за да установят reverse shell към своя command-and-control сървър. Накрая те събират конфигурационните файлове на управляваните защитни стени на Cisco и инсталират имплант, който им позволява да прихващат идентификационни данни, да изпълняват команди и файлове, да извършват анализ на мрежовия трафик (packet sniffing), мрежово сканиране и други.
Третата атака, за която се подозира, че е дело на оператор на софтуер за откуп Qilin (ransomware), започва с влизане на атакуващите със статичните идентификационни данни (CVE-2026-20316), последвано от разузнаване на мрежата и крайните устройства, кражба на пароли, осигуряване на допълнителен достъп, внедряване на инструменти за блокиране на антивирусни програми и доставяне на зловредния код за откуп.
Анализаторите споделиха индикатори за компрометиране, свързани с тези клъстери от заплахи.
„Тъй като Talos установи злоупотреба с тези CVE в реални условия, на клиентите горещо се препоръчва да инсталират спешните корекции за сигурност (hotfixes) за засегнатите софтуерни версии, които вече са издадени от Cisco за CVE-2026-20079 и CVE-2026-20316“, добавиха те.
„Задвижена и цялостна актуализация, съдържаща тези спешни корекции заедно с други вътрешно открити уязвимости, ще бъде пусната следващата седмица (седмицата от 16 септември). Въпреки това, предвид активната злоупотреба, силно препоръчваме клиентите да приложат посочените спешни корекции за сигурност възможно най-скоро, преди излизането на пълната актуализация.“
Алтернативно временно решение е да се ограничи достъпът до уязвимия интерфейс за управление на FMC от интернет.
- APT
- Cisco
- firewall
- ransomware
- vulnerability