Cisco Talos съобщава, че две наскоро коригирани уязвимости в Secure Firewall Management Center (FMC) са били експлоатирани от три отделни клъстера от заплахи, свързани с атаки за откуп (ransomware) и държавно спонсорирани нападения.

Атаките експлоатират CVE-2026-20079 — уязвимост за заобикаляне на автентикацията с максимална степен на сериозност, и CVE-2026-20316 — уязвимост със статични идентификационни данни, която позволява на атакуващите да се влязат в системата, използвайки акаунт с ниски привилегии.

Според нов доклад на Cisco Talos трите клъстера са използвали компрометирани FMC устройства за внедряване на web shell-ове, кражба на идентификационни данни, създаване на reverse shell-ове и проксита, а при някои атаки — и за внедряване на зловреден софтуер Qilin ransomware и Cyclops Blink.

„Анализът на Talos илюстрира три клъстера от активност след компрометиране на FMC екземпляри, свързани с държавно спонсорирани автори на заплахи и киберпрестъпници“, съобщават от Cisco Talos.

Компанията проследява клъстерите под наименованията UAT-12197, UAT-11823 и UAT-11988.

CVE-2026-20079 има максимална CVSS оценка от 10.0 и позволява на неавтентикирани отдалечени атакуващи да заобиколят автентикацията и да изпълняват скриптове като root на уязвими FMC устройства.

CVE-2026-20316 има CVSS оценка от 5.3 и позволява на атакуващите да се влязат във FMC, използвайки статични данни за достъп за акаунт с ниски привилегии. Cisco обаче класифицира уязвимостта със сериозност „High“ (висока), тъй като тя може да бъде комбинирана с други уязвимости във FMC за ескалация на привилегии.

Cisco вече публикува извънредни корекции за сигурност и за двете уязвимости и призовава клиентите да ги инсталират незабавно. Освен това следващата седмица компанията ще пусне по-всеобхватно укрепване за сигурност, което включва корекции за допълнителни уязвимости.

Внедряване на Qilin ransomware след пробив във FMC

Talos приписва един от клъстерите на проникване, проследяван като UAT-11988, с висока степен на увереност на филиали на Qilin ransomware.

Авторът на заплахата е осъществил достъп до FMC устройство, използвайки статични идентификационни данни, свързани с CVE-2026-20316, след което е злоупотребил с легитимни вградени FMC инструменти за разузнаване на мрежата на жертвата.

Атакуващите са събрали хост имена, IP адреси, списъци с директории, данни за достъп до сервизни акаунти в Active Directory, credentials за MySQL, информация за домейн акаунти, списъци с компютри и съответствия между хост имена и IP адреси за вътрешни сървъри и инфраструктура.

Talos посочва, че събраната информация е била качена в публично достъпни файлове на компрометирания FMC сървър и е била изтеглена чрез HTTP GET заявки.

След това атакуващите са внедрили Python SOCKS5 прокси и обратен SSH тунел, за да поддържат достъп до вътрешните системи, и са пренасочили портове за LDAP, LDAPS, Kerberos, SMB, NetBIOS и WinRM.

След разузнаването киберпрестъпникът е използвал инструменти за експлоатация след пробив, включително Impacket, Invoke-TheHash и персонализирани EDR killers.

В крайна сметка атакуващите са внедрили Qilin ransomware върху крайните устройства за криптиране на файлове.

APT хакери внедряват Cyclops Blink

Втори клъстер на проникване, проследяван като UAT-11823, е приписан от Talos с висока степен на увереност на усъвършенстван траен субект на заплаха (APT), чиито инструменти съвпадат с тези на групировката Sandworm APT.

Sandworm е руска държавно спонсорирана хакерска група, свързана с руското военно разузнаване (ГРУ), известна с провеждането на разрушителни кибератаки срещу правителства и критична инфраструктура.

Атакуващите са получили достъп до FMC устройства чрез експлоатиране на CVE-2026-20079 или чрез използване на статичните данни за достъп, свързани с CVE-2026-20316.

След получаване на достъп злонамерените субекти са модифицирали файла license.tmp, за да установят обратен shell на базата на Netcat, свързващ се с тяхната командна инфраструктура (command-and-control). Зловредният лицензионен файл след това е бил изпълнен като root чрез легитимния инструмент package_info.pl на Cisco.

Talos заявява, че вярва, че UAT-11823 е експлоатирал както CVE-2026-20079, така и CVE-2026-20316 по време на атаките.

Атакуващите са внедрили и скриптове, които събират данни за конфигурацията от управляваните устройства и ги съхраняват в архиви за последващо източване.

UAT-11823 в крайна сметка е внедрил вариант на Cyclops Blink върху компрометираните устройства — модулно семейство зловреден софтуер за Linux, свързвано по-рано с руската група Sandworm.

Вариантът на Cyclops Blink действа като задна врата (backdoor), осигурявайки траен достъп, кражба на идентификационни данни и възможност за прихващане на мрежов трафик.

Трети клъстер краде идентификационни данни

Третият клъстер, проследяван като UAT-12197, е експлоатирал CVE-2026-20079 и е внедрил JSP-базиран web shell в уеб директорията Cisco Security Manager Tomcat webroot.

Уеб shell-ът след това е използван за инсталиране на зловреден JAR файл с име cmd.jar, който им е позволило да изпълняват команди на сървъра.

Атакуващите са използвали този JAR файл за заявки към вътрешни бази данни на компрометираните системи и за кражба на данни за автентикация и credentials на потребители.

Потвърждава се връзката между атаките от юли

Докладът на Talos дава отговор и на висящите въпроси относно експлоатацията на двете уязвимости, разкрити за първи път през юли.

Както BleepingComputer съобщи на 29 юли, Cisco разкри, че CVE-2026-20316 се експлоатира активно, и предупреди, че тя може да бъде верижно комбинирана с други уязвимости във FMC за ескалация на привилегии.

В същото време Cisco актуализира своя бюлетин за сигурност за CVE-2026-20079 със същия индикатор за компрометиране /var/tmp/license.tmp, използван за CVE-2026-20316, но не потвърди, че уязвимостта за заобикаляне на автентикацията също се експлоатира.

BleepingComputer се свърза с Cisco по онова време, за да попита дали двете уязвимости са свързани, дали CVE-2026-20079 също се експлоатира и защо един и същ индикатор се появява и в двата бюлетина.

Cisco не отговори директно на тези въпроси, а вместо това просто сподели изявление, с което призова клиентите да инсталират извънредните корекции за сигурност възможно най-скоро.

Сега Talos потвърди, че UAT-11823 е експлоатирал и двете уязвимости и е използвал зловредния механизъм license.tmp по време на атаките си.

След като атакуващите получат валидни данни за достъп, едва 37% от действията им биват блокирани

Общите оценки за превенция могат да скрият какво се случва след първоначалния достъп. Когато атакуващите използват валидни идентификационни данни, нивото на превенция спада рязко.

Докладът „Blue Report 2026“ измерва защитите техника по техника чрез 338 милиона симулации, проведени в реални производствени среди на клиенти.