Cisco разкри, че три отделни групи атакуващи, свързани с програми за откуп (ransomware) и държавно спонсорирани атаки, експлоатират две наскоро коригирани уязвимости в Secure Firewall Management Center (FMC).

Атаките използват CVE-2026-20079 (CVSS оценка: 10.0) — уязвимост за заобикаляне на автентикацията в уеб интерфейса на софтуера FMC, която би могла да позволи на неудостоверен отдалечен атакуващ да заобиколи автентикацията и да изпълни скриптови файлове върху засегнато устройство, за да получи root достъп до основната операционна система.

Втората експлоатирана уязвимост е CVE-2026-20316 (CVSS оценка: 5.3), която би могла да позволи на неудостоверен отдалечен атакуващ да влезе в засегнато устройство, използвайки акаунт с ниски привилегии, за да достъпи чувствителни данни в уязвимите системи. Тя може да бъде комбинирана с други уязвимости в Cisco Secure FMC за ескалация на привилегии.

Cisco Talos заяви, че е идентифицирала три групи от активности след компрометиране на FMC инстанции, свързани с държавно подкрепяни злонамерени субекти и киберпрестъпници. Те включват:

  • UAT-12197, която е експлоатирала CVE-2026-20079 за внедряване на базирани на JSP уеб шелове (web shells) и изпълнител на команди на базата на Java Archive (JAR) с цел заявки към вътрешни бази данни и получаване на данни за автентикация на потребители и пароли
  • UAT-11823, която е експлоатирала както CVE-2026-20079, така и CVE-2026-20316 за доставяне на Netcat-базиран reverse shell, два bash скрипта за събиране на конфигурации на управлявани устройства и вариант на Cyclops Blink — модулен ELF имплант, приписван преди това на руската държавно спонсорирана хакерска група Sandworm
  • UAT-11988, операция за криптиране на данни с цел откуп (ransomware), която е експлоатирала CVE-2026-20316 за първоначален достъп и след това е използвала легитимни вградени FMC инструменти като част от атака тип living-off-the-land (LotL) за извършване на мащабно разузнаване в средата на жертвата, пускане на инструменти за тунелиране с цел поддържане на мрежов достъп, събиране на идентификационни данни, изграждане на списък с крайни устройства за криптиране, прекратяване на инструменти за сигурност и внедряване на Qilin ransomware върху избрани системи.

„Горещо препоръчваме на клиентите да инсталират спешните корекции за сигурност за засегнатите софтуерни версии, вече публикувани от Cisco за CVE-2026-20079 и CVE-2026-20316“, заявиха от Cisco, като добавиха, че възнамеряват да пуснат цялостна актуализация за укрепване на сигурността срещу различни вътрешно открити уязвимости през следващата седмица.

Развитието идва в момент, когато Агенцията за киберсигурност и инфраструктурна сигурност на САЩ (CISA) добави CVE-2026-20079 към своя каталог с известни експлоатирани уязвимости (KEV), изисквайки от федералните цивилни агенции да инсталират корекциите за сигурност до 12 септември 2026 г. Втората уязвимост, CVE-2026-20316, бе добавена към каталога KEV в края на юли 2026 г.