Cyberprzestępcy aktywnie wykorzystują dwie załatane już podatności w Cisco Secure Firewall Management Center (FMC). Luki umożliwiają nieautoryzowany dostęp do systemów, kradzież danych uwierzytelniających oraz przygotowanie gruntu pod ataki ransomware. Cisco Talos zidentyfikowało kilka kampanii wykorzystujących te podatności, a producent zaleca niezwłoczne wdrożenie poprawek oraz przeprowadzenie kontroli środowisk pod kątem oznak kompromitacji.
Dwie luki w Cisco FMC celem cyberprzestępców
Badacze Cisco Talos ostrzegają przed aktywnym wykorzystywaniem dwóch podatności w interfejsie webowym Cisco Secure Firewall Management Center (FMC), platformy służącej do centralnego zarządzania urządzeniami zapory sieciowej.
Pierwsza z nich, CVE-2026-20079, otrzymała maksymalną ocenę CVSS 10,0. Umożliwia zdalnemu, nieuwierzytelnionemu atakującemu obejście mechanizmu uwierzytelniania i uzyskanie uprawnień roota w bazowym systemie operacyjnym. Druga podatność, CVE-2026-20316, ma ocenę CVSS 5,3 i umożliwia wykorzystanie statycznych danych uwierzytelniających obecnych w systemie. Pozwala to zalogować się na konto o niskich uprawnieniach i uzyskać dostęp do poufnych informacji. W określonych scenariuszach luka ta może być wykorzystana w połączeniu z innymi podatnościami w celu rozszerzenia dostępu.
Luki zostały już załatane, jednak ich wcześniejsze wykorzystanie stanowi realne zagrożenie dla organizacji korzystających z FMC. Przejęcie systemu zarządzającego zaporami może ułatwić atakującym rozpoznanie infrastruktury, pozyskanie poufnych informacji i przygotowanie kolejnych etapów ataku.
Powiązania z ransomware Qilin i grupą Sandworm
Badacze Cisco Talos opisali różne sposoby wykorzystania podatności przez grupy o odmiennych celach. W jednym z przypadków działania powiązano z Qilin, grupą znaną z ataków ransomware, występującą również pod nazwami Stinkbug, Agenda i Water Galura.
Napastnicy uzyskali początkowy dostęp przy użyciu statycznych danych uwierzytelniających. Następnie wykorzystywali legalne narzędzia dostępne w FMC, stosując technikę living off the land, do rozpoznania środowiska, zbierania danych uwierzytelniających oraz przygotowania dalszej infiltracji sieci. W kolejnym etapie tworzyli tunele SOCKS5 i reverse SSH, które umożliwiały zdalny dostęp do przejętej infrastruktury. Po zakończeniu rekonesansu podejmowali próby wyłączenia mechanizmów ochronnych, a ostatecznie wdrażali ransomware.
W innym przypadku badacze zaobserwowali wykorzystanie zmodyfikowanego pliku licencyjnego zawierającego złośliwy kod. Jego użycie pozwalało uruchomić reverse shell i pozyskać pliki konfiguracyjne. Działania te wykazującą podobieństwa do Sandworm, rosyjskiej grupy hakerskiej powiązanej z działalnością państwową.
W obu przypadkach napastnicy wykorzystywali funkcje i narzędzia dostępne w systemie, co może utrudniać odróżnienie złośliwych działań od zwykłej aktywności administracyjnej.
9 września 2026 r. CISA dodała CVE-2026-20079 do katalogu Known Exploited Vulnerabilities (KEV), który obejmuje podatności z potwierdzonymi przypadkami wykorzystania w rzeczywistych atakach. To dodatkowy sygnał, że luka powinna znaleźć się wysoko na liście priorytetów zespołów odpowiedzialnych za bezpieczeństwo.
Jak zabezpieczyć Cisco Secure Firewall Management Center przed atakami?
Organizacje korzystające z lokalnie wdrażanego Cisco FMC powinny niezwłocznie zastosować poprawki i hotfixy udostępnione przez producenta dla obu podatności. Sama aktualizacja nie powinna jednak zastępować analizy bezpieczeństwa – jeśli urządzenie zostało wcześniej przejęte, konieczne jest sprawdzenie, czy atakujący nie pozostawili dodatkowych mechanizmów dostępu.
W praktyce administratorzy powinni:
- Zastosować dostępne poprawki Cisco dla CVE-2026-20079 i CVE-2026-20316, zgodnie z zaleceniami producenta.
- Przeanalizować logi i systemy pod kątem wskaźników włamania (IOC) opisanych w materiałach Cisco Talos.
- Sprawdzić, czy nie doszło do kradzieży danych uwierzytelniających, instalacji złośliwych plików lub utworzenia nieautoryzowanych tuneli.
Zweryfikować aktywność na zarządzanych urządzeniach i w sieci wewnętrznej, zwłaszcza pod kątem nietypowych połączeń oraz prób wyłączania zabezpieczeń. - W przypadku podejrzenia kompromitacji skontaktować się z pomocą techniczną Cisco i przeprowadzić pełną analizę incydentu.
Aktywne wykorzystywanie obu podatności pokazuje, że przejęcie systemu zarządzającego zaporami może zagrozić nie tylko samemu FMC, lecz także bezpieczeństwu całej infrastruktury, którą kontroluje. Dlatego równie ważne jak szybkie wdrożenie poprawek jest sprawdzenie, czy przed aktualizacją nie doszło już do włamania.
Źródła:
- Active exploitation of Cisco Secure Firewall Management Center vulnerabilities
- Known Exploited Vulnerabilities Catalog
Wpis powstał na podstawie artykułu z biuletynu firmy Symantec.
O autorze: Łukasz Lein
Product manager - Opiekun marki Symantec
Od blisko 10 lat w firmie Arkanet. Bacznie śledzi ruchy cyberprzestępczości w Polsce i na świecie, dzięki czemu wie, jak pomóc klientom zabezpieczyć swoją sieć firmową przed wszelkimi atakami. Z zamiłowania, po pracy, aktywny "piłkokopacz".
