Уязвимости Cisco FMC использовали для кражи учётных данных и атак Qilin
По данным The Hacker News, как минимум три группы атаковали Cisco Secure Firewall Management Center через две уже исправленные уязвимости. Одна из них получила максимальную оценку опасности CVSS 10,0.
Злоумышленники использовали две уязвимости в Cisco Secure Firewall Management Center (FMC) для установки веб-шеллов, сбора учётных данных и развёртывания вымогателя Qilin. Как сообщает The Hacker News со ссылкой на Cisco Talos, специалисты выявили три кластера посткомпрометационной активности, связанные с киберпреступниками и предполагаемыми государственными группами.
Наиболее опасная проблема, CVE-2026-20079 с оценкой CVSS 10,0, позволяет удалённому неавторизованному атакующему обойти проверку подлинности в веб-интерфейсе FMC, запускать скрипты и получать root-доступ к операционной системе устройства. Вторая уязвимость — CVE-2026-20316 с оценкой 5,3 — даёт возможность войти в систему без авторизации под низкопривилегированной учётной записью и получить доступ к конфиденциальным данным. В сочетании с другими ошибками FMC она может использоваться для повышения привилегий.
Кластер UAT-12197 применял CVE-2026-20079 для установки JSP-веб-шеллов и исполнителя команд в формате JAR. Это позволило атакующим запрашивать внутренние базы данных и извлекать данные аутентификации и учётные данные.
Группа UAT-11823 задействовала обе уязвимости: она установила обратную оболочку на базе Netcat, два Bash-скрипта для сбора конфигураций управляемых устройств и вариант модульного ELF-импланта Cyclops Blink. Ранее Cyclops Blink связывали с Sandworm — группировкой, которую относят к российским государственным структурам.
Третий кластер, UAT-11988, использовал CVE-2026-20316 для первоначального проникновения. Далее операторы задействовали штатные средства FMC: изучали инфраструктуру жертвы, поддерживали доступ через туннелирующие инструменты, собирали учётные данные, составляли список систем для шифрования, отключали средства защиты и запускали Qilin на выбранных устройствах.
Cisco рекомендует установить выпущенные исправления для обеих уязвимостей и планирует на следующей неделе выпустить комплексное обновление защиты от ряда внутренних уязвимостей. Агентство CISA внесло CVE-2026-20079 в каталог Known Exploited Vulnerabilities и обязало федеральные гражданские ведомства США устранить проблему до 12 сентября 2026 года. CVE-2026-20316 была добавлена в этот каталог в конце июля.