Пропусти во Cisco FMC се искористуваат за кражба на акредитиви и инсталирање на Qilin ransomware

Cisco откри дека три одделни групи на закани, поврзани со ransomware и напади спонзорирани од држави, ги искористуваат двете неодамна закрпени ранливости во Secure Firewall Management Center (FMC).

Нападите ја искористуваат ранливоста CVE-2026-20079 (CVSS оцена: 10,0), која претставува ранливост за заобиколување на автентикацијата во веб-интерфејсот на FMC софтверот. Таа може да му овозможи на неавтентициран оддалечен напаѓач да ја заобиколи автентикацијата и да извршува скриптни датотеки на засегнатиот уред, со што може да добие root-пристап до основниот оперативен систем.

Втората ранливост што се искористува е CVE-2026-20316 (CVSS оцена: 5,3), која може да му овозможи на неавтентициран оддалечен напаѓач да се најави на засегнат уред преку сметка со ниско ниво на привилегии и да пристапи до чувствителни податоци во ранливите системи. Таа може да се комбинира со други ранливости во Cisco Secure FMC за ескалација на привилегиите.

Cisco Talos соопшти дека идентификувал три групи активности по компромитирањето на FMC инстанци, поврзани со државно спонзорирани актери и сајбер-криминални групи. Тие вклучуваат:

• UAT-12197, која ја искористила CVE-2026-20079 за инсталирање веб-школки базирани на JSP и извршувач на команди базиран на Java Archive (JAR), со цел пребарување на интерни бази на податоци и прибирање податоци за автентикација на корисниците и акредитиви.
• UAT-11823, која ги искористила и CVE-2026-20079 и CVE-2026-20316 за испорачување reverse shell базиран на Netcat, две Bash скрипти за прибирање конфигурации од управуваните уреди и варијанта на Cyclops Blink — модуларен ELF имплант претходно припишан на руската државно спонзорирана хакерска група Sandworm.
• UAT-11988, ransomware операција која ја искористила CVE-2026-20316 за почетен пристап, а потоа користела легитимни, вградени алатки на FMC како дел од living-off-the-land (LotL) напад. Целта била да се изврши опсежно извидување на околината на жртвата, да се инсталираат алатки за тунелирање за одржување мрежен пристап, да се приберат акредитиви, да се направи список на крајни точки за шифрирање, да се прекинат безбедносните алатки и да се инсталира Qilin ransomware на избрани системи.

„На корисниците силно им се препорачува да ги применат hotfix-овите за засегнатите верзии на софтверот што Cisco веќе ги објави за CVE-2026-20079 и CVE-2026-20316“, соопшти Cisco, додавајќи дека планира следната недела да објави сеопфатна верзија за зајакнување на безбедноста, која ќе опфати различни ранливости откриени интерно.

Овој развој доаѓа откако американската Cybersecurity and Infrastructure Security Agency (CISA) ја додаде CVE-2026-20079 во својот каталог Known Exploited Vulnerabilities (KEV), со што на федералните агенции од извршната власт (FCEB) им е наложено да ги применат закрпите до 12 септември 2026 година. Втората ранливост, CVE-2026-20316, беше додадена во каталогот KEV кон крајот на јули 2026 година.

Извори:

• The Hacker News – Cisco FMC Flaws Exploited to Steal Credentials and Deploy Qilin Ransomware The Hacker News