Grave vulnerabilità Cisco FMC sfruttata negli attacchi ransomware Qilin
Due vulnerabilità Cisco FMC già corrette, tra cui un bypass di autenticazione critico, vengono sfruttate per rubare credenziali e distribuire il ransomware Qilin.
Le vulnerabilità di Cisco FMC vengono attivamente sfruttate da tre distinti cluster di minacce per rubare credenziali, raccogliere configurazioni di dispositivi gestiti e distribuire il ransomware Qilin, secondo nuovi dettagli pubblicati da Cisco Talos. Gli attacchi prendono di mira due difetti recentemente corretti in Cisco Secure Firewall Management Center (FMC), una piattaforma centralizzata che consente ai team di rete di gestire policy firewall e dispositivi in tutta l'organizzazione.
Il problema più grave, CVE-2026-20079, ha un punteggio CVSS di 10.0, il massimo livello di gravità possibile. Si tratta di una vulnerabilità di bypass dell'autenticazione nell'interfaccia web del software FMC. Un attaccante remoto non autenticato può sfruttarla per aggirare il normale processo di login ed eseguire file di script su un dispositivo interessato, ottenendo infine accesso root al sistema operativo sottostante. L'accesso root significa pieno controllo amministrativo sul server FMC, consentendo a un attaccante di leggere o modificare qualsiasi cosa su quel sistema.
Il secondo difetto, CVE-2026-20316, ha un punteggio CVSS di 5.3. Consente a un attaccante remoto non autenticato di accedere a un dispositivo interessato utilizzando un account con privilegi limitati e quindi accedere a dati sensibili all'interno di sistemi vulnerabili. Cisco osserva che questa debolezza può essere abbinata ad altre vulnerabilità di Cisco Secure FMC per elevare i privilegi, il che significa che un attaccante che inizialmente ottiene solo un accesso limitato può combinare questo bug con un'altra falla per ottenere un controllo molto maggiore.
Cisco Talos ha identificato tre distinti cluster di attività post-compromissione su istanze FMC, collegati sia ad attori sponsorizzati dallo stato che a criminali informatici. Il primo, tracciato come UAT-12197, ha sfruttato CVE-2026-20079 per distribuire web shell basate su JSP e un esecutore di comandi basato su Java Archive (JAR). Questi strumenti consentono agli attaccanti di interrogare database interni e ottenere dati di autenticazione utente e credenziali, raccogliendo efficacemente le informazioni di login necessarie per muoversi ulteriormente nella rete della vittima.
Il secondo cluster, UAT-11823, ha sfruttato sia CVE-2026-20079 che CVE-2026-20316. Ha distribuito una reverse shell basata su Netcat, due script bash progettati per raccogliere configurazioni di dispositivi gestiti e una variante di Cyclops Blink. Cyclops Blink è un impianto ELF modulare precedentemente attribuito al gruppo di hacker sponsorizzato dallo stato russo Sandworm. Questo cluster si è concentrato sulla raccolta di dettagli di configurazione dai dispositivi gestiti dall'FMC, che potrebbero rivelare topologia di rete, regole di accesso e altre impostazioni di sicurezza sensibili.
Il terzo cluster, UAT-11988, è un'operazione ransomware. Ha utilizzato CVE-2026-20316 per l'accesso iniziale e poi si è affidato a strumenti FMC integrati legittimi in un attacco living-off-the-land (LotL). LotL significa che gli attaccanti hanno utilizzato strumenti già presenti sul sistema invece di installare malware evidente, rendendo la loro attività più difficile da rilevare. Con questo approccio, UAT-11988 ha condotto un'ampia ricognizione dell'ambiente della vittima, rilasciato strumenti di tunneling per mantenere l'accesso alla rete, raccolto credenziali, creato un elenco di endpoint da crittografare, terminato strumenti di sicurezza e distribuito il ransomware Qilin su sistemi selezionati.
Cisco consiglia vivamente ai clienti di applicare le hotfix per le versioni software interessate già rilasciate per CVE-2026-20079 e CVE-2026-20316. L'azienda ha inoltre dichiarato di voler pubblicare la prossima settimana una release di hardening completa per varie vulnerabilità scoperte internamente. Inoltre, la Cybersecurity and Infrastructure Security Agency (CISA) degli Stati Uniti ha aggiunto CVE-2026-20079 al suo catalogo Known Exploited Vulnerabilities (KEV), richiedendo alle agenzie del Federal Civilian Executive Branch di applicare le patch entro il 12 settembre 2026. CVE-2026-20316 è stato aggiunto al catalogo KEV alla fine di luglio 2026.
Per le organizzazioni che utilizzano Cisco FMC o piattaforme simili di gestione centralizzata della rete, le priorità immediate sono installare le hotfix disponibili, limitare l'accesso all'interfaccia di gestione e rivedere gli account amministrativi per segni di uso non autorizzato. Per i proprietari di siti web e le aziende che si affidano all'hosting gestito, mantenere aggiornate tutte le console di gestione e i plugin è altrettanto importante, perché gli attaccanti prendono di mira abitualmente interfacce web e pannelli di amministrazione non aggiornati. AEU-I offre IT, infrastruttura e consulenza security-first per aiutare i team a gestire le patch, rafforzare le interfacce di gestione esposte e rispondere a potenziali intrusioni.
Come Proteggerti
- Se la tua azienda utilizza Cisco Secure Firewall Management Center, chiedi al tuo team IT di installare subito l'hotfix di Cisco per CVE-2026-20079 e CVE-2026-20316.
- Mantieni l'interfaccia di gestione FMC fuori da Internet pubblico, o limitane l'accesso solo a reti interne fidate.
- Attiva un passaggio di login aggiuntivo, come un codice da un'app del telefono, per qualsiasi account amministratore che possa raggiungere la console di gestione del firewall.
- Dopo aver applicato le patch, fai controllare al tuo team IT i log di FMC per login amministratore imprevisti o nuovi account utente.
- Cambia tutte le password degli amministratori del firewall che potrebbero essere state esposte e non riutilizzare quelle password da nessun'altra parte.
Vulnerabilità e Soluzioni
- CVE-2026-20079 Authentication bypass vulnerability in Cisco Secure Firewall Management Center web interface that can give root access; fixed by Cisco hotfix. Vedi la soluzione e i dettagli →
- CVE-2026-20316 Vulnerability allowing unauthenticated low-privilege login and sensitive data access in Cisco FMC; fixed by Cisco hotfix. Vedi la soluzione e i dettagli →
I Termini Spiegati
- CVE Common Vulnerabilities and Exposures, un elenco pubblico che assegna a ogni nota vulnerabilità software un numero ID univoco.
- CVSS score Un numero da 0 a 10 usato per valutare quanto è grave una vulnerabilità software, dove 10 è il massimo della criticità.
- authentication bypass Una debolezza che permette a qualcuno di saltare il normale passaggio di login ed entrare in un sistema senza una password valida.
- web shell Un piccolo programma nascosto inserito su un server che consente a un attaccante di inviare comandi tramite un browser web.
- root access Pieno controllo amministrativo su un computer, che consente all'utente di leggere, modificare o eliminare qualsiasi cosa.
- reverse shell Una connessione che consente a un attaccante di controllare da remoto un computer facendo sì che il computer bersaglio si colleghi all'attaccante.
- ransomware Software malevolo che blocca o crittografa i file e chiede un pagamento per sbloccarli.
- living-off-the-land Una tattica in cui gli attaccanti usano strumenti già integrati in un sistema invece di installare malware evidente, rendendoli più difficili da rilevare.