Cisco

シスコ・タロス（Cisco Talos）によると、最近パッチが適用された「Secure Firewall Management Center（FMC）」の2つの脆弱性が、ランサムウェアや国家が関与する攻撃と関連する3つの異なる脅威グループによって悪用されていたという。

これらの攻撃では、最高深刻度の認証バイパス脆弱性であるCVE-2026-20079と、攻撃者が低権限のアカウントを使用してログインすることを可能にする静的認証情報脆弱性であるCVE-2026-20316が悪用された。

シスコ・タロスの新しいレポートによると、これら3つのグループは、侵害されたFMCデバイスを利用して、Webシェルの展開、認証情報の窃取、リバースシェルやプロキシの作成を行い、一部の攻撃では「Qilin」ランサムウェアや「Cyclops Blink」マルウェアを展開していた。

「Talosの分析により、国家支援型およびクライムウェア型の脅威アクターに関連するFMCインスタンス上で、侵害後の活動を行う3つのクラスターが明らかになった」とCisco Talosは述べている。

同社は、これらのクラスターをUAT-12197、UAT-11823、およびUAT-11988として追跡している。

CVE-2026-20079のCVSSスコアは最大10.0であり、認証されていないリモート攻撃者が認証をバイパスし、脆弱なFMCデバイス上でroot権限でスクリプトを実行することを可能にする。

CVE-2026-20316のCVSSスコアは5.3であり、攻撃者が低権限アカウントの静的認証情報を使用してFMCにログインすることを可能にする。しかし、シスコはこの脆弱性を「高」の深刻度と評価している。これは、他のFMCの脆弱性と組み合わせて権限を昇格させることができるためである。

シスコはすでに両方の脆弱性に対するホットフィックスをリリースしており、顧客に対し直ちにインストールするよう強く推奨しています。また、同社は来週、その他の脆弱性に対するパッチを含む、より包括的なセキュリティ強化策をリリースする予定です。

FMCへの侵入後に「Qilin」ランサムウェアが展開

Talosは、UAT-11988として追跡されている侵入クラスターの1つを、高い確信度をもってQilinランサムウェアの関連グループによるものと特定しました。

この脅威アクターは、CVE-2026-20316に関連する静的認証情報を使用してFMCデバイスにアクセスし、その後、正当なFMC組み込みツールを悪用して被害者のネットワークの偵察を行いました。

攻撃者は、内部サーバーおよびインフラストラクチャに関するホスト名、IPアドレス、ディレクトリ一覧、Active Directoryサービスアカウントの認証情報、MySQLの認証情報、ドメインアカウント情報、コンピュータリスト、およびホスト名とIPアドレスの対応関係を収集した。

Talosによると、収集された情報は侵害されたFMCサーバー上の一般にアクセス可能なファイルに一時保存され、HTTP GETリクエストを使用してダウンロードされたという。

その後、攻撃者はPython製のSOCKS5プロキシとリバースSSHトンネルを展開して内部システムへのアクセスを維持し、LDAP、LDAPS、Kerberos、SMB、NetBIOS、およびWinRMのポートを転送した。

偵察の後、脅威アクターはImpacket、Invoke-TheHash、およびカスタムEDRキラーなどのポストエクスプロイトツールを使用した。

最終的に、攻撃者はエンドポイントにQilinランサムウェアを展開し、ファイルを暗号化した。

APTハッカーがCyclops Blinkを展開

UAT-11823 として追跡された 2 つ目の侵入クラスターについて、Talos は、そのツールセットが Sandworm APT グループと重複していることから、高度な持続的脅威（APT）アクターによるものと高い確信を持って特定しました。

Sandwormは、ロシアの軍事情報機関GRUと関連のある、ロシア政府が支援するハッキンググループであり、政府や重要インフラに対する破壊的なサイバー攻撃を行うことで知られています。

攻撃者は、CVE-2026-20079を悪用するか、CVE-2026-20316に関連する静的認証情報を使用することで、FMCデバイスへのアクセス権を取得した。

アクセス権を取得した後、脅威アクターはlicense.tmpファイルを改変し、自身のコマンド＆コントロール（C&C）インフラに接続する Netcat ベースのリバースシェルを確立した。その後、この悪意のあるライセンスファイルは、シスコの正規ユーティリティであるpackage_info.plを使用して root 権限で実行された。

Talosは、UAT-11823が攻撃中にCVE-2026-20079とCVE-2026-20316の両方を悪用したと見ている。

また、攻撃者は管理対象デバイスから設定データを収集し、後で情報を持ち出すためにアーカイブに保存するスクリプトも展開しました。

UAT-11823は最終的に、侵害されたデバイスに「Cyclops Blink」の亜種を展開した。これは、以前はロシアの脅威グループ「Sandworm」によるものとされていたモジュール式のLinuxマルウェアファミリーである。

この Cyclops Blink の亜種はバックドアとして機能し、持続的なアクセス、認証情報の窃取、およびネットワークトラフィックの傍受を可能にします。

3番目のクラスターは認証情報を窃取

UAT-12197として追跡された第3のクラスターは、CVE-2026-20079を悪用し、Cisco Security ManagerのTomcat WebルートディレクトリにJSPベースのWebシェルを展開した。

その後、このWebシェルを使用して「cmd.jar」という名前の悪意のあるJARファイルがインストールされ、これにより攻撃者はサーバー上でコマンドを実行できるようになった。

攻撃者はこのJARファイルを使用して、侵害されたシステム上の内部データベースを照会し、ユーザーの認証データや認証情報を盗み出しました。

7 月の攻撃との関連性を裏付ける

Talosのレポートは、7月に初めて公開された2つの脆弱性の悪用に関する、これまで続いていた疑問にも答えています。

7月29日の報道通り、シスコはCVE-2026-20316が積極的に悪用されていることを公表し、他のFMCの脆弱性と組み合わせて権限を昇格させる可能性があるとして警告を発していた。

同時に、シスコはCVE-2026-20079に関するアドバイザリを更新し、CVE-2026-20316で使用されたのと同じ「/var/tmp/license.tmp」という侵害の兆候（IoC）を追加しましたが、認証バイパス脆弱性も悪用されていることは確認しませんでした。

当サイトは当時、シスコに連絡を取り、これら2つの脆弱性が関連しているかどうか、CVE-2026-20079も悪用されているかどうか、そしてなぜ両方のアドバイザリに同じインジケーターが記載されていたのかを尋ねた。

シスコはこれらの質問に直接答えることはなく、代わりに、顧客に対しホットフィックスをできるだけ早くインストールするよう促す声明を共有しただけだった。

Talosは現在、UAT-11823が両方の脆弱性を悪用し、攻撃の際に悪意のあるlicense.tmpメカニズムを使用していたことを確認した。