国家の支援を受けた攻撃者と金銭目的の攻撃者が、Cisco Secure Firewall Management Center(FMC)の重大な認証バイパス脆弱性であるCVE-2026-20079を積極的に悪用しています。FMCはネットワーク全体で複数のCisco Secure Firewallデバイスを一元管理するために使用されます。
実際の攻撃で悪用される2つのFMC脆弱性
「Cisco Talosは、Cisco Secure Firewall Management Center(FMC)ソフトウェアに存在する2つの脆弱性の悪用状況を積極的に追跡しています」と、同社の研究者らは水曜日に確認しました。
これらは前述のCVE-2026-20079とCVE-2026-20316であり、Ciscoは2026年7月の時点で実際の攻撃での悪用を確認済みとして警告していました。
いずれの脆弱性も、FMCソフトウェアのWebインターフェースに存在します。
CVE-2026-20079は、CiscoのBrandon Sakai氏が社内セキュリティテストの中で発見したもので、2026年3月上旬に修正・開示されました。
この認証バイパス脆弱性は、起動時に生成されるシステムプロセスの不備に起因しており、リモートの未認証攻撃者が特別に細工したHTTPリクエストを未パッチのデバイスに送信するだけで、スクリプトやコマンドを実行し、デバイスへのroot権限アクセスを獲得できてしまうというものです。
CVE-2026-20316は、Horizon3.aiのJimi Sebree氏によって報告され、7月29日に修正版の提供とともに開示されました。同日、CISAもこの脆弱性を既知の悪用済み脆弱性(KEV)カタログに追加しています。
この脆弱性は、低権限アカウント向けに静的(ハードコード)な認証情報が設定されていたことに起因しており、未認証のリモート攻撃者が対象デバイス・インスタンスにログインできてしまいます。
Sandwormやランサムウェア集団Qilinの活動を含む3つの侵入クラスター
2026年7月、CiscoはCVE-2026-20316が攻撃者に悪用されたことを確認した際、同じ侵害の痕跡(IOC)をCVE-2026-20316とCVE-2026-20079両方のセキュリティアドバイザリに追加しましたが、後者が実際の攻撃で利用されているかどうかについては言及していませんでした。
その確認が得られたのが昨日で、同社の脅威インテリジェンスアナリストが、これら2つの脆弱性のいずれか、または両方を悪用する3つの侵入クラスターについて詳細を明らかにしました。
1つ目の侵入クラスターは、CVE-2026-20079を悪用し、CSM(Cisco Secure Manager)のTomcat webrootディレクトリに悪意のあるWebシェルを設置します。このWebシェルは、続けて同じディレクトリに悪意のあるJARファイルを設置するために使われます。このJARファイルにより、攻撃者はコマンドを実行してユーザーの認証データや資格情報を取得できます。
2つ目の侵入は、ロシアの国家支援型ハッキング集団Sandwormの犯行とみられています。攻撃者は、上記2つの脆弱性のいずれかを通じてアクセス権を獲得することから始めます。次に、license.tmpファイルを悪意のあるコピーに差し替え、自らのコマンド&コントロール(C2)サーバーへのリバースシェルを確立します。最後に、管理下にあるCisco Firewallの設定ファイルを収集し、認証情報の収集、コマンドやファイルの実行、パケットスニッフィング、ネットワークスキャンなどを可能にするインプラントをインストールします。
3つ目の侵入は、ランサムウェア「Qilin」の攻撃者による犯行とみられています。攻撃者はまず静的な認証情報(CVE-2026-20316)を使ってログインし、その後ネットワークおよびエンドポイントの偵察、認証情報の窃取、追加のアクセス経路の確立、アンチウイルス無効化ツールの展開を行い、最終的にランサムウェアを配布します。
アナリストらは、これらの脅威クラスターに関連する侵害の痕跡(IOC)を公開しました。
「Talosがこれらのアドバイザリに対する実際の悪用を確認したことを受け、顧客の皆様には、CVE-2026-20079およびCVE-2026-20316に対してCiscoが既にリリースしている、影響を受けるソフトウェアバージョン向けのホットフィックスを適用することを強く推奨します」と、同社は付け加えています。
「これらのホットフィックスに加え、社内で新たに発見されたその他の脆弱性への対応も含む包括的なハードニングリリースが来週(9月16日の週)にリリースされる予定です。とはいえ、実際の攻撃での悪用が確認されていることを踏まえ、ハードニングリリースを待たずに、該当するホットフィックスをできるだけ早く適用することを強く推奨します」
代替の一時的な対策としては、脆弱性のあるFMC管理インターフェースをインターネットからアクセスできないようにする方法があります。
翻訳元: https://www.helpnetsecurity.com/2026/09/10/cisco-fmc-exploited-cve-2026-20079-cve-2026-20316/
