Cisco Talosによると、最近パッチが適用されたSecure Firewall Management Center(FMC)の2件の脆弱性が、ランサムウェアおよび国家支援型攻撃と関連する3つの脅威クラスターによって悪用されていたことが判明しました。
攻撃では、最高深刻度の認証バイパスの脆弱性であるCVE-2026-20079と、低権限アカウントでのログインを可能にする静的認証情報の脆弱性CVE-2026-20316が悪用されました。
Cisco Talosの新しいレポートによると、3つのクラスターは侵害したFMCデバイスを使ってWebシェルの展開、認証情報の窃取、リバースシェルおよびプロキシの作成を行い、攻撃の一部ではQilinランサムウェアやCyclops Blinkマルウェアを展開していました。
Visit Advertiser websiteGO TO PAGE
「Talosの分析により、国家支援型およびサイバー犯罪の脅威アクターに関連する、FMCインスタンス上での侵害後の活動が3つのクラスターに分類できることが明らかになりました」とCisco Talosは述べています。
同社はこれらのクラスターをUAT-12197、UAT-11823、UAT-11988として追跡しています。
CVE-2026-20079はCVSSスコア10.0の最高深刻度で、認証されていないリモート攻撃者が認証をバイパスし、脆弱なFMCデバイス上でrootとしてスクリプトを実行できてしまう脆弱性です。
CVE-2026-20316はCVSSスコア5.3で、攻撃者が低権限アカウントの静的認証情報を使ってFMCにログインできてしまう脆弱性です。ただし、他のFMC脆弱性と組み合わせることで権限を昇格させられるため、Ciscoはこの脆弱性を「高」(High)深刻度に格付けしています。
Ciscoは両脆弱性に対してすでに修正パッチをリリースしており、顧客に直ちに適用するよう求めています。同社はまた、来週にはその他の脆弱性へのパッチも含む、より包括的なハードニング対応をリリースする予定です。
FMC侵害後にQilinランサムウェアを展開
Talosは、侵入クラスターの一つであるUAT-11988について、高い確度でQilinランサムウェアの関係者に帰属すると分析しています。
この脅威アクターは、CVE-2026-20316に関連する静的認証情報を使ってFMCデバイスにアクセスした後、FMCに標準搭載された正規ツールを悪用して被害者のネットワークの偵察を行いました。
攻撃者は、ホスト名、IPアドレス、ディレクトリ一覧、Active Directoryサービスアカウントの認証情報、MySQLの認証情報、ドメインアカウント情報、コンピューター一覧、内部サーバーおよびインフラのホスト名とIPアドレスの対応表を収集しました。
Talosによると、収集した情報は侵害されたFMCサーバー上の一般公開されたファイルに一時保存され、HTTP GETリクエストでダウンロードされていました。
その後、攻撃者はPython製のSOCKS5プロキシとリバースSSHトンネルを展開して内部システムへのアクセスを維持し、LDAP、LDAPS、Kerberos、SMB、NetBIOS、WinRM用のポートを転送していました。
偵察の後、脅威アクターはImpacket、Invoke-TheHash、カスタムのEDRキラーなどの侵害後ツールを使用しました。
最終的に、攻撃者はエンドポイント上にQilinランサムウェアを展開してファイルを暗号化しました。
APTハッカーがCyclops Blinkを展開
2つ目の侵入クラスターであるUAT-11823は、Talosによって、Sandworm APTグループとツールに重複が見られる高度標的型攻撃(APT)アクターに高い確度で帰属すると分析されています。
SandwormはロシアのGRU(軍参謀本部情報総局)と関連するロシアの国家支援型ハッキンググループで、政府機関や重要インフラに対する破壊的なサイバー攻撃を行うことで知られています。
攻撃者は、CVE-2026-20079の悪用、またはCVE-2026-20316に関連する静的認証情報の使用のいずれかによってFMCデバイスへのアクセス権を取得しました。
アクセス権を取得した後、脅威アクターはlicense.tmpファイルを改変し、自らのコマンド&コントロール(C2)インフラに接続するNetcatベースのリバースシェルを確立しました。この不正なライセンスファイルは、Ciscoの正規ユーティリティであるpackage_info.plを使ってrootとして実行されました。
Talosは、UAT-11823が攻撃中にCVE-2026-20079とCVE-2026-20316の両方を悪用したとみています。
攻撃者はまた、管理対象デバイスから設定データを収集して後の窃取のためにアーカイブに保存するスクリプトも展開していました。
UAT-11823は最終的に、侵害したデバイス上にCyclops Blinkの亜種を展開しました。これはロシアのSandworm脅威グループに帰属するとされてきたモジュール式のLinuxマルウェアファミリーです。
このCyclops Blink亜種はバックドアとして機能し、持続的なアクセス、認証情報の窃取、ネットワークトラフィックの傍受能力を提供します。
第3のクラスターは認証情報を窃取
3つ目のクラスターであるUAT-12197は、CVE-2026-20079を悪用し、Cisco Security ManagerのTomcat webrootディレクトリにJSPベースのWebシェルを展開しました。
そのWebシェルは、cmd.jarという名前の不正なJARファイルをインストールするために使用され、これによりサーバー上でコマンドを実行できるようになりました。
攻撃者はこのJARファイルを使って、侵害したシステム上の内部データベースに照会をかけ、ユーザーの認証データや認証情報を窃取しました。
7月の攻撃との関連を確認
Talosのレポートは、7月に初めて公表された2つの脆弱性の悪用をめぐる継続中の疑問にも答えるものとなりました。
BleepingComputerが7月29日に報じたとおり、Ciscoは当時、CVE-2026-20316が実際に悪用されていることを開示し、他のFMC脆弱性と連鎖させて権限を昇格させられる可能性があると警告していました。
同時に、Ciscoは CVE-2026-20079に関する勧告を更新し、CVE-2026-20316で使われていたものと同じ/var/tmp/license.tmpという侵害の痕跡(IoC)を追加しましたが、この認証バイパスの脆弱性も悪用されているかどうかについては確認していませんでした。
BleepingComputerは当時Ciscoに対し、この2つの脆弱性に関連性があるのか、CVE-2026-20079も悪用されているのか、なぜ両方の勧告に同じ痕跡が記載されているのかを問い合わせていました。
Ciscoはこれらの質問に直接回答せず、顧客に対し修正パッチを速やかに適用するよう求める声明を共有しただけでした。
Talosは今回、UAT-11823が両方の脆弱性を悪用し、攻撃中に不正なlicense.tmpの仕組みを使用していたことを確認しました。
