CiscoのファイアウォールUI管理基盤が、ランサムウェア攻撃者や高度な脅威アクターにとって活発な侵入口になっています。Cisco Talosは9月9日、Cisco Secure Firewall Management Center(FMC)の2件の脆弱性を悪用する3つの侵入クラスターを追跡していると発表しました。
これらのキャンペーンには、ロシア関連のSandwormと手口が重なる高度持続的脅威(APT)アクターや、最終的にQilinランサムウェアを展開したランサムウェアオペレーターが含まれています。FMCが侵害されると、認証情報やファイアウォール設定が流出し、ネットワークのさらに奥深くのシステムへの侵入経路が開かれる恐れがあります。
Talosが確認した攻撃では、攻撃者が認証情報とファイアウォール設定を窃取し、内部ネットワークへトンネリングを行い、下流のシステムを探索していました。集中管理プラットフォームに影響するCiscoファイアウォールの脆弱性は、FMCサーバー自体にとどまらない被害をもたらす可能性があります。
Cisco FMCの脆弱性が内部システムへの侵入経路を開く
CVE-2026-20079は、CVSSスコア10.0の深刻な認証バイパスの脆弱性です。未認証のリモート攻撃者がスクリプトを実行し、root権限を取得できてしまいます。Ciscoはこの脆弱性を3月4日に公表し、実際の悪用を確認したことを受けて9月9日にアドバイザリを更新しました。
CVE-2026-20316は、CVSSスコア5.3の静的認証情報の脆弱性です。未認証の攻撃者が埋め込まれた認証情報を使い、低権限のFMCアカウントや機密データにアクセスできてしまいます。この正規の認証情報を悪用する手口は、企業環境全体で信頼されたアクセス経路を悪用するという、攻撃者の広範な傾向を反映しています。
3つのクラスターはそれぞれ異なる経路をたどりました。UAT-12197は、FMCのデータベースに認証情報を求めるクエリを実行する前に、JSPウェブシェルと悪意のあるJARファイルをインストールしました。UAT-11823はNetcatによるリバースシェルを確立し、管理下のファイアウォール設定を窃取したうえで、Cyclops Blinkの亜種を展開しました。
Talosは高い確度でUAT-11823をAPTアクターと評価しており、そのツールセットはSandwormと重なるとしています。UAT-11988はCVE-2026-20316による認証情報を用いてアカウント情報を収集し、被害者ネットワークへのSOCKS5トンネルとリバースSSHトンネルを確立しました。
その後、ランサムウェアオペレーターは内部エンドポイントを探索し、アンチウイルス防御を無効化するために設計されたツールを展開したうえで、選定したシステムにQilinランサムウェアをインストールしました。今回のFMC攻撃は、8月に発生した別のキャンペーンに続くものです。そのキャンペーンでは、ハッカーがCisco ASAおよびFTDの脆弱性を悪用し、脆弱なファイアウォールをリモートから強制的に再起動させていました。
パッチ適用、痕跡の捜索、そして封じ込め
Ciscoは両方のFMC脆弱性に対してホットフィックスを公開しており、回避策は提示していません。既知の脆弱性がセキュリティインシデントを引き起こし続けている状況を踏まえると、セキュリティチームは修復と侵害状況の調査を並行して優先すべきです。
セキュリティチームが取るべき対応は以下の通りです。
- 利用可能な修正を直ちに適用する。影響を受けるFMCのリリースを確認し、Ciscoが提供する適切なホットフィックスまたは修正版ソフトウェアをインストールしてください。
- FMC管理インターフェースの露出を制限する。可能な限り管理インターフェースをパブリックインターネットから切り離し、信頼できる管理ネットワークのみにアクセスを限定してください。
- 検知の導入と監視を行う。Talosが公開したSnortルールを使用し、ウェブシェル、悪意のあるJARファイル、Netcatの活動、リバーストンネル、SOCKSプロキシ、不審な送信接続を捜索してください。
- 漏えいした可能性のある認証情報をローテーションする。侵害されたシステムからアクセス可能なActive Directory、サービス、データベース、管理者アカウントを確認してください。
- 横展開の痕跡を捜索する。不審なLDAP/LDAPS、Kerberos、SMB、NetBIOS、WinRMの活動を調査してください。
- 管理活動を監査する。ファイアウォール設定のエクスポート履歴を確認し、不審なpackage_info.plの活動や改変されたlicense.tmpファイルがないか調査してください。
- インシデント対応計画をテストする。侵害された管理システムを隔離し、証跡を保全し、認証情報をローテーションし、下流ホストを調査したうえで、安全に運用を復旧できる体制になっているか確認してください。
侵害の痕跡が確認された組織は、復旧に関するガイダンスを得るためCisco TACに連絡すべきです。Ciscoは、FMC・ASA・FTDを対象とするSecure Firewallのセキュリティ強化リリースを9月16日に予定していますが、Cisco自身は公開スケジュールが変更される可能性があるとしています。
パッチ適用によって、これまでに判明している侵入経路は塞がれます。しかし、インシデント対応担当者は、修復前に攻撃者がどの認証情報・設定・内部システムに到達していた可能性があるかを、引き続き特定する必要があります。
関連記事: 別件となる中国関連のキャンペーンは、侵害されたネットワークインフラがもたらす広範なリスクを示しており、攻撃者はCiscoルーターを周辺環境へのアクセスに使う秘密のネットワークゲートウェイに変えることが確認されています。
翻訳元: https://www.esecurityplanet.com/threats/news-cisco-fmc-vulnerabilities/
