Cisco FMC: уязвимости эксплуатируют для кражи учётных данных и развёртывания Qilin ransomware

Cisco раскрыла подробности кампаний, в ходе которых злоумышленники эксплуатировали две уязвимости в Secure Firewall Management Center (FMC) — решение для централизованного управления межсетевыми экранами Cisco. По данным компании, атаки проводят как минимум три различные группы угроз: одни преследуют финансовую выгоду и разворачивают ransomware Qilin, другие связаны со спонсируемыми государствами операциями. Обе уязвимости уже получили патчи, однако тот факт, что их начали использовать в реальных атаках, делает срочность обновления критичной.

Подробности

Ключевая уязвимость — CVE-2026-20079 с оценкой CVSS 10.0. Это обход аутентификации в веб-интерфейсе FMC: неаутентифицированный удалённый атакующий может обойти проверку подлинности и получить доступ к системе. Столь высокая оценка обусловлена тем, что эксплуатация не требует учётных данных и может выполняться удалённо, а FMC занимает привилегированное положение в инфраструктуре, управляя политиками безопасности межсетевых экранов. Вторая уязвимость также затрагивает FMC и была устранена в рамках того же обновления. Вместе они позволяют злоумышленникам проникать в систему управления, похищать учётные данные и в дальнейшем развёртывать шифровальщик Qilin — вредоносное ПО, используемое в атаках с требованием выкупа. Особую тревогу вызывает разнородность атакующих: эксплуатацию ведут и киберпреступные группировки, ориентированные на выкуп, и структуры, связываемые со спонсируемыми государством операциями. Это означает, что уязвимости представляют интерес как для финансово мотивированных, так и для разведывательных целей. Затронуты версии FMC, не обновлённые до выпущенных патчей.

Что делать

В первую очередь необходимо установить обновления Cisco, закрывающие CVE-2026-20079 и вторую уязвимость. Учитывая, что эксплуатация уже зафиксирована, обновление следует считать приоритетным, а не плановым. Дополнительно рекомендуется: проверить, не подвергался ли веб-интерфейс FMC воздействию извне, и ограничить его доступность из интернета; провести аудит учётных данных и сменить пароли, если есть подозрения на компрометацию; проверить журналы FMC и подключённых межсетевых экранов на предмет подозрительной активности; включить MFA для доступа к административным интерфейсам, где это возможно. В случае обнаружения признаков компрометации — следов несанкционированного доступа, изменения политик или аномальной активности в сети — следует изолировать систему управления и инициировать процедуру реагирования на инцидент. Для защиты от Qilin важно также убедиться в наличии актуальных резервных копий и их изоляции от основной сети. Итог: эксплуатация CVE-2026-20079 в реальных атаках превращает её из теоретической угрозы в практическую — организациям на Cisco FMC следует незамедлительно установить патчи и проверить систему на признаки компрометации.

Источник: The Hacker News