Cisco conferma: CVE-2026-20079 su FMC sfruttata da Sandworm e Qilin

Cisco ha confermato il 9 settembre 2026 che la vulnerabilità CVE-2026-20079 nel Secure Firewall Management Center è attivamente sfruttata in attacchi reali. La società ha identificato due cluster di minacce distinti — un APT con overlap con Sandworm e un operatore ransomware affiliato a Qilin — che sfruttano la stessa falla di autenticazione con punteggio CVSS 10.0 per ottenere esecuzione di comandi come root sui sistemi target.

La falla: autenticazione bypassata al boot con esecuzione root

CVE-2026-20079 è classificata CVSS 10.0, il punteggio massimo. Secondo le informazioni diffuse da Cisco PSIRT e riportate da BleepingComputer, la vulnerabilità è causata da un improper system process creato durante la fase di boot del sistema. Un attaccante remoto non autenticato può inviare richieste HTTP craftate all'interfaccia web del Secure FMC per bypassare completamente i controlli di autenticazione ed eseguire script e comandi con privilegi di root.

La gravità è amplificata dalla natura del prodotto colpito: il Firewall Management Center è il pannello di gestione centralizzata per le appliance firewall di Cisco, non un endpoint isolato. Chi ne prende il controllo ottiene visibilità e potenziale manipolazione sulle policy di rete, sugli indicatori di compromissione e sulle configurazioni di sicurezza dell'intera infrastruttura protetta.

Due attori, stessa falla: il raro allineamento di APT e ransomware

L'analisi tecnica pubblicata da Cisco Talos documenta due catene di intrusione distinte che convergono sulla stessa vulnerabilità. Il primo cluster, UAT-11823, è un attore persistente avanzato che Talos collega con alta confidenza a sovrapposizioni strumentali con l'APT Sandworm, gruppo storicamente associato al GRU russo e attivo in operazioni di sabotaggio e spionaggio strategico.

UAT-11823 ha deployato una web shell JSP con meccanismo di decodifica Base64 del parametro F6C1F0E7 per caricare classi Java dinamicamente. Talos ha pubblicato il codice sorgente completo della backdoor. Dallo stesso cluster proviene l'esfiltrazione delle credenziali del database interno tramite il JAR cmd.jar con query SELECT name, auth_data FROM users, l'apertura di una reverse shell Netcat verso l'indirizzo 208.123.119.215:3090, e il deployment di una variante del malware Cyclops Blink — una famiglia di implant ELF modulare precedentemente attribuita a Sandworm — con persistenza in /etc/init.d/.

Il secondo cluster, UAT-11988, rappresenta un profilo completamente diverso. Talos lo valuta con alta confidenza come operatore ransomware le cui TTP nell'ambiente vittima risultano consistenti con quelle di affiliati Qilin. Questo attore ha sfruttato CVE-2026-20316 — una vulnerabilità separata di credenziali statiche con CVSS 5.3 — per l'accesso iniziale, proseguendo con reconnaissance Active Directory, tunneling SOCKS5/SSH e il deployment finale del ransomware Qilin. I due attori condividono gli stessi IoC (inclusi license.tmp e package_info.pl) e gli stessi hot fix, suggerendo che la superficie di attacco del Secure FMC è diventata un punto di accesso multi-uso nel mercato degli exploit.

"Due to Talos identifying in the wild abuse of these CVE's, customers are strongly advised to apply hotfixes" — Cisco Talos

Timeline e scoperta: exploitation risalente almeno a luglio

Una entry di log datata 23 luglio 2026, riportata da BleepingComputer, mostra l'esecuzione di package_info.pl /var/tmp/license.tmp --lsm con privilegi root da parte del processo www. Questo IoC precede di oltre un mese l'awareness ufficiale di Cisco PSIRT, fissata in agosto 2026, e indica che la vulnerabilità è stata sfruttata attivamente prima che il vendor ne riconoscesse l'abuso in-the-wild.

Il 9 settembre 2026 CISA ha incluso CVE-2026-20079 nel Known Exploited Vulnerabilities catalog, imponendo il requisito di forensics triage conformemente al BOD-26-04 per le agenzie del Federal Civilian Executive Branch. La deadline per l'applicazione delle patch è fissata al 12 settembre 2026. Cisco ha inoltre annunciato una "comprehensive hardening release" prevista per la settimana del 14-16 settembre 2026, i cui dettagli tecnici non sono stati ancora completamente specificati.

Cosa fare adesso

• Upgrade immediato: Cisco non ha rilasciato workaround alternativi; l'unica mitigazione documentata è l'applicazione degli hot fix disponibili per le versioni supportate del Secure FMC
• Triage forense obbligatorio: i hot fix non rimediano a compromissioni già avvenute; Cisco TAC deve essere coinvolto per verificare se il sistema è stato precedentemente compromesso, con attenzione agli IoC license.tmp, package_info.pl e alle connessioni verso 208.123.119.215:3090
• Rilevamento via rete: Cisco Talos ha rilasciato le signature Snort SID 66075-66080 per rilevare tentativi di exploitation noti; queste devono essere distribuite sui sensori di rete che coprono il traffico verso l'interfaccia di gestione FMC
• Valutazione catena CVE-2026-20316: dato che UAT-11988 ha sfruttato CVE-2026-20316 in combinazione con CVE-2026-20079, è necessario verificare anche la presenza di accessi tramite credenziali statiche compromesse e ricercare indicatori di movimento laterale SSH/SOCKS5

Perché la convergenza di APT e ransomware cambia il risk assessment

La coesistenza di Sandworm e Qilin sulla stessa vulnerabilità enterprise non è un caso di condivisione accidentale. Indica che CVE-2026-20079 ha attraversato la soglia che separa le falle riservate agli APT dalle commodity vulnerability: è diventata infrastruttura condivisa, un punto di ingresso che operatori con obiettivi diametralmente opposti — sabotaggio strategico e monetizzazione criminale — ritengono economicamente conveniente sfruttare.

Per i responsabili della sicurezza questo sposta il problema dal tradizionale "siamo un target per gli APT?" a "la nostra superficie di attacco è appetibile per chiunque abbia un exploit kit". Quando una falla nel pannello di gestione dei firewall diventa accessibile a due ecosistemi di minaccia così diversi, il patching non è più una questione di profilo di rischio basato su settore o geografia. Il profilo diventa universale.

Fonti

• https://www.bleepingcomputer.com/news/security/cisco-confirms-cve-2026-20079-secure-fmc-flaw-exploited-in-attacks/
• https://blog.talosintelligence.com/fmc-ongoing-exploitation/
• https://isc.sans.edu/diary/rss/33314
• https://blog.netmanageit.com/cisco-confirms-cve-2026-20079-secure-fmc-flaw-exploited-in-attacks/
• https://thehackernews.com/2026/07/cisco-fmc-zero-day-actively-exploited.html
• https://socprime.com/blog/cve-2026-20316-cisco-fmc-zero-day-exploited/
• https://www.cisa.gov/news-events/cybersecurity-advisories/aa22-054a
• https://www.cisa.gov/known-exploited-vulnerabilities-catalog

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti