Cisco FMC. Sandworm i Qilin na tym samym panelu zarządzania
Kilka dni po MikroTricku wraca ten sam schemat na innym sprzęcie. Nie router w mieszkaniu z SSH na 0.0.0.0, tylko centrum zarządzania firewallami Cisco: Secure Firewall Management Center. Kto przejmie FMC, nie hakuje jednej reguły. Siedzi nad flotą urządzeń, konfiguracjami, czasem nad ścieżką do reszty sieci.
9 września 2026 Cisco zaktualizowało advisory: aktywne wykorzystanie CVE-2026-20079 od sierpnia. Tego samego dnia CISA wpisała lukę do katalogu KEV z terminem dla agencji federalnych do 12 września. Talos opisał trzy klastry intrusion. W jednym widać narzędzia kojarzone z Sandwormiem. W innym ścieżkę prowadzącą do ransomware Qilin.
Dwie luki, jeden panel
CVE-2026-20079 ma CVSS 10.0. Bypass uwierzytelnienia w interfejsie WWW FMC: przez spreparowane żądania HTTP da się odpalić skrypty i dojść do roota na systemie urządzenia. Cisco znalazło to wewnętrznie i załatało na początku marca 2026. Przez miesiące advisory żyło jako „łatka wyszła”. We wrześniu firma napisała wprost, że ataki poszły.
CVE-2026-20316 to twardszy, prostszy błąd: statyczne (hardcoded) poświadczenia konta o niskich uprawnieniach. Bez loginu da się wejść na podatną instancję. Luka była w KEV już wcześniej, z potwierdzonym wykorzystaniem w lipcu. Teraz Talos pokazuje, że oba CVE pracują w tych samych kampaniach, czasem zamiennie.
Łatki na obie są od dawna. Cisco zapowiada też szerszy hardening w tygodniu 16 września. Do tego czasu rekomendacja jest nudna i właściwa: wgrać hotfixy już wydane. Tymczasowo: nie wystawiać interfejsu zarządzania FMC do internetu. Brzmi jak poradnik z 2012. Nadal łapie firmy, które wystawiły panel „na chwilę dla integratora”.
Trzy klastry, nie jedna historia
UAT-12197: wejście przez CVE-2026-20079, web shell w katalogu Tomcata CSM, potem złośliwy JAR do wyciągania danych uwierzytelniania i credentiali.
UAT-11823: Talos wiąże z rosyjskim APT Sandworm. Dostęp przez jedną z dwóch luk, podmiana license.tmp pod reverse shell, zbieranie konfiguracji zarządzanych firewalli, implant (w obserwacjach Cyclops Blink) do credentiali, poleceń, snifa i skanów. Cyclops Blink od lat wraca przy operacjach przypisywanych temu środowisku. Talos mówi o pokryciu narzędziowym; nie musisz kupować każdej literki atrybucji, żeby zobaczyć wagę: ktoś na FMC zbiera konfiguracje całej floty.
UAT-11988: Talos z wysoką pewnością ocenia jako operatora Qilin. Wejście przez statyczne credentials (CVE-2026-20316), rozpoznanie sieci i endpointów, kradzież credentiali, dodatkowy dostęp (m.in. proxy SOCKS, reverse SSH), zabijanie AV, lista maszyn do szyfrowania, ransomware. Ten sam panel, który miał pilnować brzegu, staje się punktem startu do szyfrowania wnętrza.
Nie publikuję IoC ani PoC. Cisco i Talos je mają. Tu liczy się układ: państwo i cybercrime na tej samej powierzchni zarządzania.
Edge zarządzania, nie tylko edge ruchu
MikroTrick uczył, że tani router z otwartym SSH to punkt wejścia do wszystkiego za nim. FMC uczy wersji korporacyjnej: centralny panel jest cenniejszy niż pojedynczy firewall. Reguły, tunele, konta, czasem widok na całą topologię. Atakujący nie musi od razu szukać domeny AD. Może zacząć od skrzynki, której zadaniem było właśnie chronić tę domenę.
Wzorzec z ostatnich tygodni jest spójny. Najpierw łatka i cichy advisory. Potem potwierdzenie exploitation in the wild. Potem KEV i krótkie okno dla federalnych. Po drodze PoC albo IoC wyciekają do obiegu. Kto czekał na pewność medialną, dostaje ją razem z aktywnymi klastrami.
Rhysida w Berlinie, MikroTrick na RouterOS, teraz FMC: w jednym tygodniu dziennik dostaje trzy różne powierzchnie, a morał jest podobny. Brzeg (albo panel, który brzegiem zarządza) zostaje tam, gdzie atakujący najchętniej zaczyna, bo stamtąd widać dalej.
Jeśli trzymasz FMC: hotfixy na 20079 i 20316, sprawdzenie pod kątem wskazówek Cisco/Talos (obce webshelle, podejrzane pliki w webroot, nietypowe sesje, ślady po license.tmp), ograniczenie zarządzania do zaufanej sieci. Brak alarmu w SIEM nie wyklucza, że panel był brudny od miesięcy.
Dla reszty czytelników sens jest szerszy niż marka Cisco. Zarządzanie infrastrukturą bezpieczeństwa jest infrastrukturą. Kto je wystawi albo zostawi bez łat, oddaje nie jeden port, tylko sterowanie.