Due vulnerabilità di Cisco Secure Firewall Management Center (FMC), per le quali sono già disponibili correzioni, sono state sfruttate in attacchi reali da almeno tre distinti cluster. L’analisi di Cisco Talos collega le attività osservate sia al cybercrimine a scopo estorsivo sia a operatori riconducibili a campagne sponsorizzate da Stati. In uno dei casi, l’accesso al sistema di gestione dei firewall è sfociato nella distribuzione del ransomware Qilin; in un altro sono emersi strumenti e modalità operative sovrapposti a quelli attribuiti a Sandworm.
Il dato più rilevante non riguarda soltanto la gravità tecnica delle falle, ma il ruolo che FMC può avere nell’infrastruttura di un’organizzazione. È una piattaforma che centralizza l’amministrazione di firewall e policy di sicurezza: comprometterla può offrire agli intrusi una posizione favorevole per osservare la rete, raccogliere informazioni sulle identità interne e costruire canali di accesso verso altri sistemi. Cisco invita quindi i clienti a installare senza ritardi gli hotfix pubblicati.
Le due vulnerabilità al centro degli attacchi
La prima falla è CVE-2026-20079, classificata con punteggio CVSS 10 su 10. Consente a un attaccante remoto e non autenticato di aggirare l’autenticazione su un’istanza FMC vulnerabile ed eseguire script con privilegi root. In pratica, un difetto di questa natura può trasformare un’interfaccia di gestione esposta in un punto d’ingresso con il massimo livello di controllo sul dispositivo.
L’altra vulnerabilità, CVE-2026-20316, riguarda invece credenziali statiche associate a un account con privilegi limitati. Il suo punteggio CVSS è 5,3, ma Cisco la considera ad alta severità perché il valore di un accesso iniziale cambia radicalmente se l’attaccante riesce a combinarlo con altri difetti o con tecniche di escalation. Anche un account non amministrativo, su un apparato collocato al centro della sicurezza perimetrale, può bastare per avviare ricognizione, sottrarre segreti operativi e preparare movimenti laterali.
Le due CVE rappresentano dunque percorsi diversi verso lo stesso obiettivo: entrare nel piano di gestione dell’ambiente firewall. Nel primo caso l’accesso può essere ottenuto senza credenziali; nel secondo viene sfruttato un account predefinito o statico a basso privilegio. Le evidenze raccolte da Talos mostrano che gli aggressori hanno saputo usare entrambi gli scenari come base per operazioni ben più ampie del semplice controllo del dispositivo.
Dall’accesso a FMC alla cifratura con Qilin
Il cluster identificato come UAT-11988 è attribuito con alta confidenza da Talos ad affiliati di Qilin, famiglia ransomware che opera attraverso un modello a filiera: sviluppatori e operatori affiliati collaborano nella compromissione delle vittime e nell’estorsione. In questa attività, gli aggressori hanno effettuato l’accesso a un FMC sfruttando le credenziali statiche legate a CVE-2026-20316.
Una volta dentro, non hanno agito immediatamente sui computer degli utenti. Hanno prima sfruttato strumenti legittimi integrati in FMC per delineare l’ambiente della vittima. La ricognizione ha riguardato nomi host e indirizzi IP, elenchi di directory, dati sugli account di servizio Active Directory, credenziali MySQL, informazioni sugli account di dominio, inventari dei computer e associazioni tra nomi delle macchine e indirizzi degli apparati interni.
Secondo Talos, le informazioni raccolte venivano preparate in file accessibili pubblicamente sul server FMC compromesso e poi prelevate attraverso richieste HTTP GET. Questa scelta evidenzia un passaggio essenziale nelle intrusioni ransomware contemporanee: prima di tentare la cifratura, gli operatori investono tempo nel comprendere l’architettura della rete e nel trovare account o servizi che rendano più affidabile la propagazione.
Per mantenere un ponte verso i sistemi interni, il gruppo ha installato un proxy SOCKS5 in Python e un tunnel SSH inverso. Ha inoltre inoltrato traffico verso servizi fondamentali in contesti Windows aziendali, compresi LDAP, LDAPS, Kerberos, SMB, NetBIOS e WinRM. Sono protocolli che, se raggiungibili dall’attaccante, possono agevolare autenticazione, amministrazione remota e spostamenti laterali. Nel seguito della compromissione sono comparsi anche Impacket, Invoke-TheHash e strumenti personalizzati per neutralizzare soluzioni EDR. La fase finale è stata la distribuzione di Qilin sugli endpoint, con la cifratura dei file.
Il filone attribuito a un attore APT
Un secondo insieme di intrusioni, tracciato come UAT-11823, è stato attribuito da Cisco Talos con alta confidenza a un attore APT il cui arsenale presenta sovrapposizioni con Sandworm. Il gruppo Sandworm è generalmente collegato all’intelligence militare russa, il GRU, ed è noto per operazioni distruttive contro governi e infrastrutture critiche. Talos non limita quindi il quadro a un problema di ransomware: le stesse debolezze sono risultate interessanti anche per attori con finalità di spionaggio o sabotaggio.
In questo caso l’accesso ai dispositivi FMC è stato ottenuto sfruttando CVE-2026-20079 oppure le credenziali statiche di CVE-2026-20316. Le attività post-compromissione hanno incluso l’impiego di Cyclops Blink, malware già associato in passato a operazioni attribuite a Sandworm. La presenza di questo strumento in un’indagine su FMC va letta nel contesto dell’uso dell’apparato come nodo di controllo: chi dispone dell’accesso può cercare persistenza, raccogliere credenziali e creare infrastrutture di comunicazione verso la rete bersaglio.
Talos ha rilevato un terzo cluster, UAT-12197, nell’ambito della stessa analisi. Il fatto che l’azienda distingua tre gruppi di attività suggerisce che l’esposizione non sia stata sfruttata secondo un unico schema operativo. Ransomware e attori legati a interessi statali differiscono per obiettivi, tempi e tecniche, ma possono convergere sugli stessi dispositivi quando questi offrono visibilità e controllo su reti aziendali complesse.
Le priorità per chi gestisce FMC
Cisco ha rilasciato hotfix per entrambe le vulnerabilità e ha annunciato un intervento di hardening più ampio, comprensivo di patch per ulteriori difetti, previsto per la settimana successiva alla pubblicazione dell’avviso. Per le organizzazioni che usano Secure Firewall Management Center, aggiornare non dovrebbe essere l’unica misura. Poiché esistono già segnali di sfruttamento attivo, è opportuno trattare l’attività come una verifica di compromissione e non come una normale manutenzione differibile.
Le indagini dovrebbero concentrarsi anzitutto sugli accessi anomali a FMC, sull’esecuzione inattesa di script e sulla presenza di web shell o processi non previsti. Meritano attenzione anche file resi accessibili via web sul server, richieste HTTP sospette, tunnel SSH inversi e proxy SOCKS5 non autorizzati. Sul versante della rete interna, i team di sicurezza possono cercare inoltri inconsueti o connessioni verso i servizi di directory e amministrazione remota citati da Talos, oltre a tentativi di disattivazione degli strumenti EDR.
È importante, infine, non considerare l’account a basso privilegio coinvolto in CVE-2026-20316 come un rischio marginale. Nel caso Qilin, proprio quell’accesso ha permesso di avviare una catena che ha raggiunto gli endpoint. La lezione operativa è che la separazione fra dispositivi di sicurezza, piano di gestione e rete amministrativa va verificata con la stessa attenzione riservata ai server più esposti: un sistema destinato a difendere il perimetro può diventare, se non aggiornato e monitorato, un acceleratore dell’intrusione.
