Aggiornamento 11 settembre 2026: Cisco Talos ha dettagliato tre cluster distinti che stanno sfruttando vulnerabilità di Cisco Secure Firewall Management Center. Il quadro ora va oltre la sola conferma di CVE-2026-20079: gli incidenti osservati comprendono web shell e furto di credenziali, una variante di Cyclops Blink associata in passato a Sandworm e attività coerenti con affiliati del ransomware Qilin.
La vulnerabilità principale resta CVE-2026-20079, un bypass dell’autenticazione con punteggio CVSS 10.0 che può permettere a un attaccante remoto non autenticato di eseguire script e ottenere privilegi root sul sistema sottostante. Cisco raccomanda di applicare subito gli hotfix disponibili: non esiste un workaround che sostituisca la correzione.
Cisco FMC: cosa ha scoperto Talos sui tre cluster
Nel threat advisory di Cisco Talos, pubblicato il 9 settembre e diventato il riferimento operativo per gli attacchi osservati, compaiono tre gruppi di attività post-compromissione. Non hanno tutti lo stesso obiettivo e questo è il dettaglio più importante: la stessa superficie di gestione dei firewall viene sfruttata sia per spionaggio e persistenza sia per operazioni ransomware.
| Cluster Talos | Attività osservata | Collegamento indicato da Talos |
|---|---|---|
| UAT-12197 | Web shell JSP, command executor JAR e sottrazione di dati di autenticazione | Sfruttamento di CVE-2026-20079 |
| UAT-11823 | Reverse shell Netcat, proxy, raccolta configurazioni e Cyclops Blink | Tooling con sovrapposizioni rispetto ad attività Sandworm |
| UAT-11988 | Reconnaissance, tunneling, raccolta credenziali e cifratura di endpoint | TTP coerenti con affiliati Qilin ransomware |
È importante usare correttamente le attribuzioni. Talos descrive UAT-11823 come un attore APT ad alta confidenza con sovrapposizioni di tooling rispetto a Sandworm; la presenza di Cyclops Blink rafforza il collegamento tecnico, ma non equivale da sola a identificare in modo assoluto l’operatore. Per UAT-11988, Talos valuta con alta confidenza che si tratti di un operatore ransomware e afferma che le TTP successive sono coerenti con quelle di affiliati Qilin.
CVE-2026-20079 e CVE-2026-20316: perché vanno considerate insieme
| CVE | Problema | Impatto |
|---|---|---|
| CVE-2026-20079 | Bypass dell’autenticazione nell’interfaccia web | Attaccante remoto non autenticato può arrivare a esecuzione di script e root |
| CVE-2026-20316 | Credenziali statiche per un account a basso privilegio | Accesso remoto a informazioni sensibili e possibile concatenazione con altre vulnerabilità |
CVE-2026-20079 ha CVSS 10.0. CVE-2026-20316 ha un punteggio più basso, 5.3, ma gli incidenti descritti da Talos mostrano perché il numero non deve essere valutato isolatamente: una credenziale statica utilizzabile per entrare nel sistema può diventare il punto di partenza per reconnaissance, raccolta di credenziali e movimento verso la rete interna.
Il riferimento principale per CVE-2026-20079 resta l’advisory ufficiale Cisco, aggiornato il 9 settembre 2026. CISA ha inoltre inserito la vulnerabilità nel catalogo Known Exploited Vulnerabilities, confermando che il rischio non è più soltanto teorico.
Quali versioni di Cisco Secure FMC devono essere corrette
Cisco distribuisce hotfix specifici per i rami supportati di Secure Firewall Management Center. Non scegliere un pacchetto soltanto perché il numero principale coincide: confronta sempre la versione completa installata e il file previsto nell’advisory.
| Ramo Secure FMC | Hotfix indicato da Cisco per CVE-2026-20079 |
|---|---|
| 7.0 | Cisco_Firepower_Mgmt_Center_Hotfix_GB-7.0.9.1-3.sh.REL.tar |
| 7.2 | Cisco_Secure_FW_Mgmt_Center_Hotfix_HL-7.2.11.1-4.sh.REL.tar |
| 7.4 | Cisco_Secure_FW_Mgmt_Center_Hotfix_HG-7.4.7.1-3.sh.REL.tar |
| 7.6 | Cisco_Secure_FW_Mgmt_Center_Hotfix_CY-7.6.5.1-2.sh.REL.tar |
| 7.7 | Cisco_Secure_FW_Mgmt_Center_Hotfix_AM-7.7.12.1-2.sh.REL.tar |
| 10.0 | Cisco_Secure_FW_Mgmt_Center_Hotfix_P-10.0.1.1-2.sh.REL.tar |
La tabella è un controllo rapido. Prima dell’installazione va verificata la matrice Cisco aggiornata, compresi gli hotfix per CVE-2026-20316. Talos ha inoltre anticipato una release di hardening più ampia per la settimana del 14 settembre, che integrerà questi hotfix e ulteriori correzioni individuate internamente. Non è però un motivo per aspettare: gli hotfix disponibili vanno applicati ora.
Cisco Firewall Management SaaS richiede un intervento?
Per Cisco Security Cloud Control Firewall Management, Cisco dichiara di avere distribuito direttamente la correzione. I clienti del servizio SaaS non devono installare manualmente l’hotfix relativo a CVE-2026-20079.
Questo non vale per le installazioni on-premise di Secure FMC. Se gestisci l’appliance o la macchina virtuale nella tua infrastruttura, devi verificare versione, hotfix e possibili indicatori di compromissione.
Come controllare un possibile sfruttamento
Cisco pubblica un controllo utile per cercare un indicatore associato agli attacchi osservati. Dalla modalità expert di Secure FMC, l’advisory suggerisce di cercare nei log con:
zgrep "package_info.*license" /var/log/messages*Se l’output contiene un riferimento a /var/tmp/license.tmp, Cisco indica che il dispositivo potrebbe essere stato sfruttato. Conserva le evidenze e coinvolgi il Cisco Technical Assistance Center o il team di incident response invece di cancellare file o tentare una pulizia improvvisata.
L’assenza di questo singolo indicatore non dimostra che il sistema sia pulito. Talos descrive più catene operative, compreso l’abuso di strumenti legittimi già presenti su FMC. Un controllo efficace deve quindi considerare anche account, tunnel, configurazioni, attività di rete e credenziali raggiungibili dall’appliance.
Perché Qilin cambia il rischio per la rete interna
Nel cluster UAT-11988, Talos ha osservato un uso intensivo di strumenti legittimi di FMC per mappare l’ambiente. L’attore ha raccolto informazioni su host, controller di dominio e servizi, ha recuperato credenziali Active Directory e MySQL e ha impostato meccanismi di tunneling per raggiungere protocolli interni come LDAP, Kerberos, SMB e WinRM.
Le attività successive risultano coerenti con quelle di affiliati Qilin e sono arrivate alla cifratura di endpoint selezionati. Questo è il motivo per cui una compromissione di FMC non va trattata come un problema confinato alla console: il sistema di gestione può diventare un trampolino verso asset interni e credenziali di infrastruttura.
Cyclops Blink e il cluster con sovrapposizioni Sandworm
UAT-11823 ha combinato CVE-2026-20079 e CVE-2026-20316, quindi ha distribuito una reverse shell basata su Netcat, strumenti proxy e script per raccogliere configurazioni dei dispositivi gestiti. La catena ha portato a una variante di Cyclops Blink, malware che in precedenza è stato attribuito a Sandworm da autorità statunitensi e britanniche.
Talos parla di sovrapposizioni con Sandworm e di un attore APT ad alta confidenza; è più corretto riportare questa formulazione rispetto ad attribuire automaticamente ogni incidente direttamente al gruppo russo.
Installare l’hotfix basta se FMC è già stato compromesso?
No. L’hotfix chiude la vulnerabilità, ma non elimina automaticamente web shell, tunnel, account, credenziali sottratte o modifiche effettuate prima della patch. Se emergono segnali compatibili con lo sfruttamento, il caso va trattato come incidente.
- Verifica versione e patch level di ogni Secure FMC.
- Applica gli hotfix Cisco previsti per CVE-2026-20079 e CVE-2026-20316.
- Controlla i log e gli indicatori pubblicati da Cisco e Talos.
- Conserva log e snapshot se trovi attività sospette.
- Verifica account, credenziali, token e configurazioni raggiungibili da FMC.
- Cerca proxy, tunnel, web shell e attività di reconnaissance non autorizzate.
- Se la compromissione è plausibile, avvia incident response e ruota i segreti potenzialmente esposti.
Ridurre l’esposizione non sostituisce la patch
Limitare l’accesso alle interfacce amministrative da Internet, usare reti di management dedicate e permettere connessioni soltanto da host autorizzati resta una buona pratica. In questo caso, però, Cisco non pubblica un workaround capace di sostituire gli hotfix.
Il caso fa parte di un cluster più ampio di attacchi contro apparati e piattaforme di gestione perimetrali. Su iCrewPlay Tech abbiamo seguito anche CVE-2025-25249 su FortiGate e PivotC2, le vulnerabilità MikroTik RouterOS sfruttate attivamente e le falle critiche di Cisco IOS XR e Nexus 9000. In tutti questi scenari la patch chiude il vettore noto, ma non ricostruisce ciò che può essere successo prima.
Cosa fare oggi se gestisci Cisco FMC
Non rimandare CVE-2026-20079 al prossimo ciclo ordinario di manutenzione. Censisci le installazioni Secure FMC, confronta ogni release con gli advisory Cisco, installa gli hotfix e verifica se l’appliance mostra tracce compatibili con le catene descritte da Talos.
La novità dell’11 settembre è soprattutto questa: non esiste un solo profilo di attacco. Le stesse vulnerabilità sono già state usate per furto di credenziali, persistenza APT e ransomware. Per chi amministra FMC servono quindi due attività parallele: patch immediata e controllo dell’ambiente per capire se qualcuno è arrivato prima della correzione.
Entra nella conversazione
Condividi il tuo punto di vista: non serve creare un account. I contributi restano soggetti alla moderazione editoriale.