FMC Cisco sotto assedio: CVE 10/10 apre la porta a root, furto credenziali e ransomware Qilin

Cisco Secure Firewall Management Center (FMC) è finito nel mirino di più gruppi di minaccia che stanno sfruttando vulnerabilità recentemente corrette per ottenere accesso remoto, sottrarre credenziali e, in alcuni casi, distribuire il ransomware Qilin. La campagna evidenzia quanto i sistemi di gestione della sicurezza di rete possano diventare un punto di ingresso ad alto impatto quando esposti e non aggiornati, soprattutto perché FMC governa configurazioni e dispositivi gestiti.

Vulnerabilità sfruttate

La prima falla sfruttata è CVE-2026-20079 con punteggio CVSS 10.0, un bypass di autenticazione nell’interfaccia web del software FMC. Un attaccante remoto non autenticato può aggirare i controlli di accesso ed eseguire script sul dispositivo vulnerabile, arrivando fino a ottenere privilegi di root sul sistema operativo sottostante. In pratica si tratta di una condizione che facilita la compromissione completa della piattaforma di management e l’installazione di componenti malevoli come web shell o strumenti di esecuzione comandi.

La seconda vulnerabilità è CVE-2026-20316 con CVSS 5.3. Anche questa è sfruttabile da remoto e senza autenticazione, consentendo l’accesso tramite un account a bassa privilegiatura e l’ottenimento di dati sensibili. In scenari reali può essere combinata con altre debolezze per elevare i privilegi e ampliare il controllo sull’ambiente.

Attività osservate e cluster di minaccia

Le attività osservate sono state ricondotte a tre cluster distinti:

• Cluster 1: ha usato CVE-2026-20079 per distribuire web shell basate su JSP e un esecutore comandi in formato JAR, con l’obiettivo di interrogare database interni e recuperare dati di autenticazione e credenziali.
• Cluster 2: ha concatenato entrambe le CVE per ottenere una reverse shell con Netcat, eseguire script bash per raccogliere configurazioni dei dispositivi gestiti e distribuire una variante di Cyclops Blink, impianto modulare ELF associato in passato ad attori statali russi.
• Cluster 3 (ransomware): legato a operazioni ransomware, ha sfruttato CVE-2026-20316 per l’accesso iniziale, poi ha adottato tecniche living off the land usando strumenti legittimi di FMC per ricognizione, mantenimento dell’accesso tramite tunneling, furto credenziali, preparazione della lista di endpoint da cifrare, disattivazione di tool di sicurezza e distribuzione selettiva di Qilin ransomware.

Indicazioni operative

Le indicazioni operative puntano sull’applicazione immediata degli hotfix per le versioni affette e sull’adozione di rilasci di hardening, anche perché una delle vulnerabilità principali è stata inserita nel catalogo Known Exploited Vulnerabilities con scadenze di patching ravvicinate.