Cisco confirma la explotación de dos fallos de FMC por Qilin y un APT ligado a Sandworm
Talos atribuye a tres clústeres el uso de CVE-2026-20079, un bypass de autenticación con CVSS 10,0, y CVE-2026-20316, que entra con credenciales estáticas de una cuenta de bajos privilegios.
Cisco Talos ha confirmado que tres clústeres distintos han explotado dos vulnerabilidades ya parcheadas de Secure Firewall Management Center (FMC): CVE-2026-20079, un bypass de autenticación con CVSS 10,0, y CVE-2026-20316, que permite entrar con credenciales estáticas asociadas a una cuenta de bajos privilegios. Uno de los grupos desplegó ransomware Qilin, otro tiene solapamiento de herramientas con Sandworm y el tercero se centró en el robo de credenciales.
Cisco ya ha publicado hot fixes para ambos fallos y pide instalarlos cuanto antes. La semana que viene publicará además un endurecimiento más amplio con parches para vulnerabilidades adicionales. El primer CVE permite a un atacante remoto no autenticado saltarse la autenticación y ejecutar scripts como root en el dispositivo; el segundo se queda en un 5.3 de CVSS, pero Cisco lo clasifica como gravedad alta porque se puede encadenar con otros fallos de FMC para escalar privilegios.
Tres clústeres, tres finales
Talos sigue la actividad posterior al compromiso en tres agrupaciones. La primera, UAT-11988, se atribuye con alta confianza a afiliados de Qilin. Entraron usando las credenciales estáticas de CVE-2026-20316 y, una vez dentro, abusaron de herramientas legítimas del propio FMC para hacer reconocimiento: recogieron nombres de host, direcciones IP, listados de directorios, credenciales de cuentas de servicio de Active Directory, credenciales de MySQL, información de cuentas de dominio y el mapeo entre nombres e IP de servidores internos. Todo eso lo dejaron en archivos accesibles públicamente en el propio FMC comprometido y lo descargaron con peticiones HTTP GET. Después montaron un proxy SOCKS5 en Python y un túnel SSH inverso, con reenvío de puertos para LDAP, LDAPS, Kerberos, SMB, NetBIOS y WinRM, y tiraron de Impacket, Invoke-TheHash y killers de EDR a medida antes de cifrar equipos con Qilin.
La segunda, UAT-11823, vuelve a coincidir con el grupo ruso Sandworm, ligado a la inteligencia militar (GRU). Entraron por CVE-2026-20079 o por las credenciales estáticas, modificaron un archivo license.tmp para abrir una reverse shell con Netcat contra su infraestructura de mando y control, y lo ejecutaron como root usando la utilidad legítima package_info.pl de Cisco. También archivaron configuraciones de dispositivos gestionados para exfiltrarlas después y acabaron plantando una variante de Cyclops Blink, el malware modular de Linux que actúa como backdoor: acceso persistente, robo de credenciales y capacidad de espiar tráfico de red.
El tercer clúster, UAT-12197, explotó CVE-2026-20079 y dejó un web shell JSP en el directorio webroot de Tomcat de Cisco Security Manager. Desde ahí instalaron un JAR malicioso llamado cmd.jar para ejecutar comandos, consultar bases de datos internas y llevarse datos de autenticación y credenciales de usuario.
Lo que quedaba por confirmar
El informe de Talos responde a las dudas que quedaron abiertas en julio, cuando Cisco reconoció la explotación activa de CVE-2026-20316 y avisó de que podía encadenarse. En aquel momento actualizó también el aviso de CVE-2026-20079 con el mismo indicador de compromiso (/var/tmp/license.tmp) sin llegar a confirmar que el bypass estuviera siendo explotado. Preguntado al respecto, Cisco no respondió de forma directa y se limitó a pedir la instalación de los hot fixes. Ahora Talos confirma que UAT-11823 usó los dos fallos y ese mismo mecanismo.
La cosa importa porque FMC es el plano de gestión del firewall: quien lo controla ve y toca toda la red que cuelga de él. Con un CVSS 10,0 de por medio y tres actores distintos operando sobre los mismos dos fallos, la ventana entre parche y explotación se mide en días.
