Cisco FMCで2件の脆弱性が悪用、Cyclops Blink設置やランサムウェア攻撃に発展

オンプレミス版Cisco Secure Firewall Management Center（Secure FMC）の2件の脆弱性が、認証情報窃取、国家支援型の活動と重なるマルウェアの設置、Qilinランサムウェアの展開に利用されたことをCisco Talosが明らかにした。Talosは侵害後の活動を3つのクラスターに分けて追跡している。

Secure FMCは複数のCisco Secure Firewallを一元管理するため、侵害されると管理装置内の認証情報やファイアウォール設定が窃取され、内部ネットワークへの侵入拠点として利用されるおそれがある。Ciscoは対象リリース向けのホットフィックスを公開しており、利用者に早急な適用と侵害の有無の確認を求めている。

■3つの攻撃クラスターを確認

Cisco Talosは2026年9月9日、Cisco Secure FMC Softwareの脆弱性を悪用した3つの侵害後活動クラスターを公表した。Secure FMCは、複数のCisco Secure Firewallに対する設定、アプリケーション制御、侵入防御、URLフィルタリングなどのポリシーを集中管理する製品である。

TalosがUAT-12197として追跡するクラスターは、WebシェルとJava Archive（JAR）形式のコマンド実行ツールを設置し、Secure FMC内の認証情報を抽出した。UAT-11823は、米英当局がロシアのSandwormに帰属させてきたマルウェア「Cyclops Blink」を展開した。TalosはUAT-11823を高度な持続的脅威（APT）アクターと高い確信度で評価し、そのツールがSandwormと重複するとしている。

3番目のUAT-11988は、Secure FMCを足場に内部ネットワークを偵察し、認証情報の窃取やトンネルの構築を経て、選定した端末にQilinランサムウェアを展開した。Talosはこのクラスターを高い確信度でランサムウェア運用者と評価し、その後の行動や攻撃手法がQilinのアフィリエイトと一致するとしている。

米サイバーセキュリティ・社会基盤安全保障庁（CISA）は、実際の悪用を示す証拠に基づき、CVE-2026-20079を既知悪用脆弱性（KEV）カタログへ9月9日に追加した。米連邦文民行政機関に設定された対処期限は9月12日だった。CISAの指令が直接適用されるのは対象の連邦機関だが、同庁は民間を含むすべての組織にもKEV掲載脆弱性への優先的な対処を促している。

■悪用された2件の脆弱性

CVE-2026-20079は、Secure FMCのWebインターフェースに存在する認証回避の脆弱性で、CVSS基本値は最大の10.0である。認証されていない遠隔の攻撃者が細工したHTTPリクエストを送ると、認証を回避し、基盤となるOS上でroot権限につながるスクリプトやコマンドを実行できる。

Ciscoは同脆弱性を2026年3月4日に公表し、修正版を提供していた。同社の製品セキュリティインシデント対応チームは8月に実際の悪用を把握し、9月9日にアドバイザリーを更新した。Ciscoが示したログの例には7月23日付の不審な実行記録が含まれている。

もう1件のCVE-2026-20316は、Secure FMCのWebインターフェースに低権限アカウントの固定認証情報が存在する脆弱性である。認証されていない遠隔の攻撃者がこの認証情報を使用すると、低権限ユーザーとしてログインし、機微なデータへアクセスできる。

CVE-2026-20316のCVSS基本値は5.3だが、他のSecure FMCの脆弱性と組み合わせて権限を昇格できることから、Ciscoはセキュリティ影響評価を「High」とした。同社は7月に実際の悪用を把握し、7月29日に脆弱性を公表している。

今回Talosが調査した攻撃では、低権限でのアクセス後にSecure FMCの正規ユーティリティ「package_info.pl」を悪用し、攻撃者が用意したlicense.tmpをroot権限で実行する手法も確認された。CVE-2026-20316によるアクセスが、こうしたSecure FMC固有の実行経路と組み合わされていた。

CVE-2026-20079はオンプレミス版Secure FMC Softwareに加え、Cisco Security Cloud Control（SCC）のFirewall Managementにも影響する。SCCはCiscoが管理するSaaSであり、修正はサービス側へ適用済みのため、利用者による対応は必要ない。CVE-2026-20316の影響対象はオンプレミス版Secure FMC Softwareで、クラウド提供版FMC、Firewall Device Manager、Secure Firewall Adaptive Security Appliance Software、Secure Firewall Threat Defense Software、Security Cloud Controlは影響を受けない。

■UAT-12197はSecure FMC内の認証情報を抽出

UAT-12197はCVE-2026-20079の悪用後、CSM TomcatのWebルートディレクトリにJSP形式のWebシェルを配置した。このWebシェルは、指定されたパラメーターをBase64で復号し、Javaプロセスに読み込むクラスを決定する仕組みを備えていた。

攻撃者はWebシェルを使い、同じディレクトリにcmd.jarというJARファイルを配置した。このファイルはコマンドラインから受け取った命令を「/bin/sh -c」で実行するコマンド実行ツールだった。

さらに攻撃者はSecure FMC内部のデータベースを照会し、ユーザー名と認証データを取得した。集中管理装置に保存された認証情報を奪うことで、Secure FMC自体にとどまらず、管理対象の機器や内部ネットワークへの侵入に利用できる足掛かりを得ようとしたとみられる。

■UAT-11823はCyclops Blinkを設置

UAT-11823はCVE-2026-20079または固定認証情報を利用してSecure FMCへ侵入した。Talosは、同クラスターがCVE-2026-20079とCVE-2026-20316を悪用したと高い確信度で評価している。

侵入後、攻撃者はディスク上のlicense.tmpを、悪意ある処理を含むMakeself形式の自己解凍アーカイブに置き換えた。そのファイルをCiscoの正規ユーティリティpackage_info.plへ渡すことで、root権限で実行し、攻撃者のコマンド・アンド・コントロール（C2）サーバーへ接続するNetcatベースのリバースシェルを確立した。

このように対象環境に備わった正規のツールを攻撃に転用する手法は、「環境寄生型」またはLiving off the Landと呼ばれる。今回の事例では、ライセンス関連処理に使われる正規ユーティリティが、攻撃者の用意したパッケージを高い権限で実行する経路に利用された。

UAT-11823は、侵害したSecure FMCが管理するデバイスの設定を収集する2本のbashスクリプトも配置した。収集された設定はアーカイブにまとめられ、後の持ち出しに備えて一時保管されていた。

最終的に設置されたのは、モジュール型ELFマルウェアのCyclops Blinkである。Cyclops Blinkは2022年にWatchGuard FireboxやASUS製ルーターを狙った活動で確認され、米国と英国の当局がロシアのSandwormに帰属させたマルウェアだ。Talosが今回確認したファイルのSHA-256ハッシュは「6f98add5d1a7729192b6ad8491d85c505c64836f7881742d6b93bd8e3d2fe461」である。

確認された機能には、/etc/init.d/にスクリプトを登録する永続化、DNS over HTTPSを使ったC2アドレスの名前解決、ファイルの送受信、認証情報の収集、任意のファイルおよびコマンドの実行、ネットワークのスキャンと探索、条件を指定できるパケットキャプチャが含まれる。ファイアウォール群の設定やネットワーク情報を集中管理するSecure FMCに置かれることで、境界機器を起点とした情報収集や次の侵入活動を支える機能となる。

■UAT-11988は偵察後にQilinを展開

UAT-11988は、CVE-2026-20316に関連する固定認証情報を使ってSecure FMCへログインした。その後、package_info.plを悪用し、攻撃者が細工したlicense.tmpをroot権限で実行した。

攻撃者はSecure FMCから、ホスト名、IPアドレス、ディレクトリ一覧、Active Directoryのサービスアカウント認証情報、MySQLアカウントの認証情報、ドメインアカウント情報、コンピューターオブジェクトの一覧などを収集した。対象には、ドメインコントローラー、Active Directoryフェデレーションサービス、Exchange、ファイルサーバー、データベースサーバーなどの情報が含まれていた。

収集した情報はSecure FMC上のアクセス可能なファイルへ一時保管され、HTTP GETリクエストによって持ち出された。続いて攻撃者はPython製のSOCKS5プロキシと、Secure FMCから攻撃者側ホストへ接続するリバースSSHトンネルを設置し、内部ネットワークへのアクセス経路を構築した。

転送対象にはLDAP、LDAPS、Kerberos、SMB、NetBIOS、WinRMで使われるポートが含まれていた。これにより、Secure FMCを中継点としてActive Directory関連サービスやWindows端末へ接続できる状態が作られた。

その後、攻撃者はImpacketやInvoke-TheHashなどのオープンソースツール、セキュリティ対策ソフトを停止させるカスタムツールを展開し、選定した端末へQilinランサムウェアを投入した。暗号化対象のリストは、Secure FMCを起点とした偵察によって収集した環境情報を基に作成されていた。

この活動は、ファイアウォール管理装置の侵害が単なる設定情報の漏えいにとどまらず、内部ネットワークの把握、認証情報の窃取、通信経路の構築、ランサムウェアの展開までを支える足場になり得ることを示している。

■ホットフィックス適用と侵害確認を

CiscoはSecure FMC Softwareの7.0、7.2、7.4、7.6、7.7、10.0の各リリース向けに、2件の脆弱性へ対処するホットフィックスを公開している。Talosは、複数の脆弱性への修正をまとめた包括的なセキュリティ強化リリースを待たず、該当するホットフィックスをできるだけ早く適用するよう推奨している。

CVE-2026-20079とCVE-2026-20316には、脆弱性を解消する回避策がない。管理インターフェースをインターネットへ直接公開していない場合は攻撃対象領域を減らせるが、修正の代わりにはならない。

Cisco Talosは、CVE-2026-20079の検知に対応するSnort SID 66075から66080、CVE-2026-20316に対応するSID 66883、関連マルウェアに対応するSID 66960と66961を公開した。Webシェル、cmd.jar、Cyclops Blinkのファイルハッシュや、攻撃に使われたIPアドレスなどの侵害指標も公開している。

管理者は、Ciscoが案内するコマンドをエキスパートモードで実行し、package_info.plによるライセンスファイルの処理記録を確認できる。出力されたログに「/var/tmp/license.tmp」が含まれている場合、脆弱性がすでに悪用された可能性がある。

このほか、CSM TomcatのWebルートディレクトリにある不審なファイル、Secure FMCからの異常な外向き通信、想定外の引数を伴うpackage_info.plの実行、未知のプロキシやリバースSSH接続についても確認が必要だ。

侵害が疑われる場合、ホットフィックスの適用だけでは既存の侵害を解消できない。Ciscoは直ちにCisco Technical Assistance Centerへ連絡し、復旧方法について支援を受けるよう案内している。Secure FMCが管理する認証情報や設定についても、侵害された可能性を前提に影響範囲を調査する必要がある。

元記事: Cisco Firewall Manager Hacked by Sandworm Espionage Implant and Qilin Ransomware