Cisco FMC CVE-2026-20079: il gestore dei firewall diventa root, e sono entrati in tre

Il dispositivo che hai comprato per far rispettare la tua policy di rete è lo stesso dispositivo che tre attori diversi stanno ora eseguendo come root. CVE-2026-20079 è un bypass di autenticazione con punteggio CVSS 10.0 in Cisco Secure Firewall Management Center (FMC) — il piano di gestione dei parchi Firepower e Secure Firewall — e il 2026-09-09 Cisco Talos ha confermato che è sfruttato in the wild da tre cluster distinti: un gruppo crimeware, l'attore statuale russo Sandworm e un affiliato del ransomware Qilin. CISA lo ha inserito nel catalogo Known Exploited Vulnerabilities il 2026-09-09 con scadenza di remediation federale al 2026-09-12 — un termine di tre giorni, la fascia più stretta che la direttiva risk-based BOD 26-04 di CISA assegna a un CVSS 10 sotto sfruttamento attivo da parte di un attore statuale. Quella scadenza è ormai passata.

Non è un'appliance perimetrale che perde un file di configurazione. FMC è la console da cui ogni firewall gestito riceve le sue regole, la sua policy di logging e il suo software. Perdere FMC non significa perdere una scatola: significa perdere l'autorità che decide cosa fa ogni firewall a valle — e la traccia di audit che avrebbe dovuto registrare la perdita.

Cos'è davvero CVE-2026-20079

Cisco descrive la falla come un processo improprio creato all'avvio che permette a un attaccante remoto non autenticato di inviare richieste HTTP artefatte all'interfaccia web di FMC, bypassare completamente l'autenticazione ed eseguire script come root sul sistema operativo sottostante. Non c'è uno step di privilege escalation da concatenare né una credenziale da phishare. Un pacchetto verso l'interfaccia di management è l'intero exploit. È stato individuato dal team Cisco (Brandon Sakai) e divulgato all'inizio di marzo 2026; è l'attività in the wild — confermata da Cisco il 2026-09-10 — ad aver trasformato un bollettino di patch in una voce del KEV.

Al suo fianco viaggia CVE-2026-20316 (CVSS 5.3), una debolezza da credenziali statiche segnalata da Jimi Sebree di Horizon3.ai: un account a bassi privilegi hard-coded che consente a un attaccante remoto di autenticarsi senza conoscere nulla di ciò che hai impostato. Da sola è una media. Concatenata dietro il CVSS 10, è la seconda porta silenziosa preferita dal gruppo ransomware.

L'intervallo affetto va da 6.4.0.13 fino a 10.0.1. Cisco ha rilasciato hotfix per i rami supportati — 7.0.9, 7.2.11, 7.4.6, 7.6.5, 7.7.12 e 10.0.1 — con una release di manutenzione rafforzata nella settimana del 2026-09-14. Le istanze cloud SCC/SaaS sono state patchate lato server.

Perché un FMC con root è la peggiore scatola da perdere

Una console di gestione firewall è al tempo stesso una superficie di monitoraggio e una superficie di controllo, ed è proprio questa dualità a rendere catastrofica la sua perdita. Root su FMC dà a un attaccante tre capacità che un foothold ordinario non ha:

• Spingere policy verso ogni firewall gestito. L'attaccante può scrivere una regola di access-control che mette in whitelist il proprio C2, disattivare il logging che registrerebbe il suo traffico, o aprire un percorso per il movimento laterale — e i firewall lo accetteranno, perché arriva dal gestore legittimo.
• Raccogliere la mappa della rete. FMC conserva configurazione, object group e topologia di tutto ciò che gestisce. Il cluster di Sandworm ha archiviato esattamente questo: le configurazioni dei dispositivi gestiti, impacchettate per l'esfiltrazione.
• Manomettere il registro. Il dispositivo il cui compito è dirti cosa è successo sulla tua rete è ora controllato dalla persona su cui vorresti che ti informasse. Qualsiasi log scritto su FMC o sulle scatole che gestisce è ora sospetto per costruzione.

"Mostrami i log del firewall per quella finestra." "Il gestore dei firewall aveva root compromesso in quella finestra." "…quindi i log sono la prova di ciò che l'attaccante ha scelto di farci vedere."

È la forma di ogni conversazione post-incidente in cui è caduto il piano di controllo. Ed è anche il motivo per cui il segnale di detection utile non è sull'appliance — è sul filo, dove il comportamento non può essere modificato da chi possiede la console.

Tre gruppi, una scatola: cosa hanno fatto i cluster

Talos ha separato l'attività in tre cluster, e leggerli in ordine è un tour compresso di quanto vale un piano di controllo con root per attaccanti diversi.

Cluster	Attore	Ingresso	Cosa ha fatto
UAT-12197	Crimeware	CVE-2026-20079	Ha caricato una web shell home.jsp (parametro Base64) e un esecutore cmd.jar nella webroot Tomcat; ha interrogato DB interni via OmniQuery.pl per estrarre i dati di autenticazione memorizzati
UAT-11823	Sandworm (Russia)	20079 + 20316	Reverse shell Netcat verso 208.123.119.215:3090; abuso di package_info.pl e di un license.tmp malevolo (Makeself) eseguito come root; archiviazione delle config dei dispositivi gestiti; deploy di un impianto ELF Cyclops Blink con C2 su DoH, raccolta credenziali, sniffing e scansione di rete
UAT-11988	Ransomware Qilin	CVE-2026-20316	Login con credenziale statica, poi recon living-off-the-land con package_info.pl (hostname, credenziali AD, account MySQL); un proxy socks5.py e tunnel reverse-SSH che inoltrano LDAP (389), LDAPS (636), Kerberos (88), SMB (445), WinRM (5985); impacket, Invoke-TheHash, AV-killer custom; ransomware Qilin su endpoint selezionati

Cyclops Blink merita una pausa: è la stirpe successiva a VPNFilter, costruita apposta per vivere sui dispositivi di rete, e la sua presenza qui significa che Sandworm non stava attraversando FMC per raggiungere una workstation — l'appliance era l'obiettivo. Il cluster Qilin è l'immagine speculare: FMC è il pivot, e i tunnel reverse-SSH che inoltrano Kerberos e SMB sono l'intero scopo — trasformare il gestore dei firewall in una porta verso Active Directory, poi cifrare.

Il filo è la superficie onesta

Ognuno di quei cluster ha dovuto fare qualcosa che la console compromessa non può nascondere: ha dovuto muovere pacchetti. Il gruppo crimeware ha interrogato database e messo in staging credenziali. Sandworm ha fatto beaconing su DNS-over-HTTPS e ha tenuto una sessione Netcat verso un IP mai visto prima. Qilin ha diramato tunnel reverse-SSH su LDAP, Kerberos e SMB e poi ha spinto il ransomware in laterale. Nulla di tutto ciò risiede in modo pulito in un log che l'attaccante può modificare — ma tutto è visibile come comportamento sulla rete:

• Una reverse shell Netcat da un appliance di management verso 208.123.119.215:3090 è una sessione in uscita da un host che non dovrebbe quasi mai originare connessioni, verso un ASN con cui non ha mai parlato.
• Il C2 su DoH di Cyclops Blink è cifrato, quindi le firme lo mancano — ma la sua periodicità e il fatto che origini da un dispositivo infrastrutturale è un'anomalia comportamentale, non una corrispondenza di payload.
• Tunnel reverse-SSH che inoltrano Kerberos (88) e SMB (445) fuori da un gestore di firewall sono un fan-out di movimento laterale con una forma che un modello può apprendere anche quando ogni byte è cifrato.
• La fase di cifratura di Qilin ha una firma di traffico — pattern di scrittura SMB rapidi verso le condivisioni, diffusione laterale prevedibile — rilevabile mentre accade, non nel digest SIEM della mattina dopo che l'attaccante potrebbe aver già ripulito.

È l'argomento per trattare la rete come testimone primario in ogni ambiente in cui il piano di controllo può essere ribaltato. Firme e log dell'appliance presuppongono che l'appliance sia affidabile. Una volta che ha root nelle mani altrui, solo il traffico continua a dire la verità.

Remediation

Considera qualsiasi FMC raggiungibile da internet o in laterale come presunto-compromesso finché non si dimostra il contrario. Applicare una patch a una scatola del piano di controllo non sfratta un attaccante che ha già root.

1. Sono affetto? Controlla la versione di FMC nella UI web (Help → About) o via CLI show version. Qualsiasi versione da 6.4.0.13 a 10.0.1 senza hotfix è vulnerabile. Enumera l'esposizione: l'interfaccia web di FMC non dovrebbe mai essere raggiungibile da internet — verifica con una scansione esterna di tcp/443 sui tuoi IP di management, e verifica le regole firewall per qualsiasi percorso che raggiunga FMC da zone non fidate.

2. Patch — versioni corrette esatte. Applica l'hotfix Cisco per il tuo ramo: 7.0.9, 7.2.11, 7.4.6, 7.6.5, 7.7.12 o 10.0.1, con la release di manutenzione rafforzata (settimana del 2026-09-14) non appena disponibile. Le istanze SaaS/SCC sono già patchate. Applica prima la patch al gestore, poi verifica che i dispositivi gestiti non abbiano ricevuto policy scritte dall'attaccante mentre era esposto.

3. Non puoi patchare in quest'ora? Controlli compensativi. Limita l'interfaccia di management di FMC a una VLAN di gestione dedicata e a un'allow-list amministrativa esplicita; blocca ogni altra raggiungibilità sul dispositivo a monte. Termina qualsiasi accesso in ingresso a tcp/443 su FMC dalle reti non di management. Cisco ha pubblicato copertura Snort — SID 66075–66080 per CVE-2026-20079, 66883 per CVE-2026-20316 e 66960/66961 per il malware associato — dispiegali sul segmento davanti all'appliance, non sull'appliance di cui non ti fidi più.

4. Cerca la compromissione. Mappa su MITRE ATT&CK e cerca:

• T1505.003 (Web Shell): file .jsp/.jar inattesi nella webroot Tomcat CSM — home.jsp (SHA-256 b037f45e02a289325a1a5eb0d4db6a9fce9954fd0fdfd07162cb4eb2acbef77d), cmd.jar (db491181ece3f319de6567ab6f6daa90c6879911cd890155e6b7d8cc7a1a8c8e).
• T1059 (Command/Script): un license.tmp modificato (pacchetto Makeself) o invocazioni inattese di package_info.pl e OmniQuery.pl.
• T1071.004 / T1572 (C2 su DoH, tunneling): sessioni in uscita da FMC verso 89.34.96.56, 208.123.119.215, 91.214.78.118, 104.218.165.253 o 43.204.2.142; impianto Cyclops Blink (6f98add5d1a7729192b6ad8491d85c505c64836f7881742d6b93bd8e3d2fe461); qualsiasi tunnel reverse-SSH o SOCKS5 che origina da un'appliance di management.
• T1078 (Valid Accounts): login all'account statico a bassi privilegi di CVE-2026-20316.
• T1021 / T1003 / T1486: impacket, Invoke-TheHash, esecuzione di AV-killer e burst di scrittura SMB sui segmenti gestiti — la catena Qilin di laterale-e-cifratura.

5. Eradica + verifica. Ricostruisci un FMC confermato-compromesso da supporto pulito invece di ripulirlo sul posto — un impianto a livello root su un'appliance di controllo non è qualcosa da rimuovere selettivamente. Ruota ogni credenziale che FMC poteva vedere: i suoi account admin, qualsiasi service account AD/LDAP che detiene, gli account MySQL e — punto critico — il trust e le chiavi tra FMC e i firewall che gestisce, dato che l'attaccante aveva root sull'autorità che li governa. Ri-baseline la policy di ogni firewall gestito rispetto a una config known-good e fai il diff per le regole scritte dall'attaccante. Conferma la pulizia dopo la patch osservando sul filo il comportamento di C2 e tunnel di cui sopra — l'assenza di quelle sessioni, non l'assenza di una voce di log, è la prova.

Dove si colloca Zero Hunt

Tutto quanto sopra ruota su un fatto: quando cade il piano di controllo, la rete è l'unica superficie che dice ancora la verità. È esattamente il problema per cui è stato costruito il pilastro AI Traffic Analysis di Zero Hunt. È un modello proprietario di deep learning addestrato su miliardi di sequenze PCAP, che gira localmente sulla GPU dell'appliance con un baseline di 2,7+ Gbit/s e quattro teste di inferenza parallele — traffico sospetto, classificazione malware, identificazione del tipo di attacco e fingerprinting applicativo. Legge la reverse shell Netcat da un'appliance che non dovrebbe mai chiamare fuori, la periodicità DoH di un beacon Cyclops Blink, il fan-out reverse-SSH che inoltra Kerberos e SMB e la firma di scrittura SMB della cifratura Qilin come comportamento, mentre accade — nulla di cui dipenda da un log scritto dalla scatola che l'attaccante ora possiede, perché il modello gira out-of-band su hardware che l'attaccante non ha mai toccato.

Il seguito è la validazione. Le campagne change-triggered di Zero Hunt trattano una nuova interfaccia di management esposta sul perimetro come un trigger: entro l'ora, lo swarm di 10 agenti esegue un tentativo di sfruttamento per-target contro il tuo FMC reale — una catena di bypass generativa scritta da un LLM locale, non un PoC copiato, backtestata in AI Gym prima di toccare il tuo ambiente e firmata ECDSA per ogni finding. Risponde alla domanda che il CVSS 10 lascia solo implicita: non "questo bug è grave" ma "il mio FMC è raggiungibile e sfruttabile adesso" — con l'evidenza audit-grade del fatto che FMC ricade nel tuo perimetro NIS2 e DORA, un controllo che l'auditor presume funzioni finché non riesci a dimostrare che funzionava.

Il conto alla rovescia federale di CISA su questa è scaduto il 2026-09-12. Il conto alla rovescia che stanno correndo i tre cluster non ha mai avuto una scadenza.