Cisco ha segnalato lo sfruttamento attivo di due vulnerabilità in Secure Firewall Management Center (FMC), usate da tre distinti gruppi di minaccia per ottenere accesso ai sistemi, raccogliere credenziali e, in un caso, distribuire il ransomware Qilin.
Le falle sono CVE-2026-20079, con gravità massima CVSS 10.0, e CVE-2026-20316, valutata 5.3. Cisco invita i clienti interessati ad applicare gli hotfix già pubblicati; CISA ha incluso entrambe nel catalogo delle vulnerabilità note per essere sfruttate.
Le due vulnerabilità nel dettaglio
La falla più grave, CVE-2026-20079, riguarda l’interfaccia web del software FMC. Consente a un attaccante remoto non autenticato di aggirare l’autenticazione ed eseguire file di script su un dispositivo vulnerabile, fino a ottenere privilegi di root sul sistema operativo sottostante.
CVE-2026-20316 permette invece a un attaccante remoto senza autenticazione di accedere con un account a basso privilegio e visualizzare dati sensibili presenti nei sistemi coinvolti. Da sola non offre gli stessi privilegi della prima vulnerabilità, ma può essere combinata con altre falle di Cisco Secure FMC per alzare i privilegi disponibili.
Il punto rilevante è che non si tratta soltanto di difetti corretti in via preventiva: Cisco Talos ha osservato attività successive alla compromissione su istanze FMC riconducibili sia ad attori sostenuti da Stati sia a cybercriminali.
Tre gruppi, tecniche e obiettivi diversi
Il cluster identificato come UAT-12197 avrebbe sfruttato CVE-2026-20079 per installare web shell basate su JSP e un esecutore di comandi in formato JAR. L’obiettivo osservato era interrogare database interni e ottenere dati di autenticazione e credenziali degli utenti.
UAT-11823 avrebbe invece combinato entrambe le vulnerabilità. L’attività include una reverse shell basata su Netcat, due script Bash per sottrarre configurazioni dei dispositivi gestiti e una variante di Cyclops Blink, impianto modulare in formato ELF precedentemente attribuito al gruppo Sandworm, legato alla Russia.
Il terzo cluster, UAT-11988, è descritto come un’operazione ransomware. Avrebbe usato CVE-2026-20316 per l’accesso iniziale e gli strumenti già integrati in FMC per una campagna di tipo living-off-the-land: ricognizione dell’ambiente, raccolta di credenziali, creazione di una lista di endpoint da cifrare e disattivazione di strumenti di sicurezza.
Nella stessa intrusione sono stati rilevati strumenti di tunneling per mantenere l’accesso alla rete e la distribuzione di Qilin ransomware su sistemi selezionati. L’uso di componenti legittimi già presenti nell’infrastruttura rende queste operazioni più difficili da individuare rispetto a un attacco che dipende esclusivamente da malware esterno.
Hotfix disponibili e un aggiornamento più ampio in arrivo
Cisco raccomanda con urgenza di applicare gli hotfix rilasciati per le versioni software coinvolte da CVE-2026-20079 e CVE-2026-20316. L’azienda ha inoltre dichiarato di voler distribuire la prossima settimana una release di hardening più completa, destinata a risolvere varie vulnerabilità individuate internamente.
Anche la U.S. Cybersecurity and Infrastructure Security Agency ha inserito CVE-2026-20079 nel proprio catalogo Known Exploited Vulnerabilities. Per le agenzie federali civili dell’esecutivo statunitense interessate, la scadenza indicata per l’applicazione della patch è il 12 settembre 2026. CVE-2026-20316 era già stata aggiunta al catalogo alla fine di luglio 2026.
FAQ
Quale vulnerabilità è la più grave?
CVE-2026-20079 ha punteggio CVSS 10.0. L’impatto indicato da Cisco comprende l’aggiramento dell’autenticazione e la possibilità di eseguire script fino a ottenere accesso root al sistema operativo.
Qilin è stato usato contro tutti i sistemi vulnerabili?
No. La distribuzione del ransomware è stata osservata nell’attività attribuita al cluster UAT-11988. Cisco Talos descrive tre cluster con strumenti e finalità differenti.
Che cosa devono fare le organizzazioni con Cisco FMC?
Cisco indica di applicare gli hotfix già disponibili per le versioni interessate dalle due vulnerabilità. È inoltre attesa una release di hardening più ampia per ulteriori problemi rilevati internamente.
Considerazioni finali
La gravità della vicenda non dipende solo dal punteggio massimo assegnato a CVE-2026-20079, ma dalle attività già osservate dopo le compromissioni. Le falle sono state impiegate per finalità molto concrete: estrarre credenziali, raggiungere configurazioni interne, consolidare l’accesso e preparare la cifratura di endpoint scelti.
In questo contesto gli hotfix non sono un aggiornamento ordinario da rinviare. La presenza di sfruttamenti attribuiti a gruppi diversi e l’inclusione delle due CVE nel catalogo KEV rendono l’applicazione delle correzioni il punto decisivo per ridurre un rischio già attivo.