Cisco FMC bị khai thác để đánh cắp thông tin đăng nhập và phát tán ransomware
"Cisco disclosed active exploitation of two recently patched Secure Firewall Management Center (FMC) vulnerabilities, CVE-2026-20079 and CVE-2026-20316. Attackers used the flaws to gain unauthorized access, steal credentials, deploy web shells and reverse shells, and in one ransomware campaign deliver Qilin ransomware; Cisco advised customers to apply the released hotfixes and noted a broader hardening release is planned."
Rủi ro cao do đang bị khai thác thực tế, có thể dẫn đến chiếm quyền FMC, đánh cắp thông tin đăng nhập và triển khai ransomware.
Có thể gây gián đoạn vận hành mạng, ảnh hưởng thiết bị được quản lý và làm tăng nguy cơ mã hóa dữ liệu cùng chi phí ứng phó sự cố.
Cisco cho biết hai lỗ hổng vừa được vá trong Secure Firewall Management Center (FMC) đang bị khai thác thực tế, gồm CVE-2026-20079 với điểm CVSS 10.0 và CVE-2026-20316 với điểm CVSS 5.3. Theo hãng, kẻ tấn công có thể lợi dụng các lỗi này để vượt qua xác thực, truy cập trái phép, thực thi mã trên thiết bị và mở rộng quyền trên hệ thống bị ảnh hưởng.
Cisco Talos ghi nhận ba nhóm hoạt động sau xâm nhập. Một nhóm dùng web shell JSP và bộ thực thi lệnh dựa trên JAR để truy vấn cơ sở dữ liệu nội bộ và lấy thông tin xác thực. Nhóm khác kết hợp cả hai lỗ hổng để triển khai reverse shell, thu thập cấu hình thiết bị và nạp biến thể của Cyclops Blink. Nhóm thứ ba sử dụng CVE-2026-20316 để truy cập ban đầu, sau đó tận dụng công cụ sẵn có trong FMC theo kiểu living-off-the-land (LotL), thu thập thông tin, vô hiệu hóa công cụ bảo mật và triển khai Qilin ransomware.
Cisco khuyến nghị khách hàng áp dụng hotfix cho các phiên bản bị ảnh hưởng ngay khi có thể. Hãng cũng cho biết sẽ phát hành một bản hardening tổng thể trong thời gian tới. CISA đã đưa CVE-2026-20079 và CVE-2026-20316 vào danh mục KEV, cho thấy hai lỗi này đang bị khai thác ngoài thực tế và cần ưu tiên xử lý.