🔥 Когда firewall сам становится точкой входа

Cisco подтвердила эксплуатацию критической уязвимости CVE-2026-20079 в Secure Firewall Management Center (FMC) — системе централизованного управления межсетевыми экранами.
CVSS — 10.0.
Уязвимость позволяет удалённому атакующему без авторизации выполнить команды и получить root-доступ к операционной системе FMC.
То есть атакующему не нужно сначала красть пароль администратора. Достаточно, чтобы уязвимый интерфейс оказался доступен для эксплуатации.
И здесь начинается самое интересное.
Зачем атаковать систему управления firewall?
FMC — это не просто очередной сервер.
Через него администраторы управляют firewall, политиками безопасности и сетевой инфраструктурой.
Поэтому вместо попыток пробиваться через защиту атакующий получает гораздо более привлекательную позицию — внутри самой management plane.
Cisco Talos наблюдает уже несколько кластеров, использующих эту точку входа.
В одном случае после эксплуатации устанавливался web shell, а затем атакующие обращались к внутренней базе FMC и извлекали данные пользователей.
Другой кластер имеет пересечения с активностью Sandworm и malware Cyclops Blink.
Ещё один связан с ransomware-экосистемой Qilin.
Получается:
одна уязвимость → несколько независимых операторов → кибершпионаж, кража credentials и ransomware.
И это хороший Threat Intelligence-индикатор сам по себе.
Если разные группы начинают использовать одну и ту же CVE, окно между публикацией уязвимости и массовой эксплуатацией стремительно закрывается.
Причём CVSS 10 — не единственная проблема
В атаках фигурирует и CVE-2026-20316 с оценкой всего 5.3.
Она связана со статическими credentials и позволяет получить низкопривилегированный доступ.
По отдельности такая CVE выглядит значительно менее опасной.
Но атакующий оценивает не цифру CVSS, а возможность построить цепочку:
initial access → reconnaissance → credentials → privilege escalation → lateral movement.
Что делать
Cisco рекомендует обновить FMC до исправленной версии. Workaround для CVE-2026-20079 нет.
Но поскольку эксплуатация уже происходила, вопрос должен звучать не только:
«Мы установили патч?»
Нужно задать и второй:
«Не успели ли нас взломать до установки патча?»
Поэтому для уязвимых FMC имеет смысл проводить ретроспективный hunting и проверять признаки компрометации, а не ограничиваться обновлением.
История хорошо показывает изменение приоритетов атакующих.
VPN, firewall, hypervisor, backup, EDR-management и identity-системы особенно привлекательны именно потому, что им доверяет вся остальная инфраструктура.
Firewall может прекрасно защищать серверы.
Пока атакующий не получил root на системе, которая этим firewall управляет.
#ThreatIntelligence #Cisco #CVE #Sandworm #Qilin #ThreatHunting #Кибербезопасность