Contexte et découverte
Cisco a confirmé l’exploitation active de deux vulnérabilités récentes du Secure Firewall Management Center (FMC). La première, CVE-2026-20079, possède un score CVSS de 10.0, indiquant une gravité maximale : il s’agit d’un contournement d’authentification dans l’interface web qui permet à un attaquant non authentifié d’exécuter des scripts et d’obtenir les privilèges root du système d’exploitation sous‑jacent. La seconde, CVE-2026-20316, notée 5.3, autorise un accès avec un compte à privilèges limités, puis, lorsqu’elle est combinée à d’autres failles FMC, peut conduire à une élévation de privilèges.
Mécanismes d'exploitation des deux CVE
Pour CVE-2026-20079, l’attaquant exploite une absence de validation des jetons de session. En injectant un script malveillant via l’URL de l’interface, il déclenche l’exécution de code arbitraire qui s’installe directement dans le noyau Linux du FMC, contournant ainsi toute couche d’authentification. Le score 10.0 reflète la possibilité d’obtenir un accès complet sans interaction utilisateur. CVE-2026-20316 repose sur une mauvaise gestion des droits d’accès aux API internes : un compte à faible privilège peut appeler des fonctions de lecture de configuration et, en chaîne, exploiter des appels non protégés pour récupérer des secrets. Cette faiblesse, bien que moins critique isolée (5.3), devient puissante lorsqu’elle est couplée à la première faille, permettant une escalade de privilèges rapide.
Activités des groupes de menace
Trois clusters distincts ont été identifiés. Le groupe UAT-12197 utilise CVE-2026-20079 pour déposer des web shells JSP et un exécuteur JAR, puis interroge les bases de données internes afin d’extraire des identifiants d’utilisateurs. Le second, UAT-11823, combine les deux CVE pour établir un reverse shell Netcat, exécuter deux scripts Bash qui collectent les configurations des appareils gérés, et introduire un implant ELF nommé Cyclops Blink, déjà lié au groupe russe Sandworm. Enfin, UAT-11988 exploite CVE-2026-20316 comme point d’entrée initial, puis s’appuie sur les outils natifs du FMC (LotL) pour cartographier l’environnement, déployer des tunnels persistants, récupérer des mots de passe, désactiver les solutions de sécurité et finalement installer le ransomware Qilin sur les systèmes ciblés.
Réponses de Cisco et exigences de conformité
Cisco a publié des correctifs pour les deux vulnérabilités et prévoit une mise à jour de durcissement couvrant d’autres failles internes. Les clients sont invités à appliquer immédiatement les hotfixes, notamment ceux disponibles pour les versions affectées du FMC. Parallèlement, la Cybersecurity and Infrastructure Security Agency (CISA) a inscrit CVE-2026-20079 et CVE-2026-20316 dans son catalogue KEV, imposant aux agences fédérales américaines de déployer les correctifs avant le 12 septembre 2026. Cette double pression – technique et réglementaire – souligne la nécessité d’une gestion proactive des correctifs dans les environnements de sécurité périmétrique, où chaque retard augmente le risque d’intrusion par des acteurs étatiques ou criminels.
