Deux failles de Cisco Secure Firewall Management Center (FMC), la console de gestion centralisée des pare-feu Cisco, sont exploitées par trois groupes distincts : vol d’identifiants, espionnage et rançongiciel. Cette analyse s’adresse aux auditeurs, RSSI et responsables sécurité : mode opératoire de chaque groupe, correspondance avec MITRE ATT&CK, questions d’audit ISO 27001 et pistes de sensibilisation. Les détails techniques reposent sur une seule source, l’analyse de Cisco Talos, et les modalités de détection chez les victimes ne sont pas publiques.
Pour une lecture orientée dirigeant, voir notre décryptage « Pare-feu Cisco : trois groupes d’attaquants, une seule faille critique ».
Contexte
- Produit visé : Cisco Secure Firewall Management Center (FMC), logiciel de gestion centralisée des pare-feu Cisco.
- Vulnérabilités : CVE-2026-20079 (contournement d’authentification, CVSS 10.0, permet l’exécution de scripts avec les droits root) et CVE-2026-20316 (connexion avec un compte à privilèges faibles via des identifiants statiques, CVSS 5.3, utilisable en complément de la première).
- Date : alerte de Cisco Talos publiée le 9 septembre 2026, mise à jour le 10 septembre 2026. L’exploitation reste d’actualité mi-septembre, avec la publication de correctifs de durcissement complémentaires la semaine du 14 septembre.
- Victimes : non nommées publiquement par Talos. L’analyse porte sur des instances FMC exposées sur Internet, dans des organisations non précisées.
- Source : Cisco Talos, « Active exploitation of Cisco Secure Firewall Management Center vulnerabilities ». Nous n’avons pas pu croiser ces détails techniques avec une autre source indépendante : tout ce qui suit reflète l’analyse publiée par Talos.
Mode opératoire : ce qui est documenté et ce qui ne l’est pas
Talos distingue trois grappes d’activité sur des instances FMC compromises.
- Groupe 1 – UAT-12197 (vol d’identifiants) : exploitation de CVE-2026-20079 pour déposer un webshell dans le serveur web Tomcat du boîtier, puis un programme servant à exécuter des commandes. L’attaquant s’en est servi pour interroger la base de données interne du boîtier et en extraire les identifiants d’authentification des utilisateurs.
- Groupe 2 – UAT-11823 (lié à l’acteur Sandworm) : accès initial par CVE-2026-20079 ou par les identifiants statiques de CVE-2026-20316. L’attaquant a remplacé un fichier de licence légitime par une version malveillante, exécutée avec les droits root par un utilitaire interne du boîtier. Il a ainsi ouvert un shell inversé vers son serveur de commande et contrôle. Des scripts ont ensuite servi à exfiltrer les configurations des équipements gérés. Le groupe a enfin déployé une variante de Cyclops Blink, un implant modulaire déjà attribué par le passé à Sandworm (lié à la Russie), capable de persistance, de vol d’identifiants, de reconnaissance réseau et de capture de paquets.
- Groupe 3 – UAT-11988 (opérateur du rançongiciel Qilin) : accès par les identifiants statiques de CVE-2026-20316, puis reconnaissance approfondie (comptes de service Active Directory, comptes MySQL, cartographie des contrôleurs de domaine, serveurs de fichiers et bases de données). L’attaquant a mis en place un proxy SOCKS5 et un tunnel SSH inversé pour rediriger des ports internes (LDAP, LDAPS, Kerberos, SMB, WinRM) vers son infrastructure. Il a ensuite déployé des outils publics (Impacket, Invoke-TheHash) et un outil de neutralisation de l’antivirus, puis le rançongiciel Qilin sur les postes ciblés.
| Étape | Ce qui est rapporté | Correspondance MITRE ATT&CK (notre lecture) |
|---|---|---|
| Accès initial | Exploitation de CVE-2026-20079 (groupes 1 et 2) ou identifiants statiques de CVE-2026-20316 (groupes 2 et 3). | T1190 Exploit Public-Facing Application, T1078 Valid Accounts |
| Exécution | Webshell, puis exécution de commandes shell sur le boîtier. | T1505.003 Web Shell |
| Persistance | Script de démarrage du système pour l’implant Cyclops Blink (groupe 2). | Script de démarrage (sans identifiant retenu) |
| Accès aux identifiants | Extraction depuis la base interne du boîtier (groupe 1), vol de comptes Active Directory et MySQL (groupe 3). | – |
| Découverte | Énumération du domaine, cartographie du réseau (groupe 3). | – |
| Commande et contrôle | Shell inversé (groupe 2), tunnel SSH inversé et proxy SOCKS5 (groupe 3). | – |
| Exfiltration | Requêtes HTTP GET vers l’infrastructure des attaquants. | – |
| Impact | Chiffrement par le rançongiciel Qilin (groupe 3 uniquement). | – |
La colonne MITRE est une lecture de notre part, à partir des techniques décrites par Talos. La source ne fournit pas cette correspondance telle quelle.
Ce qu’on ne sait pas
Le nombre de victimes, leurs secteurs, et la façon dont elles ont repéré l’intrusion. Nous ne spéculons pas sur ces points.
Détection : ce qui est publié
Talos indique avoir identifié ces trois campagnes grâce à sa propre veille sur l’exploitation en conditions réelles. Les modalités précises de détection chez les victimes (alerte interne, EDR, signalement client) ne sont pas documentées publiquement. Nous ne spéculons donc pas sur ce point.
Questions d’audit ISO 27001:2022
Pistes de questions, autour des mesures A.8.8 (gestion des vulnérabilités techniques), A.8.9 (gestion des configurations) et A.8.16 (activités de surveillance) :
- A.8.8 : « Existe-t-il un inventaire à jour des équipements de sécurité périmétrique (pare-feu, VPN, outils de gestion) avec leur version logicielle ? Est-il consulté au moins chaque mois pour vérifier l’absence de failles critiques connues (CVSS ≥ 9) non corrigées ? »
- A.8.8 : « Quel est le délai maximal, contractuel ou procédural, entre la publication d’un correctif critique pour un équipement de sécurité périmétrique et son application effective ? Ce délai est-il mesuré et reporté ? »
- A.8.16 : « Les équipements de sécurité eux-mêmes (pare-feu, IPS, outils de gestion centralisée) sont-ils intégrés à la supervision des journaux (SIEM, SOC), au même titre que les serveurs applicatifs ? »
- A.8.9 : « Existe-t-il un contrôle périodique de l’absence de comptes ou d’identifiants statiques ou par défaut sur les équipements réseau et de sécurité ? »
Pistes de sensibilisation
- Pour les équipes infrastructure et réseau : rappeler qu’un équipement de sécurité (pare-feu, VPN) est une cible prioritaire. Sa compromission donne un accès root et une position de rebond vers tout le système d’information. Sa fonction de sécurité ne le rend pas moins vulnérable.
- Exercice pratique pour les équipes SOC : détecter des comportements « living-off-the-land » (outils internes légitimes détournés, tunnels SSH inversés, proxy SOCKS) dans le trafic sortant des équipements de sécurité, plutôt que de compter uniquement sur la détection de logiciels malveillants connus.
À lire aussi : notre décryptage pour les dirigeants, « Pare-feu Cisco : trois groupes d’attaquants, une seule faille critique », et le bulletin de veille du 21 septembre 2026.
Analyse préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.