Cisco Firewall の脆弱性 CVE-2026-20079／20316：実環境で観測された root アクセスとマルウェア展開

Hackers Exploit Critical Cisco Firewall Flaw to Gain Root Access and Deploy Malware

2026/09/10 CyberSecurityNews — Cisco Talos が確認したのは、Cisco Secure Firewall Management Center (FMC) Software に影響する脆弱性 CVE-2026-20079／CVE-2026-20316 が実環境で積極的に悪用されている状況である。これらの脆弱性を悪用する国家支援型の攻撃グループやランサムウェア関連組織が、root 権限を取得してマルウェアを設置し、企業ネットワークへの攻撃を準備している。中央コンソールである FMC は、管理者による多数の Cisco ファイアウォールの一元管理を可能にするため、今回の事案は 2026年に発生したセキュリティ・インシデントの中でも、きわめて深刻なものとなっている。

攻撃者が Cisco Secure Firewall の脆弱性を悪用

この 2 件のうち、より深刻な脆弱性 CVE-2026-20079 は CVSS 10.0 と評価されており、FMC デバイスの起動時に作成される不適切なシステム・プロセスに起因する。この脆弱性を悪用する未認証のリモート攻撃者は、生成されたセッションが正規ユーザーに取得されない場合にそのセッションを乗っ取ることで、ログイン時の制御を完全に回避し、基盤となる OS 上で root 権限によるスクリプト実行を行う可能性がある。

この問題は Cisco により 2026年3月に修正されたが、同社の Product Security Incident Response Team が 8月以降の実環境における悪用を把握していたことが 9月9日に明らかにされた。その後に、米国の CISA がこの脆弱性を Known Exploited Vulnerabilities (KEV) カタログへ追加し、連邦政府機関に対して 9月12日までの修正を求めている。

2 件目の脆弱性 CVE-2026-20316 は CVSS 5.3 と比較的低い評価だが、低権限のアカウントに紐付けられたハードコード済みの固定認証情報に起因し、必要な認可を受けていないリモート攻撃者によるログインを可能にする可能性がある。単独で取得できる権限は限定的だが、認証バイパスなどの他の FMC の脆弱性と組み合わせて権限を昇格させることで、はるかに危険になると Talos は警告している。

Cisco は 2026年7月下旬にこの問題を公表して修正し、CISA も同時期に KEV カタログへ追加した。

---

研究者たちが特定したのは、複数の攻撃者による異なる目的を反映した侵害後の 3 つの活動クラスターであり、その詳細は Cisco Talos の技術情報で公開されている。1 番目のクラスター UAT-12197 は認証バイパスを悪用し、FMC の Tomcat Web ルートディレクトリ内へ JSP ベースの Web シェルを設置する。その後に、この Web シェルを使用して cmd.jar という Java Archive (JAR) 形式のコマンド実行ツールを配置し、デバイス内部のデータベースに対してクエリを実行して、保存済みのユーザー認証情報を窃取する。

2 番目のクラスター UAT-11823 は、ロシア軍と関連する Sandworm と活動が重複する APT であると高い確度で評価されている。2 件の CVE を組み合わせて正規のライセンス・ファイルを悪意のある Makeself パッケージに置き換えることで、Netcat ベースのリバースシェルの確立とデバイスの設定情報の外部への持ち出しを達成し、最終的に Cyclops Blink マルウェアの亜種を展開している。

この Cyclops Blink はモジュール型のインプラントであり、以前からネットワーク境界デバイスを標的としてきたボットネット活動と Sandworm との関連性が確認されている。侵害された FMC システムで発見された亜種は、init.d スクリプトによる永続化／DNS-over-HTTPS を使用した C2 の名前解決／認証情報の収集／パケット・スニッフィング／任意のリモート・コマンド実行をサポートしている。

3 番目のクラスター UAT-11988 は、Qilin ランサムウェア のオペレーターであると高い確度で評価されている。認証バイパスを使用せず、固定認証情報の脆弱性を利用してログインした後に、FMC に組み込まれた正規の管理ツールを悪用して活動している。

このグループは Active Directory や MySQL の認証情報に加え、ドメイン・コントローラー、ファイル・サーバ、Exchange インフラの情報を収集する。その後に、Python の SOCKS5 プロキシやリバース SSH 接続を使用し、LDAP／Kerberos／SMB／NetBIOS／WinRM を介して被害者ネットワークの深部へと侵害を進めていく。具体的には、内部へのトンネリングを達成した後に、選択したエンドポイントへアンチウイルス無効化ツールや Qilin ランサムウェアのペイロードを展開する。

Threat Cluster	Attribution & Capability	Exploitation Mechanism	Post-Compromise Tradecraft & Payload
UAT-12197	Unattributed threat actor	CVE-2026-20079 (Auth Bypass)	Drops JSP web shell and cmd.jar to query internal DB and harvest credentials
UAT-11823	Sandworm (Russian GRU nexus)	Chained CVE-2026-20079 & CVE-2026-20316	Trojanizes license files, executes Netcat shell, and deploys Cyclops Blink
UAT-11988	Qilin ransomware affiliate	CVE-2026-20316 (Static Credentials)	Maps AD/Exchange, builds SOCKS5/SSH tunnels, and executes ransomware

Cisco と Talos が FMC を運用するすべての組織に求めているのは、9月14日の週に予定されている包括的なセキュリティ強化リリースを待たずに、CVE-2026-20079／CVE-2026-20316 に対応するリリース済みのホットフィックスを直ちに適用することであり、予定されているリリースには、これらの修正に加えて、社内で発見された問題に対する追加パッチも含まれる。

直ちにパッチを適用できない環境の管理者に推奨されるのは、FMC の管理インターフェースをインターネットへ公開しないよう制限することであり、これにより、確認された 3 つの攻撃キャンペーンに対する攻撃対象領域を大幅に縮小できる。

IOCClusterDescription
b037f45e02a289325a1a5eb0d4db6a9fce9954fd0fdfd07162cb4eb2acbef77d	UAT-12197	home.jsp — web shell
db491181ece3f319de6567ab6f6daa90c6879911cd890155e6b7d8cc7a1a8c8e	UAT-12197	cmd.jar — JAR-based command executor
89.34.96[.]56	UAT-11823	Netcat-based reverse shell C2; also linked to Cyclops Blink C2 infrastructure
208.123.119[.]215	UAT-11823	Netcat-based reverse shell C2
104.218.165[.]253	UAT-11823	Attacker’s vulnerability scanner used to probe for CVE-2026-20079
91.214.78[.]118	UAT-11823	Netcat-based reverse shell C2
6f98add5d1a7729192b6ad8491d85c505c64836f7881742d6b93bd8e3d2fe461	UAT-11823	Cyclops Blink malware sample
43.204.2[.]142	UAT-11988	Attacker IP address used to conduct intrusions and stage the Qilin ransomware attack chain

Cisco Secure Firewall Management Center (FMC) の悪用の背景には、システム起動時の不適切なプロセス生成やハードコードされた認証情報に起因する CVE-2026-20079／CVE-2026-20316 の脆弱性があります。それにより、未認証の遠隔操作による root 権限の取得やマルウェア展開につながり得る、深刻なセキュリティ上の脅威がもたらされるため、CISA KEV カタログに追加されました。ユーザーには、迅速なホットフィックスの適用や管理インターフェースのインターネット非公開化が求められます。