概要
Ciscoは9月9日、Secure Firewall Management Center(FMC)に存在するCVSS10.0(最大深刻度)の認証バイパス脆弱性CVE-2026-20079が、実際の攻撃で悪用されていたことを確認したと発表した。この脆弱性はFMCの起動時に不適切に生成されるシステムプロセスに起因し、攻撃者は認証なしで細工したHTTPリクエストをWebインターフェースに送信するだけで、root権限によるリモートコード実行が可能になる。Ciscoは3月に本脆弱性を公表・修正していたが、当時は悪用の証拠はないとされていた。しかしログ分析により、少なくとも7月23日には悪用活動が始まっていたことが判明している。CISAは9月9日付でCVE-2026-20079を既知の悪用脆弱性(KEV)カタログに追加し、連邦文民機関に対して9月12日までの対処を義務付けた。
複数の攻撃者集団による悪用
Cisco Talosは、本脆弱性および7月29日に開示された関連脆弱性CVE-2026-20316(低権限アカウントのハードコードされた静的認証情報を悪用し、認証なしでリモートログインを可能にする欠陥)を組み合わせた、少なくとも3つの活動クラスターを追跡している。1つ目のクラスターはCVE-2026-20079を悪用してTomcatディレクトリに悪意あるWebシェルを設置し、悪意あるJARファイルを介して認証情報を窃取していた。2つ目は、ロシアの国家支援型ハッキング集団Sandwormが関与するクラスターで、両脆弱性を悪用して侵入した後、license.tmpファイルを改ざんしてリバースシェルを確立し、ファイアウォール設定を窃取していたとみられる。Sandwormは今回の攻撃キャンペーンにおいてもCyclops Blinkマルウェアを展開しており、同マルウェアはファイルの送受信、認証情報の窃取、任意のファイル・コマンドの実行、ネットワークスキャンを可能にする。3つ目はQilinランサムウェアに関連するクラスターで、静的認証情報でログインした後にネットワーク偵察や認証情報窃取を行い、ランサムウェア展開につなげていた。
Ciscoの対応と今後の見通し
Ciscoは両脆弱性に対する回避策は存在しないとしており、顧客に対してすでに公開済みのホットフィックスを直ちに適用するよう強く推奨している。ただし、パッチ適用は今後の悪用を防ぐものであり、すでに侵害を受けたシステムそのものを修復するものではない点には注意が必要だ。クラウドでホストされるSecurity Cloud Controlサービス側もすでに修正済みとされる。さらに包括的な強化リリースが9月16日の週に予定されており、当面の緩和策としてはFMCの管理インターフェースをインターネットから完全に隔離することが推奨されている。国家支援型グループとサイバー犯罪集団の双方が同一の欠陥を悪用していたという事実は、ネットワーク機器の管理基盤を狙った攻撃が官民問わず標的化されている実態を改めて浮き彫りにしており、パッチ適用の緊急性は極めて高いと言える。