Le 10 septembre 2026, Cisco Talos a détaillé l’exploitation de deux vulnérabilités récemment corrigées dans Secure Firewall Management Center (FMC), la console qui administre plusieurs équipements Cisco Secure Firewall. Trois groupes d’activité distincts ont utilisé ces failles pour accéder à des appliances, voler des identifiants, installer des web shells et, dans un cas, préparer le déploiement du ransomware Qilin.
Le risque est particulier pour une interface d’administration réseau : elle ne protège pas seulement un serveur isolé. Une FMC compromise peut donner une vue sur la configuration des pare-feu gérés et devenir un point d’appui vers le reste du système d’information. Cisco recommande d’appliquer les hotfixes disponibles sans attendre.
Deux chemins d’accès différents vers la même console
CVE-2026-20079 est une vulnérabilité critique de contournement d’authentification dans l’interface web de FMC. D’après l’avis Cisco, un attaquant distant et non authentifié peut envoyer des requêtes HTTP forgées, exécuter des scripts et obtenir un accès root au système sous-jacent. Sa note CVSS est de 10,0 et Cisco a mis à jour son avis le 9 septembre pour signaler l’exploitation observée.
CVE-2026-20316 est d’une autre nature. L’interface contient des identifiants statiques associés à un compte peu privilégié. Un attaquant distant non authentifié peut les utiliser pour se connecter et consulter des données sensibles. Cisco lui attribue une note CVSS de 5,3, mais son intérêt opérationnel augmente lorsqu’elle est combinée à d’autres failles ou utilisée sur une console de gestion exposée.
Ce que les groupes observés ont fait après l’accès
Les observations de Cisco Talos, rapportées par BleepingComputer, montrent que l’accès initial n’était pas la fin de l’attaque. Un groupe lié à Sandworm a utilisé les deux vulnérabilités, modifié un fichier license.tmp dans /var/tmp et lancé une connexion inverse via un outil légitime de FMC. Une variante de Cyclops Blink a ensuite été installée pour conserver un accès, voler des identifiants et observer le trafic réseau.
Un autre groupe a déposé un web shell JSP dans le répertoire Tomcat de Cisco Security Manager, puis un fichier JAR nommé cmd.jar. Cette chaîne a servi à interroger des bases internes et à récupérer des données d’authentification. Dans une troisième activité, associée à l’opération de ransomware Qilin, les attaquants ont utilisé les outils intégrés de FMC pour reconnaître l’environnement, établir des tunnels et préparer le déplacement vers les systèmes à chiffrer.
Ces éléments décrivent des campagnes suivies par Talos ; ils ne prouvent pas que chaque déploiement FMC a été compromis. Ils montrent toutefois pourquoi l’installation du correctif ne doit pas être considérée comme une réponse complète lorsque l’interface était accessible à un attaquant.
Pourquoi une console de pare-feu est une cible prioritaire
FMC centralise des politiques, des informations de topologie et des paramètres de plusieurs pare-feu. Un attaquant qui obtient root sur la console peut donc chercher des comptes de service, des certificats, des configurations et des chemins vers les équipements administrés. Même sans modifier immédiatement une règle de filtrage, il peut utiliser cette visibilité pour choisir les prochaines cibles.
Pour une PME, la surface à vérifier est concrète : l’adresse d’administration répond-elle depuis Internet, quels réseaux peuvent atteindre FMC, quels comptes ou secrets y sont utilisés, et les journaux sont-ils conservés hors de l’appliance ? Une interface d’administration n’a pas besoin d’être publique pour être attaquée, mais supprimer cette exposition réduit fortement le nombre de chemins disponibles.
Les actions immédiates pour les équipes IT
Commencez par identifier les versions FMC déployées et appliquez le hotfix ou la version corrigée indiquée dans les avis Cisco pour CVE-2026-20079 et CVE-2026-20316. Si la mise à jour ne peut pas être faite dans l’instant, isolez l’interface d’administration derrière un réseau de gestion ou un bastion et bloquez les accès non indispensables. Cisco précise qu’aucune mesure de contournement ne remplace les mises à jour pour ces avis.
Ensuite, recherchez les indicateurs publiés par Cisco, notamment les traces associées à /var/tmp/license.tmp, les fichiers inattendus dans les répertoires web et les connexions sortantes inconnues. Exportez les journaux avant toute réinitialisation et faites intervenir une équipe de réponse à incident si une exécution de commande, un web shell ou une extraction de configuration est suspectée.
Enfin, faites tourner les secrets qui pouvaient être présents dans FMC ou dans les configurations administrées : comptes locaux, comptes de service, clés privées, certificats et mots de passe réutilisés ailleurs. La rotation doit être coordonnée avec l’analyse, car changer un secret ne supprime pas une persistance déjà installée.
Les vérifications utiles pour les utilisateurs et les organisations
Les utilisateurs ne peuvent pas corriger une appliance Cisco qu’ils n’administrent pas, mais ils peuvent limiter l’effet domino. Si un mot de passe utilisé pour une console réseau ou un compte professionnel a été réutilisé, changez-le sur chaque service, en commençant par la messagerie et les comptes qui permettent une récupération. Méfiez-vous aussi des demandes urgentes de validation ou de réinitialisation reçues après un incident : elles peuvent exploiter la situation pour récupérer un second facteur ou un nouveau secret.
Les organisations doivent documenter les accès privilégiés et les stocker séparément des configurations exportées. Un secret copié dans un ticket, une archive de configuration ou un fichier partagé peut survivre au changement de mot de passe de l’appliance. L’inventaire doit inclure les comptes techniques et les accès de prestataires, pas seulement les administrateurs nommés.
Le lien avec Soclyde
Soclyde ne corrige pas Cisco Secure Firewall Management Center et ne peut pas déterminer si une appliance a été compromise. Son utilité se situe autour des accès que l’incident oblige à revoir : générer des secrets uniques, les conserver dans des coffres chiffrés local-first et faciliter une rotation ciblée sans recopier les mots de passe dans des documents ou des messageries.
Cette séparation réduit le risque de réutilisation lorsqu’un équipement réseau, un prestataire ou un compte de service est touché. Elle complète les correctifs Cisco, la restriction réseau, la conservation des journaux et l’analyse forensique ; elle ne les remplace pas.
À retenir
CVE-2026-20079 et CVE-2026-20316 donnent aux attaquants deux chemins différents vers une console qui administre des pare-feu : un contournement d’authentification critique et des identifiants statiques peu privilégiés. Les campagnes décrites par Cisco Talos montrent ensuite des web shells, du vol d’identifiants, des tunnels et du ransomware.
Appliquez les correctifs, retirez l’exposition publique, cherchez les indicateurs de compromission et faites tourner les secrets concernés. Pour structurer la rotation côté équipe, consultez le guide du générateur de mots de passe sécurisé ou contactez Soclyde.
