Ciscoのファイアウォール管理製品「FMC」に深刻な脆弱性、認証情報窃取やQilinランサムウェア展開に悪用

要点

• Ciscoの統合管理プラットフォーム「Secure Firewall Management Center（FMC）」の脆弱性2件が悪用されていることが判明した。

• 最大深刻度（CVSS 10.0）の認証回避脆弱性「CVE-2026-20079」と、低権限ログインを許す「CVE-2026-20316」が標的となっている。

• 国家支援型ハッカーやランサムウェア組織を含む3つの脅威グループが関与しており、「Qilin」ランサムウェアやマルウェア「Cyclops Blink」亜種の展開が確認された。

• 米CISAが両脆弱性を悪用確認リストに追加して注意を促すなか、Ciscoは修正プログラムの早期適用を強く求めている。

• Cisco Systemsの脅威インテリジェンス組織であるCisco Talosは、同社のセキュリティ管理製品「Cisco Secure Firewall Management Center（FMC）」に存在する2件の脆弱性を突いた攻撃活動を確認したと発表した。公表によると、国家支援型の攻撃者やサイバー犯罪者を含む3つの異なる脅威クラスターが、パッチ公開済みの脆弱性を悪用して侵入を試みているという。これらの攻撃では、システム内部からの認証情報窃取やロシア関連マルウェアの設置、さらにはランサムウェア「Qilin」の大規模な展開に至る一連の不正活動が観測されている。

標的となった2つの脆弱性と影響

今回悪用が確認されたのは、ネットワーク全体のファイアウォールを一元管理するソフトウェア「Cisco Secure FMC」のWebインターフェースなどに存在する2つのセキュリティ欠陥である。

1つ目は、「CVE-2026-20079」として識別される極めて深刻な脆弱性だ。共通脆弱性評価システム（CVSS）の基本値で最高値となる「10.0」が割り当てられている。この欠陥はFMCソフトウェアのWeb管理インターフェースに起因する認証回避の不具合で、リモートの攻撃者が認証を経ることなく悪用できる。攻撃が成立すると、対象機器上で任意のスクリプトファイルを実行され、基盤となるオペレーティングシステムのルート（root）権限（最高管理権限）を完全に掌握される危険性がある。

2つ目は、「CVE-2026-20316」（CVSSスコア: 5.3）である。こちらはリモートの攻撃者が認証なしで低権限アカウントを利用して侵害対象のデバイスにログインし、システム内の機密データへ不正にアクセスすることを可能にする。単体での深刻度は中程度とされるものの、FMCに存在する他の脆弱性と組み合わされることで、さらなる特権昇格へ悪用されるリスクを孕んでいる。

3つの脅威グループによる具体的な攻撃手口

Cisco Talosの分析によれば、侵害後のFMCインスタンスにおいて、それぞれ異なる目的と攻撃手法を持つ3つの脅威クラスター（攻撃グループ）が活動していたことが特定された。

認証情報を狙う「UAT-12197」

「UAT-12197」と命名されたグループは、深刻度10.0のCVE-2026-20079を集中的に悪用した。このグループは脆弱性を突いて侵入後、JSP（JavaServer Pages）ベースのWebシェル（遠隔操作用の不正プログラム）や、Java Archive（JAR）形式のコマンド実行ツールを配置した。これらを用いてFMCの内部データベースに対して不正な問い合わせ（クエリ）を実行し、保存されていたユーザー認証データや各種認証情報を窃取していた。

国家支援型マルウェアを投下する「UAT-11823」

「UAT-11823」は、CVE-2026-20079とCVE-2026-20316の両方の脆弱性を組み合わせて利用していたグループである。攻撃者は侵入後、Netcatを用いたリバースシェル（標的端末から攻撃者側へ接続を確立する通信路）を構築し、FMCが管理する配下のネットワーク機器から設定情報を収集するためのBashスクリプトを2種類実行した。さらに、ロシア政府の支援を受けるハッカー集団「Sandworm（サンドワーム）」に関連付けられているモジュール型インプラント「Cyclops Blink（サイクロプス・ブリンク）」の亜種を送り込んでいたことも判明している。

正規ツールを悪用してQilinを展開する「UAT-11988」

3つ目の「UAT-11988」は、金銭目的のランサムウェアを展開するサイバー犯罪グループである。このグループはCVE-2026-20316を悪用して初期アクセスを獲得した後、標的環境内にすでに備わっている正規のFMC組み込みツールを悪用する「環境寄生型（Living off the Land: LotL）」の手法を用いた。侵入先ネットワークの綿密な偵察を実施し、外部からの継続的なアクセスを維持するためのトンネリングツールを設置した上で、システムから認証情報を収集した。その後、暗号化対象とする端末（エンドポイント）のリストを作成し、セキュリティ対策ツールを強制終了させた上で、選定した複数のシステムへ「Qilin（チーリン）」ランサムウェアを一斉に展開・実行した。

CISAによる登録とCiscoの対応状況

一連の事態を受け、米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は、CVE-2026-20079を「悪用が確認された脆弱性カタログ（KEV）」に追加した。これにより、米国の連邦文民行政府（FCEB）機関に対して2026年9月12日までに修正を完了するよう義務付けた。なお、もう一方のCVE-2026-20316についても、2026年7月下旬の時点で同カタログに追加されている。

Ciscoは、影響を受けるバージョンのソフトウェアを利用しているすべての顧客に対し、すでにリリースされているCVE-2026-20079およびCVE-2026-20316向けの修正パッチ（ホットフィックス）を直ちに適用するよう強く呼びかけている。また同社は、社内調査によって新たに発見された複数の脆弱性に対応するため、セキュリティを包括的に強化するアップデートを翌週にリリースする計画を明らかにしている。