Cisco FMC : Sandworm et Qilin enchaînent deux CVE critiques

Sandworm et Qilin exploitent les pares-feux Cisco Secure FMC

Cisco Talos a publié le 10 septembre 2026 un rapport détaillant l'exploitation active de deux vulnérabilités dans Cisco Secure Firewall Management Center (FMC), la console d'administration centralisée des firewalls Cisco. Ces failles, désormais inscrites au catalogue KEV (Known Exploited Vulnerabilities) de la CISA, ont été exploitées de manière coordonnée par au moins deux clusters d'acteurs malveillants distincts — l'un étatique, l'autre criminel — ce qui en fait un cas d'école de la convergence entre espionnage et cybercriminalité.

La première vulnérabilité, CVE-2026-20079, est une faille d'authentification de sévérité maximale. Elle est due à un processus système mal configuré, lancé au démarrage du service FMC, qui ne valide pas correctement les requêtes HTTP entrantes. Un attaquant distant et non authentifié peut envoyer des requêtes HTTP spécialement forgées pour déclencher l'exécution de scripts arbitraires avec les privilèges root sur l'appliance. Aucune interaction utilisateur n'est requise, ce qui rend l'exploitation particulièrement dangereuse pour tout dispositif FMC exposé sur Internet ou accessible depuis un réseau non cloisonné.

La seconde faille, CVE-2026-20316, est d'une nature différente mais tout aussi grave dans le contexte d'une attaque enchaînée. Il s'agit d'une vulnérabilité liée à la présence de credentials statiques codés en dur dans le logiciel FMC. Ces identifiants permettent à un attaquant disposant d'un accès réseau à l'interface de management de s'authentifier avec un compte à faibles privilèges, puis d'escalader ses droits en exploitant CVE-2026-20079 ou d'autres techniques de post-exploitation. Cisco avait signalé cette faille en interne, mais son inscription au KEV confirme qu'elle est désormais activement armée par des acteurs extérieurs.

Selon Cisco Talos, trois clusters d'activité post-compromission ont été identifiés. Le premier, dénommé UAT-11823, est attribué avec un niveau de confiance élevé au groupe Sandworm, également connu sous le nom de APT44 et associé à l'unité 74455 du GRU (renseignement militaire russe). Ce groupe a utilisé les deux CVE pour déployer Cyclops Blink, un malware sophistiqué qui transforme les équipements réseau en nœuds d'un botnet commandé et contrôlé, et qui avait déjà été utilisé contre des routeurs WatchGuard en 2022. La présence de Cyclops Blink sur des FMC Cisco représente une élévation significative dans les capacités d'implantation de Sandworm sur l'infrastructure réseau critique des entreprises occidentales.

Le deuxième cluster, UAT-11988, est lié aux affiliés du groupe Qilin — un opérateur de ransomware-as-a-service (RaaS) particulièrement actif depuis 2024. Ces acteurs ont principalement exploité CVE-2026-20316 pour obtenir un accès initial, effectuer de la reconnaissance réseau, voler des credentials, puis déployer le ransomware Qilin sur les systèmes internes des victimes. Qilin est connu pour sa double extorsion — chiffrement des données et menace de publication — et a revendiqué plusieurs centaines d'attaques à travers le monde. Un troisième cluster, pour l'instant non attribué, a utilisé les accès obtenus pour déployer des web shells et créer des proxies et reverse shells persistants, suggérant une activité de préparation à des opérations ultérieures.

La surface d'attaque est significative : Cisco Secure FMC est largement déployé dans les entreprises du Fortune 500, les administrations publiques et les opérateurs d'infrastructure critique. La console FMC étant au cœur de la gestion des politiques de sécurité réseau, sa compromission permet théoriquement à un attaquant de modifier les règles de pare-feu, d'ouvrir des ports, de désactiver des signatures IPS, ou d'obtenir une vision complète de la topologie réseau de la victime — une ressource inestimable pour une opération d'espionnage ou la préparation d'une attaque ransomware de grande ampleur.

Cisco a mis à disposition des hotfixes partiels dès la divulgation des CVE en juillet 2026. La société a annoncé la sortie d'une mise à jour de durcissement complète, intégrant ces hotfixes et des corrections d'autres vulnérabilités découvertes en interne, pour la semaine du 16 septembre 2026. La CISA exige que les agences fédérales américaines appliquent les correctifs dans les délais définis par ses directives KEV. Les entreprises privées sont fortement incitées à en faire de même sans attendre.

L'inscription de CVE-2026-20079 au catalogue KEV est déjà la troisième fois en 2026 qu'une vulnérabilité Cisco FMC y figure — ce que plusieurs médias spécialisés ont qualifié de signal alarmant sur la récurrence des problèmes de sécurité affectant cet outil de gestion central. Cette répétition interpelle sur la maturité du processus de développement sécurisé de Cisco pour ses produits de sécurité réseau, et sur la fréquence des audits de code appliqués aux composants critiques.

FMC, cible stratégique entre acteurs étatiques et criminels

L'exploitation simultanée des FMC Cisco par Sandworm et Qilin illustre un phénomène documenté depuis plusieurs années : la convergence des TTPs (Tactiques, Techniques et Procédures) entre acteurs étatiques et groupes cybercriminels. Les opérateurs de RaaS bénéficient souvent d'une tolérance implicite des États hébergeant leurs infrastructures, voire d'un partage d'outils. Cyclops Blink, initialement attribué à Sandworm, est désormais observé sur des réseaux victimes dans un contexte qui dépasse le simple espionnage. Cette porosité entre les deux univers complique l'attribution et augmente la persistance des campagnes.

Sur le plan technique, la chaîne CVE-2026-20079 et CVE-2026-20316 est particulièrement efficace car elle ne nécessite aucun accès préalable. L'auth bypass permet d'obtenir root sans authentification, tandis que les credentials statiques offrent une porte d'entrée alternative ou un mécanisme de persistance en cas de mise à jour partielle. Ce type de vulnérabilité en couches — où une faille majeure et une backdoor codée en dur coexistent — soulève des questions sérieuses sur l'intégrité du processus de revue de code et la gestion des secrets dans les produits Cisco.

Pour les équipes de sécurité utilisant Cisco Secure FMC, l'incident est un rappel brutal que les outils de sécurité eux-mêmes constituent des cibles prioritaires. Un attaquant qui compromet votre FMC contrôle potentiellement votre posture de sécurité réseau dans son intégralité. Les bonnes pratiques imposent d'isoler les interfaces de management dans des VLAN dédiés, de ne jamais exposer les consoles d'administration sur Internet, et d'activer la MFA sur tous les accès privilégiés. L'audit des logs FMC pour les indicateurs de compromission publiés par Cisco Talos doit être effectué immédiatement dans toutes les organisations concernées.

L'incident rappelle également l'importance de la surveillance continue des publications CISA KEV comme signal d'alerte prioritaire. Un équipement présent dans le catalogue KEV et non patché dans les 72 heures représente un risque inacceptable, quelle que soit la criticité perçue de l'équipement dans l'infrastructure. La fenêtre d'exploitation est désormais quasi systématiquement inférieure à une semaine après l'inscription au KEV.

Ce qu'il faut retenir

• CVE-2026-20079 (auth bypass root non authentifié) et CVE-2026-20316 (credentials statiques) dans Cisco Secure FMC sont activement exploitées par Sandworm/GRU pour déployer Cyclops Blink et par Qilin ransomware.
• Les hotfixes Cisco doivent être appliqués immédiatement ; le patch complet est attendu pour la semaine du 16 septembre 2026 — c'est la troisième inscription KEV CISA pour FMC en 2026.
• Audit urgent des logs FMC selon les indicateurs Cisco Talos, isolation des interfaces de management en VLAN dédié et activation MFA sont les trois actions prioritaires pour toute organisation concernée.