CVE-2026-20079 : Cisco FMC CVSS 10.0, Sandworm et Qilin déploient du ransomware

Les faits

Cisco a confirmé le 10 septembre 2026 que CVE-2026-20079, une vulnérabilité de sévérité maximale (CVSS 10.0) affectant le Secure Firewall Management Center (FMC), est activement exploitée en conditions réelles par au moins trois groupes de menace distincts. Parmi eux : Sandworm, l'unité de cyberguerre du GRU russe, et UAT-11988, un affiliate opérant le ransomware Qilin. La faille avait été initialement corrigée dans un bulletin de sécurité de juillet 2026, mais la confirmation d'exploitation active a conduit Cisco à publier des hotfixes d'urgence supplémentaires.

Techniquement, CVE-2026-20079 réside dans un processus système mal configuré lors du démarrage du FMC. Ce processus crée une fenêtre d'accès non authentifié sur l'interface web d'administration. Un attaquant peut envoyer une requête HTTP craftée vers cet endpoint de démarrage et obtenir l'exécution de scripts arbitraires avec les privilèges root — sans fournir aucun identifiant. Il s'agit d'un bypass d'authentification complet, non d'une simple élévation de privilèges : l'attaquant part de zéro et arrive directement à root en une seule requête, ce qui explique le score CVSS maximal de 10.0.

Une seconde CVE, CVE-2026-20316, a été exploitée en tandem par le groupe UAT-11988. Cette vulnérabilité d'injection de commandes dans un autre composant FMC a servi de point d'entrée initial avant l'exploitation de CVE-2026-20079 pour l'escalade en root. Selon Help Net Security, les deux failles ont été utilisées séquentiellement : CVE-2026-20316 pour l'accès initial, CVE-2026-20079 pour la persistance et l'exécution du payload de ransomware.

L'analyse conjointe de Cisco Talos et de Mandiant décrit en détail la chaîne d'attaque de UAT-11988 une fois l'accès obtenu. Le groupe exploite les outils natifs du FMC pour une reconnaissance approfondie du réseau géré — le FMC étant par nature la console de gestion centrale de toutes les politiques firewall d'une organisation, il donne une visibilité totale sur la topologie réseau, les règles de filtrage, et les assets gérés. Les attaquants ont exfiltré ces données de configuration, déployé des tunnels de persistance via des outils de tunneling légitimes déjà présents sur le système (technique LotL — Living off the Land), collecté des credentials réseau, puis déployé Qilin sur les endpoints sélectionnés après avoir désactivé les outils de sécurité.

Sandworm, de son côté, a utilisé CVE-2026-20079 dans un objectif différent : implanter des backdoors persistants pour l'espionnage long terme. Selon le rapport de Help Net Security du 10 septembre 2026, le groupe GRU a privilégié la discrétion — aucun ransomware, mais une présence persistante permettant d'intercepter le trafic de gestion, d'exfiltrer des configurations de sécurité, et de préparer des capacités de sabotage sur les infrastructures ciblées. Ce double usage de la même CVE par deux types d'acteurs — cybercriminalité financière et espionnage étatique — illustre la valeur stratégique des appliances de gestion réseau comme cible d'intrusion prioritaire.

CISA a ajouté CVE-2026-20079 à son catalogue KEV (Known Exploited Vulnerabilities) le 9 septembre 2026, avec une directive BOD 26-04 imposant aux agences fédérales américaines de corriger cette vulnérabilité avant le 30 septembre 2026. Selon Shodan, environ 700 instances FMC seraient directement accessibles sur Internet, représentant un périmètre d'attaque significatif pour les organisations qui auraient exposé leur console de gestion — une pratique malheureusement courante dans les contextes de télétravail ou d'externalisation de la gestion réseau.

Les branches FMC affectées couvrent l'essentiel des déploiements en production : versions 7.0.x, 7.2.x, 7.4.x, 7.6.x, 7.7.x et 10.0.x. Cisco a publié des hotfixes spécifiques pour chacune de ces branches, téléchargeables depuis le portail Cisco Software Center sous les références des bulletins Cisco-SA-FMC-2026. La version 7.8.x n'est pas affectée.

Du point de vue de l'impact global, la compromission d'un FMC ne se limite pas au serveur lui-même. Le FMC étant la console de management centralisée de toutes les politiques de sécurité réseau Cisco d'une organisation, son contrôle par un attaquant permet de modifier les règles firewall pour ouvrir des accès, d'exfiltrer la topologie complète du réseau, de déployer des configurations malveillantes sur tous les firewalls managés, et de neutraliser les défenses en désactivant les règles de détection d'intrusion. La surface d'impact dépasse largement le FMC lui-même.

Impact et exposition

Tout déploiement Cisco FMC en version 7.0.x à 7.7.x ou 10.0.x est affecté, particulièrement si l'interface web d'administration est accessible depuis Internet ou depuis des zones réseau non segmentées. La compromission d'un FMC équivaut à la prise de contrôle de l'ensemble de la politique de sécurité réseau gérée — firewalls, IDS/IPS, règles NAT — dans la totalité du périmètre supervisé.

Recommandations

• Appliquer immédiatement les hotfixes Cisco pour la branche concernée (7.0, 7.2, 7.4, 7.6, 7.7 ou 10.0) — disponibles sur Cisco Software Center sous les bulletins Cisco-SA-FMC-2026
• Vérifier si des instances FMC sont exposées sur Internet et les isoler immédiatement derrière un VPN ou réseau de gestion dédié
• Auditer les logs d'accès FMC depuis le 1er août 2026 pour détecter des connexions non authentifiées ou des modifications de politiques non tracées
• Vérifier l'intégrité des politiques firewall déployées pour détecter d'éventuelles modifications non autorisées introduites par les attaquants
• Activer l'authentification multi-facteurs (MFA) sur l'accès administrateur FMC si ce n'est pas encore le cas