Cisco Secure Firewall Management Center (FMC) dasturidagi ikkita zaiflik kiberjinoyatchilar va davlat tomonidan qo‘llab-quvvatlanadigan xakerlik guruhlari tomonidan real hujumlarda faol foydalanilayotgani aniqlandi. Ushbu zaifliklardan biri — CVE-2026-20079 — CVSS bo‘yicha maksimal 10.0 ball bilan baholangan bo‘lib, masofadan turib autentifikatsiyani chetlab o‘tish va qurilmada root darajasidagi huquqlarni qo‘lga kiritish imkonini beradi.
Mutaxassislarning 2026-yil 9-sentabrdagi ma’lumotlariga ko‘ra, zaifliklardan foydalanilgan hujumlarda veb-shellar, masofaviy boshqaruv vositalari, ma’lumotlarni o‘g‘irlash mexanizmlari hamda Cyclops Blink zararli dasturi kuzatilgan. Ayrim hujumlar esa yakunda Qilin ransomware orqali tashkilot infratuzilmasidagi qurilmalarni shifrlashgacha olib borgan.
Muammo nimada?
Cisco Secure Firewall Management Center — tashkilotlarda Cisco xavfsizlik devorlarini markazlashgan holda boshqarish uchun ishlatiladigan muhim boshqaruv platformasidir. Shu sababli uning o‘ziga kirish huquqining qo‘lga kiritilishi oddiy bitta serverning buzilishi bilan cheklanib qolmaydi. Tajovuzkor bunday tizim orqali tashkilot tarmog‘i, xavfsizlik qurilmalari, foydalanuvchi hisoblari va ichki infratuzilma haqida qo‘shimcha ma’lumotlarni qo‘lga kiritishi mumkin.
Cisco Talos ma’lumotlariga ko‘ra, hozirda kamida uch xil hujum klasteri aniqlangan bo‘lib, ularning har biri turli maqsad va usullardan foydalangan.
CVE-2026-20079 — maksimal darajadagi xavf
CVE-2026-20079 — Cisco Secure Firewall Management Center’ning veb-interfeysida mavjud bo‘lgan autentifikatsiyani chetlab o‘tish zaifligidir.
Zaiflik CVSS 10.0 ball bilan baholangan va Cisco uni Critical darajasiga kiritgan. Muammo qurilma ishga tushirilgan vaqtda yaratiladigan tizim jarayonining noto‘g‘ri boshqarilishi bilan bog‘liq.
Agar ushbu jarayon qonuniy foydalanuvchi tomonidan egallanmasa, tajovuzkor maxsus shakllantirilgan HTTP so‘rovlar orqali autentifikatsiyani chetlab o‘tishi va tizimda skriptlarni bajarishi mumkin. Natijada hujumchi qurilmaning operatsion tizimida root huquqlarini qo‘lga kiritishi ehtimoli yuzaga keladi.
Bu esa hujumchiga faqat FMC interfeysidan foydalanish emas, balki tizimning o‘zida keng ko‘lamli amallarni bajarish imkonini beradi.
Cisco ushbu zaiflik uchun tuzatishlarni 2026-yil mart oyida chiqargan. Biroq kompaniya 9-sentabr kuni 2026-yil avgust oyidan boshlab zaiflikning real hujumlarda ekspluatatsiya qilinayotganini rasman ma’lum qildi.
CVE-2026-20316 — “oddiy” ko‘ringan, ammo xavfli zaiflik
Ikkinchi zaiflik — CVE-2026-20316 — CVSS bo‘yicha 5.3 ball bilan baholangan.
U FMC veb-interfeysida past darajadagi huquqlarga ega hisob qaydnomasi uchun statik, ya’ni oldindan belgilangan login ma’lumotlarining mavjudligi bilan bog‘liq. Masofaviy, autentifikatsiyadan o‘tmagan tajovuzkor ushbu zaiflikdan foydalanib, tizimga past imtiyozli foydalanuvchi sifatida kirishi va ayrim maxfiy ma’lumotlarga ega bo‘lishi mumkin.
Birinchi qarashda ushbu zaiflik CVE-2026-20079 kabi xavfli ko‘rinmasligi mumkin. Ammo Cisco aynan uning boshqa zaifliklar bilan birgalikda imtiyozlarni oshirish va hujumni rivojlantirish uchun ishlatilishi mumkinligini ta’kidlagan.
Shu sababli CVE-2026-20316’ni ham alohida e’tiborsiz qoldirish mumkin emas.
Hujumchilar tizimga kirgach nima qilmoqda?
Cisco Talos tadqiqotchilari buzilgan FMC tizimlaridagi keyingi faoliyatni uchta alohida klasterga ajratgan.
UAT-12197: veb-shell orqali yashirin boshqaruv
Birinchi klaster UAT-12197 sifatida belgilangan.
Ushbu guruh CVE-2026-20079 zaifligidan foydalanib, FMC tizimining Tomcat veb-katalogiga JSP asosidagi veb-shell joylashtirgan.
Veb-shell tajovuzkorga zararlangan qurilma bilan masofadan turib ishlash imkonini bergan. Keyinchalik hujumchilar cmd.jar nomli Java Archive (JAR) formatidagi buyruq bajaruvchi vositani joylashtirgan.
Mazkur vosita orqali tizimning ichki ma’lumotlar bazasiga murojaat qilinib, saqlangan foydalanuvchi hisob ma’lumotlarini yig‘ishga urinishlar amalga oshirilgan.
Bunday yondashuv hujumchiga bir martalik kirish bilan cheklanib qolmasdan, keyingi bosqichlarda boshqa hisoblar va tizimlarga o‘tish imkoniyatini kengaytiradi.
UAT-11823: Sandworm bilan bog‘liq hujumlar va Cyclops Blink
Ikkinchi klaster — UAT-11823 — Cisco Talos tomonidan yuqori ishonch darajasida davlat tomonidan qo‘llab-quvvatlanadigan ilg‘or doimiy tahdid (APT) faoliyati sifatida baholangan.
Tadqiqotchilar ushbu guruhning vositalari va faoliyati Sandworm nomi bilan bog‘liq APT guruhiga o‘xshashligini aniqlagan. Sandworm AQSh va Buyuk Britaniya tomonidan Rossiya bilan bog‘langan tahdid guruhi sifatida ilgari ham qayd etilgan.
Hujumchilar CVE-2026-20079 va CVE-2026-20316 zaifliklarini zanjir ko‘rinishida qo‘llagan.
Tizimga kirgandan so‘ng ular FMC’dagi license.tmp
faylini zararli paket bilan almashtirib, Netcat asosidagi reverse shell orqali hujumchi serveri bilan aloqa o‘rnatgan.
Keyingi bosqichda qurilmadagi konfiguratsiya ma’lumotlari yig‘ilgan va tashqariga chiqarishga tayyorlangan.
Eng xavotirli jihatlardan biri esa Cyclops Blink zararli dasturining modifikatsiyalangan varianti aniqlanganidir.
Ushbu zararli dastur:
- tizimda doimiy ishlashni ta’minlash;
- fayllarni yuklash va yuklab olish;
- hisob ma’lumotlarini yig‘ish;
- tarmoqni skanerlash;
- tarmoq trafigini kuzatish;
- masofadan turib buyruq va fayllarni bajarish;
- DNS-over-HTTPS orqali boshqaruv infratuzilmasi bilan aloqa qilish
kabi imkoniyatlarga ega bo‘lgan.
Bu holat FMC qurilmasining o‘zi hujumchining tarmoq ichkarisiga chuqurroq kirishi uchun tayanch nuqtaga aylantirilishi mumkinligini ko‘rsatadi.
UAT-11988: Qilin ransomware’gacha olib borgan hujum
Uchinchi klaster — UAT-11988 — Cisco Talos tomonidan yuqori ishonch bilan ransomware operatori sifatida baholangan.
Mazkur hujumchilar CVE-2026-20079’dan foydalanmasdan, CVE-2026-20316 orqali statik hisob ma’lumotlaridan foydalanib tizimga kirgan.
Keyinchalik ular FMC’ning o‘zida mavjud qonuniy boshqaruv vositalaridan foydalanib, hujumni bosqichma-bosqich rivojlantirgan.
Hujumchilar tashkilotning:
- Active Directory;
- MySQL hisob ma’lumotlari;
- domen kontrollerlari;
- fayl serverlari;
- Exchange serverlari;
- boshqa tarmoq qurilmalari
haqida ma’lumot to‘plagan.
Shundan so‘ng ular Python asosidagi SOCKS5 proksi va reverse-SSH tunnellari orqali ichki tarmoqqa chuqurroq kirishga harakat qilgan.
Tadqiqotchilar LDAP, LDAPS, Kerberos, SMB, NetBIOS va WinRM kabi xizmatlarga yo‘naltirilgan trafikni ham qayd etgan.
Yakuniy bosqichda hujumchilar ayrim endpointlarda xavfsizlik vositalarini o‘chiruvchi vositalarni ishga tushirib, Qilin ransomware zararli dasturini tarqatgan.
Demak, hujum oddiygina “firewall boshqaruv tizimiga kirish” bilan yakunlanmagan. U butun tashkilot infratuzilmasini o‘rganish, ichki tarmoqqa kirib borish va oxir-oqibat ma’lumotlarni shifrlashgacha olib borgan.
Aniqlangan asosiy tahdid klasterlari
| Tahdid klasteri | Baholangan manba | Foydalanilgan zaiflik | Asosiy faoliyat |
|---|---|---|---|
| UAT-12197 | Aniqlanmagan tahdid aktyori | CVE-2026-20079 | JSP veb-shell, cmd.jar , hisob ma’lumotlarini yig‘ish |
| UAT-11823 | Sandworm bilan bog‘liq APT | CVE-2026-20079 + CVE-2026-20316 | Reverse shell, konfiguratsiyalarni o‘g‘irlash, Cyclops Blink |
| UAT-11988 | Qilin ransomware operatori | CVE-2026-20316 | Tarmoqni o‘rganish, tunnellash, credential harvesting, ransomware |
Tashkilotlar nimalarga e’tibor berishi kerak?
Cisco va Cisco Talos ushbu zaifliklarning real hujumlarda qo‘llanilayotganini hisobga olib, tashkilotlarga mavjud hotfix va yangilanishlarni imkon qadar tez o‘rnatishni tavsiya qilmoqda. Keyingi keng qamrovli xavfsizlikni kuchaytirish relizi 2026-yil 14-sentabr haftasida chiqarilishi rejalashtirilgan bo‘lsa-da, faol ekspluatatsiya kuzatilayotgani sababli ushbu relizni kutib turish tavsiya etilmaydi.
Shuningdek, quyidagi choralarni ko‘rish maqsadga muvofiq:
1. FMC dasturining versiyasini tekshirish.
Tashkilot tarmog‘ida ishlayotgan Cisco Secure Firewall Management Center qurilmalari inventarizatsiya qilinib, ularning zaif versiyaga tegishli yoki tegishli emasligi aniqlanishi kerak.
2. CVE-2026-20079 va CVE-2026-20316 uchun chiqarilgan tuzatishlarni o‘rnatish.
Cisco ushbu zaifliklarni bartaraf etuvchi yangilanishlarni taqdim etgan.
3. FMC boshqaruv interfeysini internetdan ochiq qoldirmaslik.
Cisco ma’lumotlariga ko‘ra, FMC boshqaruv interfeysi ommaviy internetdan foydalanish imkoniga ega bo‘lmasa, ushbu zaifliklarning hujum yuzasi sezilarli darajada kamayadi.
4. Tizimdagi shubhali faoliyatni tekshirish.
FMC tizimlarida noma’lum fayllar, veb-shellar, reverse shell ulanishlari, noodatiy administrator faoliyati, kutilmagan tashqi ulanishlar va yangi jarayonlar mavjudligini tekshirish lozim.
5. Loglarni chuqur tahlil qilish.
Ayniqsa autentifikatsiya hodisalari, boshqaruv interfeysiga kirishlar, noodatiy HTTP so‘rovlari, tizim fayllarining o‘zgarishi va noma’lum tashqi IP-manzillar bilan aloqalar tahlil qilinishi kerak.
6. FMC qurilmasidan ichki tarmoqqa chiqadigan ulanishlarni nazorat qilish.
Agar FMC’dan ichki Active Directory, Exchange, SMB, LDAP, Kerberos yoki WinRM xizmatlariga kutilmagan ulanishlar aniqlansa, hodisani alohida tekshirish zarur.
7. Komprometatsiya alomatlari aniqlansa, faqat patch o‘rnatish bilan cheklanmaslik.
Cisco’ning o‘zi ham komprometatsiya gumon qilingan holatlarda hotfix kelgusidagi ekspluatatsiyaning oldini olishga xizmat qilishini, biroq mavjud buzilish oqibatlarini avtomatik ravishda bartaraf etmasligini qayd etgan. Bunday vaziyatda tizimni to‘liq tekshirish va Cisco TAC bilan bog‘lanish tavsiya etiladi.
Aniqlangan indikatorlar
Cisco Talos tahlilida ushbu kampaniyalar bilan bog‘liq bir qator indikatorlar ham keltirilgan. Jumladan:
b037f45e02a289325a1a5eb0d4db6a9fce9954fd0fdfd07162cb4eb2acbef77d
— UAT-12197 bilan bog‘liqhome.jsp
veb-shell;db491181ece3f319de6567ab6f6daa90c6879911cd890155e6b7d8cc7a1a8c8e
—cmd.jar
buyruq bajaruvchi fayli;89.34.96[.]56
— UAT-11823 bilan bog‘liq C2 manzili;208.123.119[.]215
— reverse shell uchun foydalanilgan C2 manzili;104.218.165[.]253
— CVE-2026-20079’ni qidirishda ishlatilgan skanerlash manzili;91.214.78[.]118
— reverse shell C2;6f98add5d1a7729192b6ad8491d85c505c64836f7881742d6b93bd8e3d2fe461
— Cyclops Blink bilan bog‘liq zararli fayl;43.204.2[.]142
— UAT-11988 faoliyati bilan bog‘liq hujumchi IP-manzili.
Ushbu indikatorlar tashkilotlarning SIEM, EDR/XDR, IDS/IPS, Firewall, DNS va boshqa himoya vositalarida tekshirilishi mumkin.
Cisco Secure Firewall Management Center’dagi ushbu holat xavfsizlik qurilmasining o‘zi ham tajovuzkor uchun tashkilot ichki tarmog‘iga kirish eshigi bo‘lishi mumkinligini yana bir bor ko‘rsatmoqda.
Ayniqsa, CVE-2026-20079 kabi CVSS 10.0 ball olgan va real hujumlarda faol foydalanilayotgan zaiflikning mavjudligi jiddiy xavf tug‘diradi. CVE-2026-20316 esa mustaqil ravishda nisbatan cheklangan imkoniyat bersa-da, boshqa zaifliklar bilan birgalikda hujumchining imtiyozlarini oshirish va tarmoq bo‘ylab harakatlanishiga yordam berishi mumkin.
Eng muhim jihat shundaki, aniqlangan hujumlar turli maqsadlarni ko‘zlagan: ayrimlari hisob ma’lumotlarini o‘g‘irlashga, boshqalari esa tizimda uzoq muddat yashirin qolish va zararli dastur o‘rnatishga qaratilgan. Yana bir holatda esa hujum zanjiri Qilin ransomware orqali tashkilotning endpointlarini shifrlash bosqichigacha yetib borgan.
Shu sababli Cisco Secure Firewall Management Center’dan foydalanayotgan tashkilotlarga CVE-2026-20079 va CVE-2026-20316 bo‘yicha chiqarilgan xavfsizlik yangilanishlarini zudlik bilan o‘rnatish, FMC boshqaruv interfeysining internetga ochiqligini qayta ko‘rib chiqish hamda mavjud tizimlarda komprometatsiya alomatlarini tekshirish tavsiya etiladi.
Kiberxavfsizlikda “bu faqat boshqaruv serveri” degan qarash xavfli. Chunki boshqaruv markazi qo‘lga kiritilsa, u orqali butun himoya infratuzilmasiga yo‘l ochilishi mumkin.