השאילתה שהתוקף הריץ הייתה קצרה ומשעממת למדי: שלוף את שמות המשתמשים ואת נתוני האימות שלהם מטבלת המשתמשים. מה שהופך אותה למעניינת הוא השרת שעליו היא רצה. לא שרת קבצים, לא תחנת עבודה של מפתח, אלא הקונסולה שממנה צוות הרשת מגדיר את כל חומות האש של הארגון.

חוקרי Cisco Talos פרסמו ב-9 בספטמבר דוח על ניצול פעיל של שתי חולשות ב-Cisco Secure Firewall Management Center, מוצר הניהול המרכזי של חומות האש של סיסקו. הם מתארים שלושה אשכולות תקיפה נפרדים שנכנסו דרך אותו זוג חולשות, וכל אחד מהם עשה בפנים משהו אחר: אחד שתל web shell וחילץ פרטי אימות ממסד הנתונים הפנימי, אחד הוריד לשרת נוזקה מודולרית שהכלים שלה חופפים לאלה של קבוצת ריגול רוסית, והשלישי הגיע עד הצפנת מחשבים בכופרה Qilin. נעבור על שתי החולשות, על מה שכל אשכול עשה אחרי הכניסה, ועל מה שנראה כאן הכי פחות אינטואיטיבי: דווקא החולשה עם הציון הנמוך מבין השתיים היא זו שהובילה לכופרה.

למה שרת הניהול שווה יותר מחומת האש עצמה

FMC הוא לא חומת אש. הוא השרת שמנהל אותן. ארגון שמפעיל עשרות חומות אש של סיסקו מגדיר אותן מהמקום הזה, דוחף מהן מדיניות, אוסף אליו את הלוגים ומחזיק בו את רשימת המכשירים המנוהלים ואת פרטי האימות של מי שמתחבר לקונסולה. מי שמשיג הרשאות root על השרת הזה לא צריך לפרוץ כל חומת אש בנפרד, כי הוא כבר יושב על ההגדרות של כולן ועל מפה מדויקת למדי של הרשת הפנימית.

המכשיר הזה שייך לקטגוריה שנעשתה בשנים האחרונות מטרה מועדפת: ציוד שיושב בשולי הרשת, מריץ מערכת הפעלה שהצוות כמעט לא נוגע בה, ולרוב אין עליו כלי הגנה ל-endpoint שיצעק כשמשהו חורג. תוקף שנכנס לשם נמצא בתוך הרשת ומחוץ לטווח הראייה של רוב מה שאמור לתפוס אותו.

חולשה בציון 10, וחולשה בציון 5.3

הראשונה נובעת מתהליך מערכת שנוצר בצורה שגויה בזמן עליית השרת, ומשאיר מסלול שמגיע להרצת סקריפטים בלי לעבור דרך מסך ההתחברות. תוקף ששולח אל הממשק בקשות HTTP בנויות במיוחד מגיע להרצת קוד בהרשאות root על מערכת ההפעלה שמתחת, בלי שם משתמש ובלי סיסמה. זו CVE-2026-20079, ולפי הרשומה ב-NVD היא מסווגת כעקיפת אימות דרך מסלול חלופי (CWE-288) ומקבלת ציון CVSS מלא, 10.0. הציון המלא מגיע בין השאר מכך שהניצול חורג מגבולות הרכיב הפגיע אל מערכת ההפעלה כולה.

ההודעה של סיסקו על החולשה פורסמה כבר ב-4 במרץ 2026, ומעקף אין לה: הדרך היחידה לסגור אותה היא להתקין את התיקון. מה שהשתנה מאז הוא שורה שסיסקו הוסיפה לעדכון האחרון של ההודעה, ב-9 בספטמבר, ולפיה באוגוסט 2026 נודע ל-PSIRT שלה על ניצול פעיל של החולשה. באותו יום הוסיפה CISA את החולשה לקטלוג החולשות המנוצלות שלה ודרשה מגופים פדרליים בארצות הברית לתקן עד ה-12 בספטמבר. (התאריך הזה, אגב, הוא היום.)

החולשה השנייה נראית הרבה פחות מרשימה. ב-FMC קיים חשבון בהרשאות נמוכות שפרטי האימות שלו קבועים בתוך המוצר, כלומר זהים בכל התקנה והלקוח לא יכול לשנות אותם. מי שמכיר אותם מתחבר לממשק בלי לנצל שום באג. זו CVE-2026-20316 בציון 5.3, והציון הנמוך הגיוני: החשבון לא נותן root, לא נותן כתיבה, והמידע שהוא חושף מוגבל. מה שהוא כן נותן היא נוכחות מאומתת על השרת. סיסקו פרסמה את ההודעה עליה ב-29 ביולי וכתבה שכבר ביולי נודע לה על ניצול פעיל, ו-CISA סימנה אותה בקטלוג כחולשה שידוע על שימוש בה בקמפיינים של כופרה.

שלושה אשכולות שנכנסו מאותה דלת

האשכול שטאלוס מסמנת UAT-12197 ניצל את החולשה החמורה כדי לשתול web shell, קובץ JSP שהונח בתיקיית ה-webroot של שרת ה-Tomcat של הרכיב. ה-web shell מפרסר פרמטר מקודד Base64 שמגיע בבקשה ומכיל שמות של מחלקות Java, ולצידו הושתל באותה תיקייה קובץ JAR ששימש כמריץ פקודות פשוט. מה שהתוקף עשה עם היכולת הזאת הוא בדיוק השאילתה שפתחה את הכתבה: הוא הפעיל כלי תחזוקה פנימי של FMC בשם OmniQuery.pl כדי לתשאל את מסד הנתונים המקומי ולחלץ ממנו את רשומות המשתמשים ואת נתוני האימות שלהן.

האשכול השני, UAT-11823, ניצל את שתי החולשות יחד ועבד בצורה שקטה יותר. במקום להשאיר על הדיסק קובץ חדש וחשוד, הוא לקח קובץ קיים בשם license.tmp והחליף אותו בעותק זדוני שנארז בעזרת Makeself, כלי שאורז ארכיון וסקריפט לכדי קובץ הרצה יחיד. את הקובץ הזה הוא הריץ דרך package_info.pl, כלי לגיטימי של FMC שרץ בהרשאות root. התוצאה הייתה ערוץ תקשורת חוזר אל שרת של התוקף על פורט 3090, ושני סקריפטים נוספים שאספו את קובצי התצורה של כל המכשירים המנוהלים וארזו אותם לארכיונים לקראת הוצאה החוצה.

דרך אותו ערוץ ירד לשרת גם שתל ELF מודולרי ממשפחת Cyclops Blink, משפחה שמתועדת בציבור כשתל שרץ על ציוד רשת. טאלוס מונה את היכולות שלו: שרידות דרך סקריפטים בתיקיית /etc/init.d, פתרון כתובת שרת השליטה והבקרה (C2, השרת שממנו התוקף שולח פקודות לשתל) באמצעות DNS over HTTPS כדי שהשאילתה לא תיראה בתעבורת ה-DNS הרגילה, העלאה והורדה של קבצים, חילוץ פרטי אימות, הרצת פקודות, סריקת רשת, והאזנה לתעבורה עם אפשרות לסינון.

מהסיסמה הקבועה ועד Qilin

מי שהסתכל על הציון 5.3 והחליט שזה יכול לחכות צריך להכיר את UAT-11988. הכניסה שלו לא כללה ניצול של החולשה החמורה בכלל. הוא התחבר עם פרטי האימות הקבועים, ומשם הפעיל את אותו package_info.pl כדי להריץ license.tmp זדוני בהרשאות root, ועבר לאסוף מידע בעזרת הכלים שכבר היו על המכשיר.

מה שהוא אסף הוא רשימת מכולת של ארגון שלם: שמות מארחים, כתובות IP, תצוגות תיקיות, פרטי אימות של חשבונות שירות ב-Active Directory ושל מסדי נתוני MySQL, רשימות של חשבונות דומיין ושל אובייקטי מחשב, ומיפוי של שמות לכתובות עבור בקרי הדומיין, שרתי ADFS, שרתי Exchange, שרתי קבצים ושרתי מסדי נתונים. את הכל הוא הצניע בתוך קבצים שכבר היו נגישים על שרת ה-FMC, והוציא החוצה בבקשות HTTP GET רגילות. בלי ערוץ מוצפן, בלי כלי ייעודי, בתעבורה שנראית כמו כל השאר.

השלב הבא היה מעבר אל הרשת עצמה: proxy מסוג SOCKS5 כתוב ב-Python, ומנהרת SSH הפוכה שהעבירה דרכה את הפורטים של השירותים שמעניינים תוקף בסביבת Windows, בהם LDAP (389), LDAPS (636), Kerberos (88), SMB (445), NETBIOS (135) ו-WinRM (5985). עם הגישה הזאת הוא הריץ את impacket ואת Invoke-TheHash, בנה רשימת endpoint-ים להצפנה, הפיל כלי הגנה בעזרת רכיבים שנכתבו במיוחד לצורך הזה, ורק אז הפעיל את הכופרה Qilin על המחשבים שבחר. טאלוס מעריכה בביטחון גבוה שמדובר בגורם כופרה, ושדפוסי הפעולה שלו עקביים עם שותפים של Qilin.

מה שטאלוס נזהרת לא לומר

על האשכול השני טאלוס כותבת שהיא מייחסת את הפעילות ל-UAT-11823, קבוצת APT, בביטחון גבוה, ושהקבוצה חופפת בכלים לקבוצת ה-APT סנדוורם. זו לא אותה אמירה כמו "סנדוורם תקפה את השרתים האלה", והפער בין השתיים נמחק בחלק מהסיקור: כמה מהפרסומים על הדוח תרגמו את זה לכך שטאלוס קשרה את האשכול לסנדוורם. חפיפה בכלים היא אינדיקציה, לא זהות, ומשפחת Cyclops Blink מתועדת בציבור מספיק זמן כדי שגם גורמים אחרים יוכלו להשתמש בה.

מה שהתמונה כן מראה בבירור הוא שלוש קבוצות שונות לגמרי, מרגל מדינתי ועד שותף כופרה, שהגיעו בזו אחר זו לאותו סוג מכשיר באותו חלון זמן. אף אחת מהן לא נזקקה לחולשת יום-אפס. שתי החולשות היו מתועדות ומתוקנות, אחת מהן מאז מרץ, והשרתים פשוט לא עודכנו. סיסקו הודיעה שבשבוע של ה-14 בספטמבר תשוחרר גרסת חיזוק מקיפה שתכלול את ההוטפיקסים האלה יחד עם חולשות נוספות שמצאה בעצמה.

מה זה אומר בפועל

ארגונים שמריצים FMC מקומי, או את שירות ניהול חומות האש הענני המקביל, צריכים לוודא שההוטפיקסים לשתי החולשות הותקנו בכל אחת מהגרסאות שבשימוש. מעקף אין, ולכן התקנה היא הפתרון היחיד. מי שמתקין עכשיו צריך לזכור שהניצול הקדים אותו בחודשים, והתקנת התיקון לא עונה על השאלה אם מישהו כבר היה שם קודם.

הבדיקה עצמה ממוקדת יחסית, כי שלושת האשכולות השאירו סימנים באותם מקומות: קובצי JSP שלא אמורים להיות בתיקיית ה-Tomcat של הרכיב, שינוי בקובץ license.tmp, הרצות חריגות של package_info.pl ושל OmniQuery.pl, תעבורה יוצאת מהשרת אל כתובות ופורטים לא מוכרים, ובקשות HTTP GET ששולפות ממנו קבצים. טאלוס פרסמה חתימות Snort לשתי החולשות ולנוזקות שנצפו, ואת רשימת ה-IOC המלאה במאגר הציבורי שלה. ואם ה-FMC שלכם חשוף לאינטרנט, זו הנקודה להתחיל ממנה.