Sandwormとランサムウェアの実行犯が、同じファイアウォール管理コンソールにいる

Cisco Talosは今週、Cisco Secure Firewall Management Center（FMC）の2つの脆弱性が3つの異なるグループによって現に悪用されていることを確認した。そのうち1つはロシアの国家主体Sandwormとツールが重なる攻撃者、もう1つはランサムウェア「Qilin」のアフィリエイトと評価されている。連邦文民機関に対するCISAの修正期限は9月12日（土）だった。すでに過ぎている。

立ち止まって考えるべき点は深刻度スコアではない。攻撃者が何を狙ったかだ。FMCはファイアウォールではない。ファイアウォールを管理するコンソールであり、組織の境界全体のポリシー、設定、認証情報を保持するシステムである。

何が壊れているのか

CVE-2026-20079の影響を受けるのはFMCの7.0、7.2、7.4、7.6、7.7、10.0の各リリース、およびCisco Security Cloud Control Firewall Management（こちらはCisco側ですでに修正済み）。Ciscoは影響を受けるすべてのバージョン向けにホットフィックスを公開し、回避策はないとしている。ただし管理インターフェースがインターネットから到達できない場合は深刻度が下がるとも述べている。Cisco自身のアドバイザリによれば、同社のPSIRTが実際の悪用を把握したのは2026年8月だ。

CVE-2026-20316は7月29日に悪用済みのゼロデイとして公表され、その時点でCISAのKnown Exploited Vulnerabilitiesカタログに追加された。

3つのグループ、1つのコンソール

Talosはこの侵入を3つの別々のクラスターとして追跡している。これこそが、本件を通常のアドバイザリ以上のものにしている部分だ。

• UAT-12197 — 犯罪型の活動。Webシェルと認証情報を抜き取るツールを展開。
• UAT-11823 — ロシア軍参謀本部情報総局（GRU）に結び付けられるSandwormとツールが重なる、高度な持続的脅威（APT）の攻撃者。Talosはこの攻撃者がファイアウォールの設定情報を収集しているのを確認した。
• UAT-11988 — Qilinランサムウェアのアフィリエイトであると高い確度で評価されており、静的な認証情報を偵察と横展開に利用。

目的がまったく異なる3つの無関係な作戦が、同じ時期に同じ製品へ集中した。金銭目的のランサムウェア集団と国家の情報機関が標的リストを共有することは普通はない。ここではそれが起きた。その標的が、見過ごすにはあまりに有用だったからだ。

なぜ管理プレーンなのか

ファイアウォールを1台侵害されれば、失うのは実施ポイント1つだ。管理センターを侵害されれば、失うのは地図そのものである。

Sandwormにとって、ファイアウォールの設定情報を集めることは目的への一歩ではない。諜報活動においては、それ自体がほぼ目的だ。設定情報はネットワークの形、セグメンテーション、どの経路が信頼されているか、重要なシステムがどこにあるかを明らかにする。ランサムウェアのアフィリエイトにとって、同じコンソールは一気にすべてへ手を伸ばす最短経路であり、暗号化の段階を封じ込めるはずの防御を静かに弱める手段でもある。

「うちは国家主体の標的ではない」がパッチを急がない理由にならないのも、これが理由だ。同じ脆弱性を、両方のタイプの攻撃者が同時に扱っていた。組織が自分でどんな脅威モデルを描こうと、露出は同一である。

より大きなパターン

CISAのリストに載ったのはFMCだけではない。同じ期限は、Citrix NetScaler ADCおよびGatewayの認証バイパス（CVE-2026-19490、CVSS 9.3）——9月初旬にセキュリティ研究者がハニーポットへの数十件の悪用試行を記録している——と、FortiOS、FortiSwitchManager、FortiSASEに影響するFortinetの脆弱性（CVE-2025-25249、CVSS 7.3、7月から悪用）も対象としていた。

Cisco、Citrix、Fortinet。3つのベンダー、3つの製品。いずれもネットワークの境界を守るために買われたものが、そろって侵入口として使われている。制御であるはずだったカテゴリーが、今では確実に入口になっている。

何をすべきか

• 今すぐホットフィックスを適用する。 影響を受けるすべてのFMCバージョン向けに存在する。Ciscoはより広範な堅牢化リリースを9月16日の週に予定しているが、それを待つ理由にはならない。
• 管理インターフェースをインターネットから外す。 今回の問題の深刻度を下げるだけでなく、同種の将来の問題すべてに効く。FMCのコンソールが公開到達可能であるべきではなかった。
• 露出していて未修正だったなら、決めつけずに調査する。 悪用は少なくとも8月から続いており、観測された活動にはWebシェルの設置と認証情報の収集が含まれていた。つまりパッチを当てるだけでは、すでに内部にいる者を追い出せない。Cisco Talosは防御側向けに侵害指標と検知内容を公開している。
• CitrixとFortinetの製品も確認する。 運用しているなら、同じ理由で同じリストに載っていた。

ここで有用なのは連邦の期限そのものではなく、それが発する信号だ。CISAが9月12日を設定したのは、悪用がすでに進行中だったからである。それ以外の組織も同じ時計で動いている——ただ、書類仕事がないだけだ。

---

出典: Cisco Talos — Active exploitation of Cisco Secure Firewall Management Center vulnerabilities · Cisco Security Advisory — CVE-2026-20079 · BleepingComputer — Cisco FMC flaws exploited by ransomware gang, state-sponsored hackers · Help Net Security — Cisco FMC bugs exploited by nation-state and ransomware actors · The Hacker News — CISA flags exploited Cisco, Citrix, Fortinet flaws · CISA — Known Exploited Vulnerabilities Catalog