Три хакерские группы прошли один файрвол Cisco, среди них – имплант Sandworm и вымогатель Qilin

Cisco Secure Firewall Management Center стоит не на периметре, а над ним: это пульт, с которого управляют самими файрволами – политики, правила и конфигурации всех подчинённых устройств сведены в одну точку. Компрометация такого пульта хуже, чем взлом отдельного файрвола: атакующий получает не одну коробку, а рычаг над всеми, кого она держит, и заодно доверенный плацдарм глубоко внутри сети. Именно этот пульт вскрыли, и вскрыли анонимным запросом.

CVE-2026-20079 – это обход аутентификации с оценкой 10.0 из 10: неавторизованный удалённый запрос проходит проверку, исполняет скрипты на устройстве и выдаёт root на его операционной системе. Полный контроль над плоскостью управления файрволами, без единого пароля. И через эту единственную точку входа, как показал разбор Cisco Talos, вошли сразу три независимые группы. Одна вычитала базу учёток штатным запросом. Вторая развернула имплант, который атрибутируют российской Sandworm. Третья прошла до шифровальщика с почерком аффилиатов Qilin. А две из трёх для исполнения кода от root оперлись на один и тот же родной инструмент самого продукта.

---