Cisco FMC: pedaçar tanca la porta, però ningú no et torna el plànol de la teva xarxa

El 9 de setembre Cisco Talos va publicar que està veient explotació real de dues vulnerabilitats del Secure Firewall Management Center, l'aparell des del qual moltes empreses administren tots els seus tallafocs alhora. Fins aquí, dimecres normal. El que no és normal és el recompte: tres agrupacions d'atacants diferents, sense relació entre elles, dins de la mateixa caixa. Una hi va deixar un webshell. Una altra, un actor d'amenaça persistent, va desplegar dos scripts per recollir les configuracions dels tallafocs gestionats. La tercera va acabar deixant-hi ransomware. I aquí hi ha la part que gairebé ningú comenta: de tot el que es van endur, n'hi ha una part que el pedaç no arregla, perquè no es pot rotar.

El que hi ha, sense adorns

Són dues vulnerabilitats diferents i convé no barrejar-les. CVE-2026-20079 és un salt d'autenticació a la interfície web del FMC, amb CVSS 10.0: un atacant remot i sense credencials executa ordres i acaba com a root sobre el sistema operatiu de sota. L'origen que descriu Cisco és un procés de sistema que es crea malament a l'arrencada. CVE-2026-20316 és una altra cosa: credencials estàtiques —escrites al mateix producte— d'un compte de baix privilegi, amb CVSS 5.3. No dona root; dona entrada.

Cisco ja té hotfixes per als dos. La versió d'enduriment completa, que a més porta altres arreglaments, l'anuncien per a la setmana del 16 de setembre, i Talos demana expressament que no s'hi esperi: aplicar els hotfixes ara. CISA va posar el 10.0 al seu catàleg de vulnerabilitats explotades el 9 de setembre, amb data de correcció del 12 per a les agències federals nord-americanes. El 5,3 ja hi era: hi va entrar el 29 de juliol, amb termini de l'1 d'agost i marcat com a usat en campanyes de ransomware. Sis setmanes abans que Talos publiqués res. A tu aquelles dates no t'obliguen; el rellotge que marquen, sí. I no hi ha workaround per al bypass: l'única cosa que redueix el risc mentre pedaces és que la interfície de gestió no s'abasti des d'internet. Que, dit sigui de passada, és on ja hauria de ser des de fa anys.

Tres grups, tres botins diferents

Talos separa l'activitat en tres agrupacions, i val la pena mirar-les per separat perquè cadascuna ensenya una cosa diferent:

• UAT-12197 va explotar el 10.0, va deixar un webshell JSP en un directori de Tomcat i hi va col·locar un fitxer JAR maliciós per consultar les bases de dades internes del sistema compromès i treure'n dades d'autenticació i credencials.
• UAT-11823, que Talos descriu com un actor d'amenaça persistent, va fer servir les dues vulnerabilitats. Hi va deixar una reverse shell amb Netcat, va desplegar dos scripts en bash per recollir les configuracions dels dispositius gestionats i va acabar instal·lant Cyclops Blink, un implant ELF amb DNS sobre HTTPS, administració de fitxers i robatori de credencials.
• UAT-11988 va entrar per les credencials estàtiques —el 5,3— i va fer reconeixement llarg, enumeració de domini i robatori de credencials abans de desplegar ransomware Qilin. Per moure's cap endins va muntar un proxy SOCKS5 en Python i un túnel SSH invers des del mateix FMC, reenviant LDAP, LDAPS, Kerberos, SMB, NetBIOS i WinRM; als equips va fer servir impacket, Invoke-TheHash i utilitats fetes a mida per apagar l'antivirus. L'aparell de gestió convertit en trampolí cap al directori actiu.

La persistència és el que més ens va agradar, precisament pel poc espectacular que és. El fitxer license.tmp de l'aparell va ser modificat per actuar com un paquet Makeself —un autoextraïble— que la utilitat package_info.pl executa com a root durant el procés d'instal·lació. També hi ha scripts col·locats a /etc/init.d/. Res d'exòtic: un fitxer amb nom avorrit, en un lloc on ningú no mira, que el mateix producte executa amb tots els permisos perquè per això hi és.

De les tres coses que es van endur, dues es roten i una no

Posa-les en fila. Credencials: es roten. Una tarda dolenta, un dia sencer si la casa és gran, però es fa i s'acaba. Un domini xifrat: es restaura. Fa mal, costa diners i nits, però té procediment i té final. Les configuracions dels dispositius gestionats: no es roten. No hi ha botó. No hi ha ordre. No hi ha proveïdor a qui trucar.

I no es roten perquè no són un secret: són una descripció. La configuració dels teus tallafocs és el plànol de la teva xarxa. Diu quins segments existeixen i com els anomeneu internament. Diu què parla amb què i per quin port. Diu on són els extrems de les teves VPN i amb quines empreses. Diu què publica cada regla de NAT. I sobretot diu les teves excepcions: aquella regla de «permetre qualsevol cap a aquest host» que algú va posar «temporalment» el 2019 perquè una aplicació vella no empassava res més fi, i que continua allà perquè treure-la fa por.

Algú amb aquell fitxer al davant ja no necessita escanejar la teva xarxa. I això importa més del que sembla, perquè l'escaneig és la fase sorollosa: és el que dispara alertes, el que deixa petjada als fluxos, el que dona temps a reaccionar. Qui arriba amb el plànol sota el braç se salta justament el tros de l'atac en què tenies alguna possibilitat d'assabentar-te'n. Es presenta directament on hi ha el bo, i sembla trànsit legítim perquè va exactament per on tu mateix vas escriure que es podia anar.

I aquell fitxer no caduca quan pedaces. El pedaç tanca la porta per on va entrar. La còpia que ja va sortir continua sent vàlida demà, al març i el dia que canviïs de proveïdor de manteniment. Vam escriure la primera meitat d'aquesta idea quan FortiOS va deixar un symlink que sobrevivia a l'actualització: pedaçar no és netejar. Això és la segona meitat, i és pitjor, perquè netejar sí que es pot fer. Dessaber, no.

La llista curta

Escriu-la una vegada i la tens per sempre. A gairebé totes les empreses que hem vist cap en mitja pàgina:

• Configuracions de tallafocs, routers i balancejadors. I les seves còpies de seguretat, que solen ser en un recurs compartit amb més permisos dels que hauria de tenir.
• L'inventari: NetBox, o el full de càlcul que fa de NetBox. És la versió llegible del mateix plànol.
• Diagrames de xarxa i documents d'arquitectura, amb noms de host i adreces a dins. Normalment al disc d'algú.
• Les zones DNS internes. El mapa més barat de llegir que existeix: et dona noms, funcions i, amb els noms, prioritats.
• El repositori d'infraestructura com a codi. Allà no hi ha només el que hi ha: hi ha per què és així i què es va provar abans.
• El directori de persones: noms, càrrecs, qui depèn de qui, extensions. És el que fa versemblant una trucada al servei d'assistència.

De tot això, les contrasenyes que hi apareguin es roten i punt. La resta, no. Aquí és on cal decidir, i decidir costa més que pedaçar, que és justament la raó per la qual gairebé ningú no ho fa.

L'aparell que protegeix la teva xarxa és aquell on no pots mirar

Torna als indicadors de Talos i fixa't en què són: un JSP en un directori de Tomcat, un license.tmp que en realitat és un instal·lador, scripts a /etc/init.d/. Tot això es troba si tens accés al sistema operatiu de sota. En un appliance, normalment, no el tens: tens una consola amb menú, i és així per disseny, perquè el fabricant sosté el suport precisament en el fet que ningú no hi toqui.

Aquesta és la incomoditat estructural dels aparells de seguretat: són les màquines on no pots instal·lar el teu agent, així que la teva detecció d'endpoint no hi arriba. Ja vam explicar com una consola en verd pot no significar res. Aquí és un problema diferent i en certa manera més net: no és que l'agent menteixi, és que no hi ha agent. No és culpa de ningú; és una conseqüència del model.

El que sí que et queda són dos senyals, i l'interessant és que cap de les dues no viu dins de l'aparell. La primera és la xarxa: amb qui parla la teva consola de gestió, i la resposta correcta és «amb molt poca gent i sempre la mateixa». Cyclops Blink fa servir DNS sobre HTTPS justament perquè el seu trànsit s'assembli a navegació normal, així que la pregunta útil no és «quin protocol?» sinó «des de quan aquesta màquina inicia connexions sortints cap a destinacions noves?». Això ho veu l'anàlisi de fluxos, no l'appliance. La segona és la configuració, comparada contra una còpia que no visqui al mateix aparell: si la teva única referència de com hauria d'estar el FMC és el FMC, no tens referència, tens un mirall. És el mateix que vam dir quan li va tocar a la consola de gestió d'un altre fabricant, i ho repetim sense canviar-hi una coma.

Per a l'immediat hi ha una cosa més concreta: Cisco va publicar signatures de Snort: 66075 a 66080 per al 10.0, 66883 per al de credencials estàtiques i 66960-66961 per al programari maliciós. Si tens IPS al camí d'aquella interfície de gestió, comprovar que aquestes signatures estan carregades i en mode bloqueig és la feina de deu minuts d'avui.

Sobre el 5,3

El ransomware no va entrar pel 10.0. Va entrar pel 5,3. No repetirem aquí el post que ja vam escriure sobre que la nota no basta per ordenar la cua de pedaçat, però sí un matís que aleshores no vam dir: en un aparell de propòsit únic, «compte de baix privilegi» és una etiqueta manllevada del món dels servidors de propòsit general, on efectivament hi ha moltes coses que aquell compte no pot fer. En un FMC no hi ha moltes coses. El privilegi no es mesura en què pot executar el compte: es mesura en quants tallafocs veu. Un compte de només lectura al sistema que guarda la configuració de tot el teu perímetre és, exactament, el botí del qual parla aquest article.

Què faríem, per ordre i per cost

1. Avui: pedaçar i treure la gestió d'internet. Els hotfixes dels dos CVE, sense esperar la versió de la setmana del 16. I en paral·lel, comprovar si aquella interfície d'administració és abastable des de fora. Si ho és, aquella és la troballa de debò, perquè no és d'aquest mes: hi és des del dia que es va muntar.
2. Aquesta setmana, barat: rotar tot el rotable que aparegui en aquella configuració. Claus precompartides d'IPsec, comunitats SNMP, comptes de servei, credencials de RADIUS i TACACS, claus d'API de les integracions, certificats del portal. Això no depèn de si creus que t'ha tocat o no: és el que costa una tarda i tanca la meitat barata del problema.
3. Aquest mes, cost mitjà: auditar les excepcions. Tota regla que existeix «temporalment» des de fa anys ara està escrita en algun lloc que no controles. La pregunta no és si la regla és perillosa en abstracte, que gairebé sempre ho és: és si encara fa falta. I això no s'endevina, es mesura: posa la regla en registre un mes i mira si la toca algú. Les que no registren res cauen soles, i aquella conversa és molt més fàcil que la del «per si de cas». Treure les que sobren és l'única acció d'aquesta llista que canvia el plànol de debò, i a més la pots justificar sense parlar de cap incident.
4. Car i lent: canviar la topologia. Renumerar un segment, moure un extrem de VPN, refer la segmentació. Gairebé ningú no ho fa. Nosaltres tampoc no ho recomanem gairebé mai, i dir-ho en veu alta forma part de la feina. Però que la resposta sigui «no» per escrit i amb una raó, no per oblit. «Hem avaluat renumerar el segment de servidors i hem decidit que no, perquè el cost és X i el benefici no ho justifica» val moltíssim d'aquí a un any i mig, quan passi qualsevol cosa i algú pregunti què es va fer.
5. I una que no costa res: treure la còpia de la configuració del mateix aparell. Un repositori extern amb historial, on l'appliance escriu però del qual no pot esborrar. No és només per a això: és el que converteix «crec que algú va tocar una regla» en «aquesta regla va canviar el dimarts a les 3:14 i el diff és aquest».

El que no afirmem

No sabem quants FMC hi ha exposats a internet i no ho estimem: hem vist xifres circulant aquests dos dies i no les hem pogut contrastar amb una font primària, així que no les donem. Talos no diu que UAT-11823 sigui Sandworm: diu, amb alta confiança, que és un actor d'amenaça persistent que solapa eines amb Sandworm, i que l'implant que desplega —Cyclops Blink— ja va ser atribuït a Sandworm pels Estats Units i el Regne Unit. Solapament d'eines no és identitat, i bona part de la cobertura d'aquests dies ha saltat de l'una a l'altra sense avisar. Aquí ens quedem amb el que diu l'informe. Tampoc no sabem si en algun cas concret van arribar a exfiltrar configuracions completes o parcials: el que diu l'informe és que es van desplegar scripts per recollir-les, i la diferència importa. I no som resellers d'una plataforma concreta, Cisco inclosa: recomanem segons el cas, no segons la comissió, així que res del que hi ha a dalt no ens canvia la factura. Si tens FMC i el teu proveïdor va aplicar els hotfixes dimecres, has fet la part urgent i no hi ha res a contractar; et faltaria l'altra, la del plànol, i aquella no és urgent, és important, que és pitjor.

Nota de fonts

Tots els fets d'aquest post procedeixen de fonts públiques consultades l'11 de setembre de 2026. La principal és l'entrada del blog de Cisco Talos «Active exploitation of Cisco Secure Firewall Management Center vulnerabilities», del 9 de setembre de 2026, d'on surten les tres agrupacions d'activitat (UAT-12197, UAT-11823 i UAT-11988) i què va fer cadascuna, la descripció de les dues vulnerabilitats i les seves puntuacions CVSS 10.0 i 5.3, el webshell JSP al directori de Tomcat, el fitxer JAR que consulta les bases de dades internes, la reverse shell de Netcat, els dos scripts en bash per recollir les configuracions dels dispositius gestionats, l'implant Cyclops Blink amb DNS sobre HTTPS, el ransomware Qilin, la resta d'estris (proxy SOCKS5 en Python, túnel SSH invers, impacket, Invoke-TheHash, apagadors d'antivirus), la persistència mitjançant el license.tmp convertit en paquet Makeself i executat com a root per package_info.pl, els scripts a /etc/init.d/, la recomanació d'aplicar els hotfixes sense esperar la versió d'enduriment de la setmana del 16 de setembre i les signatures de Snort 66075-66080, 66883 i 66960-66961. La descripció de l'origen del CVE-2026-20079 com un procés de sistema creat indegudament a l'arrencada, l'absència de workaround i la mitigació de no exposar la interfície de gestió a internet són al mateix avís de seguretat de Cisco (cisco-sa-onprem-fmc-authbypass-5JPp45V2); la naturalesa de credencials estàtiques del CVE-2026-20316, a la cobertura de Help Net Security (10 de setembre de 2026). Les dates del catàleg KEV de CISA estan verificades contra el fitxer JSON primari del catàleg, versió 2026.09.10: CVE-2026-20079 amb alta el 9 de setembre i termini del 12, i CVE-2026-20316 amb alta el 29 de juliol, termini de l'1 d'agost i marca d'ús conegut en campanyes de ransomware. La vinculació d'UAT-11823 amb Sandworm és del mateix Talos, que declara solapament d'utillatge —no identitat— i recorda que Cyclops Blink va ser atribuït a Sandworm pels Estats Units i el Regne Unit; la distinció entre solapament i identitat és nostra. És lectura NOSTRA i no de les fonts: la distinció entre el que es rota i el que no; que la configuració del perímetre funciona com una descripció i no com un secret, i que per això permet saltar-se la fase sorollosa de l'escaneig; la llista de sis fitxers que continuen sent vàlids d'aquí a dos anys; l'argument que en un aparell de propòsit únic el privilegi es mesura en quants dispositius veu el compte; la idea que en un appliance els dos únics senyals disponibles viuen fora de l'aparell; i els cinc punts ordenats per cost, inclosa la recomanació de deixar per escrit la decisió de NO canviar la topologia. No donem cap xifra d'aparells exposats ni de víctimes, perquè no la tenim verificada. La fotografia de portada és «Switches and connectors unplugged», publicada a rawpixel sota llicència Creative Commons CC0 1.0.