Ciscoは、Secure Firewall Management CenterおよびSecurity Cloud Controlにおけるクリティカルな認証バイパス脆弱性であるCVE-2026-20079に対処しています。当初3月に修正パッチがリリースされましたが、9月に実環境での悪用が確認され、CISAは既知の悪用済み脆弱性カタログに追加しました。CVSSスコア10.0のこの欠陥は、認証されていない攻撃者が、主要なアクセスポイントと見なされる管理インターフェースへの細工されたHTTPリクエストを通じて、基盤となるオペレーティングシステム上でrootコマンドを実行することを可能にします。この脆弱性は、起動時に作成されるシステムプロセスに存在し、デバイスの設定には依存しません。付随する欠陥であるCVE-2026-20316は、ハードコードされた低権限の認証情報に関わるもので、攻撃者にとって最初の足がかりを提供しました。Cisco Talosは、観測された活動を、異なる攻撃手法を持つ3つの異なるクラスターに帰属させています。1つのクラスターはWebシェルとコマンドエグゼキュータを仕掛け、別のクラスターはSandwormと関連付けられ、両方の脆弱性を連鎖させてCyclops Blinkマルウェアを展開し、3番目のクラスターはランサムウェアアフィリエイトのように動作しました。防御策には、管理プレーンをインターネットに公開されるリスクとして扱い、登録されているすべてのデバイスの認証情報をローテーションすることが含まれます。パッチ適用と並行して、攻撃者が残した特定のアーティファクトを検索することが推奨されます。ハードコードされた認証情報のような設計上の欠陥を修正することも、将来の侵害を防ぐために不可欠です。