Celah Cisco FMC Dimanfaatkan Hacker untuk Sebar Ransomware

Cisco mengungkap adanya serangan siber yang memanfaatkan dua celah keamanan pada Secure Firewall Management Center (FMC). Kerentanan tersebut tidak hanya digunakan untuk mendapatkan akses ke sistem, tetapi juga dimanfaatkan untuk mencuri kredensial, melakukan pengintaian jaringan, mempertahankan akses, hingga menyebarkan ransomware Qilin.

Temuan ini menjadi perhatian karena dua celah keamanan yang dimaksud telah dieksploitasi dalam serangan nyata. Cisco Talos, tim intelijen ancaman milik Cisco, mengidentifikasi sedikitnya tiga kelompok aktivitas yang berkaitan dengan eksploitasi terhadap perangkat FMC.

Dua kerentanan yang menjadi sasaran adalah CVE-2026-20079 dan CVE-2026-20316. Cisco sebelumnya telah merilis perbaikan untuk kedua celah tersebut dan meminta pelanggan segera memasang pembaruan keamanan pada versi perangkat lunak yang terdampak.

Celah Kritis Bisa Buka Akses Root

CVE-2026-20079 menjadi salah satu celah yang paling mengkhawatirkan karena memiliki skor CVSS 10,0, atau masuk kategori kritis. Kerentanan ini merupakan celah bypass autentikasi pada antarmuka web Cisco Secure FMC. Dalam kondisi tertentu, penyerang jarak jauh yang tidak memiliki akun dapat melewati mekanisme autentikasi yang seharusnya melindungi perangkat.

Setelah berhasil mengeksploitasi celah tersebut, penyerang dapat menjalankan file skrip pada perangkat yang rentan. Akses ini pada akhirnya dapat memberikan hak akses root ke sistem operasi yang mendasarinya.

Akses root memberikan kendali yang sangat tinggi terhadap sistem. Dalam konteks serangan siber, kemampuan tersebut dapat dimanfaatkan untuk menjalankan perintah, mengambil data, memasang perangkat lunak berbahaya, atau melakukan aktivitas lain sesuai tujuan penyerang.

Celah kedua adalah CVE-2026-20316, yang memiliki skor CVSS 5,3. Meskipun tingkat keparahannya lebih rendah dibandingkan CVE-2026-20079, kerentanan ini tetap berbahaya karena dapat digunakan oleh penyerang jarak jauh yang tidak terautentikasi untuk masuk ke perangkat menggunakan akun dengan hak akses rendah.

Dari akses tersebut, penyerang dapat memperoleh informasi sensitif. Kerentanan ini juga dapat dikombinasikan dengan celah keamanan lain pada Cisco Secure FMC untuk meningkatkan hak akses atau melakukan privilege escalation. Dengan kata lain, kedua celah tersebut dapat menjadi pintu masuk bagi serangkaian aktivitas berbahaya yang lebih luas setelah perangkat berhasil ditembus.

Tiga Kelompok Gunakan Celah yang Sama

Cisco Talos menemukan tiga kelompok aktivitas setelah perangkat FMC berhasil dikompromikan. Ketiganya menunjukkan pola serangan yang berbeda, mulai dari pencurian kredensial hingga operasi ransomware.

Kelompok pertama yang diberi kode UAT-12197 memanfaatkan CVE-2026-20079. Setelah mendapatkan akses, kelompok tersebut memasang web shell berbasis JSP dan sebuah eksekutor perintah berbasis Java Archive (JAR).

Web shell dapat memberikan kemampuan kepada penyerang untuk menjalankan perintah dari jarak jauh pada server yang telah disusupi. Dalam kasus ini, akses tersebut kemudian digunakan untuk mengakses database internal dan memperoleh informasi autentikasi serta kredensial pengguna.

Aktivitas tersebut menunjukkan bahwa kompromi terhadap perangkat pengelola jaringan dapat berkembang menjadi ancaman terhadap data dan akun yang berada di lingkungan internal.

Kelompok kedua, UAT-11823, mengeksploitasi kedua kerentanan, yakni CVE-2026-20079 dan CVE-2026-20316. Setelah mendapatkan akses, kelompok ini memasang reverse shell berbasis Netcat serta dua skrip Bash yang digunakan untuk mengumpulkan konfigurasi perangkat yang dikelola FMC.

Tidak berhenti di sana, kelompok tersebut juga menggunakan varian Cyclops Blink, malware modular berformat ELF yang sebelumnya dikaitkan dengan Sandworm, kelompok peretas yang oleh sejumlah lembaga keamanan siber dikaitkan dengan Rusia.

Penggunaan malware tersebut memperlihatkan bahwa perangkat FMC dapat menjadi sasaran bagi berbagai jenis aktor ancaman, bukan hanya kelompok ransomware.

Kelompok ketiga merupakan aktivitas yang paling berkaitan langsung dengan pemerasan digital dilakukan oleh kelompok UAT-11988. Kelompok ini memanfaatkan CVE-2026-20316 sebagai akses awal untuk masuk ke lingkungan korban.

Setelah berhasil memperoleh akses, pelaku tidak selalu mengandalkan perangkat lunak berbahaya yang mencolok. Mereka justru memanfaatkan berbagai fitur dan alat bawaan FMC untuk menjalankan aktivitasnya. Teknik tersebut dikenal sebagai Living-off-the-Land (LotL). Sederhananya, penyerang menggunakan perangkat, program, atau fungsi yang memang sudah tersedia di dalam lingkungan korban.

Cara ini dapat menyulitkan proses deteksi karena aktivitas penyerang dapat terlihat menyerupai penggunaan normal oleh administrator atau sistem yang sah. Dalam serangan yang diamati Cisco Talos, pelaku terlebih dahulu melakukan reconnaissance atau pengintaian untuk memahami lingkungan korban. Mereka mencari informasi mengenai perangkat, sistem, dan jaringan yang tersedia.

Pelaku kemudian memasang perangkat tunneling untuk mempertahankan akses ke jaringan. Selanjutnya, mereka mengumpulkan kredensial dan menyusun daftar endpoint yang menjadi target enkripsi. Sebelum ransomware dijalankan, pelaku juga berupaya menghentikan perangkat atau perangkat lunak keamanan yang dapat menghambat serangan. Tahap akhirnya adalah penyebaran ransomware Qilin ke sistem yang telah dipilih.

Qilin merupakan salah satu keluarga ransomware yang digunakan dalam operasi pemerasan siber. Dalam pola serangan seperti ini, ransomware mengenkripsi data pada perangkat korban sehingga data tidak dapat digunakan secara normal. Pelaku kemudian dapat menuntut pembayaran sebagai syarat untuk pemulihan akses.

Cisco Minta Pelanggan Segera Pasang Patch

Melihat adanya eksploitasi aktif, Cisco meminta pelanggan untuk segera menerapkan hotfix yang telah tersedia untuk versi perangkat lunak yang terdampak. Perusahaan juga menyatakan akan merilis pembaruan hardening secara lebih menyeluruh untuk menangani sejumlah kerentanan lain yang ditemukan secara internal.

Peringatan Cisco semakin penting karena salah satu celah tersebut telah masuk ke katalog Known Exploited Vulnerabilities (KEV) milik Cybersecurity and Infrastructure Security Agency (CISA) Amerika Serikat.

CVE-2026-20079 dimasukkan ke dalam katalog KEV, yang berisi kerentanan yang diketahui telah dieksploitasi di dunia nyata. CISA menetapkan batas waktu 12 September 2026 bagi lembaga Federal Civilian Executive Branch (FCEB) untuk menerapkan pembaruan keamanan terhadap kerentanan tersebut.

Sementara itu, CVE-2026-20316 telah lebih dahulu masuk katalog KEV pada akhir Juli 2026.

Masuknya kedua kerentanan ke dalam katalog tersebut menunjukkan bahwa ancaman terhadap perangkat FMC bukan sekadar kemungkinan teoretis. Celah tersebut telah dikaitkan dengan aktivitas serangan yang berlangsung di lingkungan nyata.

Bagi organisasi yang menggunakan Cisco Secure Firewall Management Center, insiden ini menjadi pengingat bahwa perangkat pengelola keamanan jaringan juga dapat menjadi target penting bagi penyerang.

Satu celah pada perangkat manajemen dapat memberikan jalan menuju lingkungan internal yang lebih luas. Dari sana, penyerang dapat bergerak untuk mencari kredensial, memetakan jaringan, mempertahankan akses, menonaktifkan perlindungan keamanan, hingga mengenkripsi perangkat menggunakan ransomware.

Karena itu, penerapan patch bukan hanya soal memperbaiki satu celah keamanan. Dalam kasus ini, pembaruan tersebut menjadi salah satu langkah penting untuk memutus rantai serangan sebelum akses terhadap perangkat FMC berkembang menjadi kompromi jaringan yang lebih luas.