Pengantar

Dua kerentanan keamanan pada Cisco Secure Firewall Management Center (FMC) diketahui telah dieksploitasi oleh penyerang. Celah tersebut tidak hanya digunakan untuk mendapatkan akses ke sistem, tetapi juga untuk mencuri kredensial, melakukan pengintaian jaringan, dan dalam salah satu kasus berujung pada penyebaran Qilin ransomware.

Temuan ini menjadi perhatian karena Cisco FMC merupakan sistem yang digunakan administrator untuk mengelola perangkat firewall. Jika sistem management seperti ini berhasil dikuasai, penyerang berpotensi mendapatkan informasi penting mengenai lingkungan jaringan korban.

Apa Itu Cisco Secure Firewall Management Center?

Cisco Secure Firewall Management Center atau FMC adalah platform yang digunakan untuk mengelola dan memantau perangkat Cisco Secure Firewall secara terpusat.

Administrator dapat menggunakan FMC untuk melakukan berbagai aktivitas, seperti mengatur kebijakan firewall, memantau jaringan, serta mengelola konfigurasi perangkat keamanan.

Karena memiliki posisi penting dalam infrastruktur jaringan, FMC menjadi target yang menarik bagi penyerang.

Jika penyerang berhasil mengambil alih management server, akses tersebut dapat digunakan untuk memahami struktur jaringan dan mencari jalan menuju sistem lain.

Dua Kerentanan yang Dieksploitasi

Cisco mengungkap adanya eksploitasi terhadap dua kerentanan pada FMC.

CVE-2026-20079

Kerentanan pertama adalah CVE-2026-20079.

Celah ini memiliki tingkat keparahan CVSS 10.0, atau kategori kritis.

Kerentanan tersebut berkaitan dengan masalah authentication bypass pada antarmuka web Cisco FMC. Dalam kondisi tertentu, penyerang yang tidak memiliki kredensial dapat melewati mekanisme autentikasi.

Jika berhasil dieksploitasi, penyerang dapat menjalankan perintah pada sistem dan memperoleh akses dengan hak istimewa tinggi.

Dengan kata lain, celah ini dapat menjadi pintu masuk langsung menuju sistem FMC.

CVE-2026-20316

Kerentanan kedua adalah CVE-2026-20316 dengan skor CVSS 5.3.

Celah ini dapat memungkinkan pengguna dengan hak akses rendah memperoleh akses menggunakan kredensial statis tertentu.

Jika dikombinasikan dengan kelemahan lain, akses tersebut dapat digunakan untuk meningkatkan kemampuan penyerang dalam menguasai sistem.

Tiga Kelompok Aktivitas Ditemukan

Cisco Talos menemukan beberapa aktivitas berbeda yang memanfaatkan kerentanan tersebut.

Aktivitas tersebut dikategorikan ke dalam tiga threat cluster, yaitu UAT-12197, UAT-11823, dan UAT-11988.

Meskipun teknik yang digunakan berbeda, semuanya menunjukkan bagaimana celah pada management platform dapat dimanfaatkan untuk melakukan aktivitas setelah mendapatkan akses.

UAT-12197: Mencuri Kredensial

Cluster pertama, UAT-12197, diketahui memanfaatkan CVE-2026-20079.

Setelah berhasil mendapatkan akses, penyerang memasang web shell pada sistem FMC.

Web shell memungkinkan penyerang menjalankan perintah dari jarak jauh melalui server yang sudah berhasil dikompromikan.

Alur serangannya dapat digambarkan sebagai berikut:

CVE-2026-20079
       ↓
Akses FMC
       ↓
Web Shell
       ↓
Command Execution
       ↓
Akses Database Internal
       ↓
Credential Theft

Penyerang kemudian mengakses database internal untuk mengambil informasi autentikasi dan kredensial.

Ini menunjukkan bahwa tujuan eksploitasi bukan sekadar mendapatkan akses sementara, tetapi juga memperoleh informasi yang dapat digunakan untuk serangan berikutnya.

UAT-11823: Reverse Shell dan Cyclops Blink

Cluster kedua menggunakan kombinasi kedua kerentanan.

Setelah mendapatkan akses, penyerang menggunakan teknik seperti reverse shell untuk mendapatkan akses interaktif ke sistem.

Mereka kemudian melakukan pengumpulan informasi dari lingkungan korban.

Aktivitas yang diamati antara lain:

  • mengambil konfigurasi,
  • mengumpulkan informasi jaringan,
  • menjalankan script Bash,
  • mencuri kredensial,
  • dan memasang malware.

Salah satu malware yang dikaitkan dengan aktivitas ini adalah Cyclops Blink, malware yang sebelumnya dikaitkan dengan kelompok Sandworm.

Serangan tersebut menunjukkan bahwa vulnerability pada management platform dapat digunakan sebagai titik awal untuk melakukan aktivitas yang lebih luas.

UAT-11988: Berujung pada Qilin Ransomware

Aktivitas yang paling mengkhawatirkan berasal dari cluster UAT-11988.

Dalam kasus ini, akses terhadap Cisco FMC akhirnya digunakan dalam serangan yang berujung pada penyebaran Qilin ransomware.

Qilin merupakan kelompok ransomware yang menargetkan organisasi dan menggunakan teknik pemerasan dengan mengenkripsi data korban.

Rangkaian serangannya dapat digambarkan secara sederhana:

Eksploitasi Cisco FMC
        ↓
Initial Access
        ↓
Reconnaissance
        ↓
Credential Theft
        ↓
Network Access
        ↓
Lateral Movement
        ↓
Security Tool Termination
        ↓
Target Selection
        ↓
Qilin Ransomware

Setelah memperoleh akses, penyerang melakukan reconnaissance untuk mengetahui kondisi jaringan korban.

Mereka mengumpulkan informasi seperti hostname dan alamat IP, kemudian mencari sistem yang dapat dijadikan target berikutnya.

Kredensial yang diperoleh juga dapat digunakan untuk memperluas akses ke lingkungan internal.

Pada tahap berikutnya, penyerang berusaha menghentikan atau mengganggu sejumlah security tools sebelum menjalankan ransomware.

Mengapa Management Server Sangat Berbahaya Jika Berhasil Dikuasai?

Banyak organisasi berfokus mengamankan endpoint seperti laptop dan server.

Namun, perangkat yang digunakan untuk mengelola keamanan jaringan juga harus mendapatkan perlindungan yang sama seriusnya.

Bayangkan sebuah organisasi memiliki:

Internet
   ↓
Firewall
   ↓
Cisco FMC
   ↓
Internal Network
   ├── Server
   ├── Database
   ├── Workstation
   └── Application

Jika penyerang berhasil menguasai management platform, mereka mungkin memperoleh informasi yang sangat berguna untuk memahami lingkungan internal.

Karena itu, management plane harus dianggap sebagai aset kritis.

Penyerang Juga Memanfaatkan Tool yang Sudah Ada

Salah satu hal menarik dari aktivitas ini adalah penggunaan kemampuan dan tool yang sudah tersedia di sistem.

Teknik seperti ini sering disebut Living-off-the-Land (LotL).

Konsepnya sederhana.

Daripada selalu membawa tool malware baru ke dalam sistem, penyerang memanfaatkan program atau kemampuan yang memang sudah tersedia.

Keuntungannya bagi penyerang adalah aktivitas tersebut dapat terlihat seperti aktivitas administrator normal.

Bagi tim keamanan, kondisi ini membuat deteksi menjadi lebih sulit.

Karena itu, monitoring tidak cukup hanya mencari file malware. Tim security juga perlu memperhatikan aktivitas yang tidak biasa, seperti eksekusi command atau perubahan konfigurasi yang dilakukan pada waktu dan konteks yang mencurigakan.

Apa yang Harus Dilakukan Administrator?

Organisasi yang menggunakan Cisco FMC perlu segera melakukan beberapa langkah.

1. Terapkan Patch

Prioritas pertama adalah memperbarui sistem sesuai security advisory Cisco dan menggunakan hotfix yang tersedia untuk versi FMC yang terdampak.

CVE-2026-20079 harus menjadi perhatian khusus karena memiliki tingkat keparahan CVSS 10.0 dan telah dieksploitasi secara aktif.

2. Periksa Apakah FMC Terpapar Internet

Interface management sebaiknya tidak dapat diakses secara langsung dari internet jika memang tidak diperlukan.

Gunakan mekanisme seperti:

  • firewall,
  • ACL,
  • VPN,
  • network segmentation,
  • dan access control.

Tujuannya adalah memperkecil kemungkinan penyerang dapat langsung mengakses management interface.

3. Rotasi Kredensial

Jika terdapat kemungkinan bahwa kredensial telah diakses oleh penyerang, lakukan rotasi password dan credential terkait.

Jangan menganggap bahwa patch saja sudah cukup.

Jika attacker sudah memperoleh credential sebelum patch diterapkan, credential tersebut masih dapat digunakan setelah vulnerability diperbaiki.

4. Lakukan Threat Hunting

Administrator dan tim SOC perlu memeriksa log dan mencari aktivitas mencurigakan.

Beberapa indikator yang perlu diperhatikan antara lain:

Web shell
Reverse shell
Unexpected JAR files
Suspicious Bash scripts
Unknown administrative activity
Unexpected network connections
Credential access

Jika ditemukan aktivitas tersebut, organisasi perlu melakukan investigasi lebih lanjut.

5. Periksa Sistem Internal

Karena serangan dapat berkembang dari FMC menuju jaringan internal, jangan hanya memeriksa FMC.

Periksa juga:

  • server,
  • endpoint,
  • akun administrator,
  • koneksi jaringan,
  • authentication logs,
  • dan sistem keamanan lainnya.

Tujuannya untuk memastikan bahwa serangan tidak sudah berkembang menjadi lateral movement.

Pelajaran Penting dari Kasus Ini

Kasus Cisco FMC memberikan satu pelajaran penting:

Satu vulnerability dapat menjadi awal dari serangan yang jauh lebih besar.

Awalnya penyerang mungkin hanya ingin mendapatkan akses ke management server.

Namun setelah mendapatkan akses, mereka dapat melakukan:

Initial Access
       ↓
Credential Theft
       ↓
Reconnaissance
       ↓
Lateral Movement
       ↓
Privilege Escalation
       ↓
Ransomware

Karena itu, organisasi tidak boleh hanya melihat vulnerability berdasarkan pertanyaan:

“Apakah vulnerability ini bisa dieksploitasi?”

Pertanyaan yang lebih penting adalah:

“Apa yang dapat dilakukan penyerang setelah berhasil mengeksploitasinya?”

Kesimpulan

Eksploitasi terhadap CVE-2026-20079 dan CVE-2026-20316 menunjukkan bahwa management platform seperti Cisco FMC merupakan target bernilai tinggi bagi penyerang.

Aktivitas yang ditemukan Cisco Talos memperlihatkan berbagai kemungkinan dampak, mulai dari web shell dan pencurian kredensial hingga reconnaissance jaringan dan penyebaran malware.

Yang paling mengkhawatirkan, salah satu rangkaian serangan berakhir dengan penyebaran Qilin ransomware.

Bagi administrator, langkah yang paling penting adalah segera melakukan patching, membatasi akses terhadap management interface, merotasi kredensial yang berpotensi terekspos, dan melakukan threat hunting terhadap aktivitas mencurigakan.

Keamanan firewall saja tidak cukup. Sistem yang digunakan untuk mengelola firewall juga harus diperlakukan sebagai aset keamanan yang sangat kritis.

Related Posts: