Cyclops Blink снова в игре: связанная с Россией группировка Sandworm, по оценкам исследователей, использует две уязвимости в Cisco Secure Firewall Management Center для установки обновленной версии ботнет-малвари. Для русскоязычных IT-команд это неприятный, но полезный сигнал: сетевые консоли управления и edge-устройства давно перестали быть скучной инфраструктурой на заднем плане — теперь это удобная точка входа и разведки.
О новой кампании сообщает Dark Reading со ссылкой на отдельные отчеты Sophos и Cisco Talos. Речь идет о двух уязвимостях в Cisco Secure FMC: CVE-2026-20079 и CVE-2026-20316. Первая получила максимальную критичность: она позволяет удаленному неаутентифицированному атакующему обойти проверку подлинности, выполнить произвольный код на уязвимом устройстве и получить root-доступ к базовой ОС. Вторая скромнее по рейтингу — CVSS 5.3, — но в связке тоже опасна: она дает возможность удаленного входа с низкими привилегиями, после чего злоумышленник может использовать другие уязвимости FMC для повышения прав.
По данным Cisco, эти баги уже эксплуатируются в реальных атаках. В кампании, которую связывают с Cyclops Blink, атакующие сначала загружают на уязвимые FMC-системы reverse shell и прокси-инструмент на базе Netcat, а затем используют этот плацдарм для установки нового варианта вредоносного ПО. Cisco выпустила hotfix для обеих проблем на прошлой неделе и настоятельно рекомендовала клиентам установить исправления без ожидания более крупного hardened-релиза. Причина проста: когда уязвимость уже живет в эксплуатации, календарь патч-менеджмента внезапно становится очень плохим советчиком.
Cyclops Blink не новый персонаж. Малварь впервые заметили в 2022 году: тогда она заражала прежде всего межсетевые экраны WatchGuard, а позднее — устройства ASUS. Правительственные структуры США и Великобритании связывали ее с Sandworm — группировкой, которую ассоциируют с Главным разведывательным управлением России. В 2022-м ФБР провело санкционированную судом операцию: получило доступ к зараженным устройствам жертв, скопировало вредоносный код и удалило его. То есть ботнет уже однажды пытались выбить из инфраструктуры силовым способом, но сама идея никуда не делась.
Новая версия, по оценке Sophos, заметно изменилась. Старый Cyclops Blink был завязан на 32-битную архитектуру PowerPC и специфичную прошивку WatchGuard. Обновленный вариант работает на 64-битных x86-64 Linux-системах и использует более универсальные механизмы персистентности через SysV, а не вендор-зависимые трюки с firmware. На практике это расширяет потенциальную поверхность: под ударом оказываются не только конкретные модели старых сетевых устройств, а более широкий класс Linux-based appliances, которые часто стоят на границе сети и живут дольше, чем хотелось бы аудиторам.
Функциональность тоже стала злее. Новый Cyclops Blink умеет собирать хэши паролей, командные строки процессов, сведения о CPU и конфигурационные данные. К этому добавились активное сканирование внутренней сети и выборочный захват пакетов. Для атакующих это почти идеальная позиция наблюдателя: устройство управления firewall-инфраструктурой видит много, доверия к нему обычно много, а мониторинга вокруг него часто меньше, чем вокруг серверов приложений или рабочих станций.
Cisco Talos отдельно описывает еще две кампании, которые эксплуатируют те же CVE. Кластер UAT 12197 использует CVE-2026-20079 для установки веб-шеллов и Java-инструмента выполнения команд с целью кражи учетных данных. Другой кластер, UAT 11988, применяет CVE-2026-20316 для распространения ransomware Qilin. Это важная деталь: уязвимости уже не выглядят как нишевая история про одного государственного актора. Если цепочка работает, ее быстро примеряют разные группы — от разведки до вымогателей.
Атрибуция при этом аккуратная, без киношной уверенности. Sophos с высокой уверенностью говорит о Russia-nexus actor, но связь именно с Sandworm оценивает как умеренную: прямого доказательства, которое железно привязывает развертывания 2026 года к Iron Viking, у исследователей нет. Это нормальная честность threat intelligence: совпадение инструментов, целей и тактик помогает построить гипотезу, но не превращает ее в судебный приговор.
Для разработчиков и платформенных команд вывод прозаичный: зависимость от сетевой инфраструктуры не заканчивается на том, что «сеть где-то там у админов». Если CI/CD, артефактные репозитории, Kubernetes API, SSO и внутренние панели доступны через сегменты, которые видит compromised FMC, то атака на устройство управления firewall может быстро стать атакой на весь delivery-контур. Бизнесу стоит проверить не только факт установки hotfix, но и следы компрометации: неожиданные процессы, reverse shell, веб-шеллы, подозрительные исходящие соединения, новые учетные записи и сетевое сканирование из зон, где ему быть не должно.
История с Cyclops Blink показывает более широкий тренд: атакующие все активнее выбирают инфраструктуру, которая должна защищать, маршрутизировать и управлять, а не просто «сервер с приложением». Чем больше функций живет на edge-устройствах и консолях управления, тем выше цена их запоздалого обновления. Следующий практичный вопрос для IT-директоров звучит без драматизма: какие системы в вашей сети считаются служебными настолько давно, что их уже почти никто не проверяет как полноценную цель атаки?
