Cisco Talos vincula a Sandworm y al ransomware Qilin con las fallas del firewall FMC

Cisco Talos ha identificado tres grupos de amenazas distintos — incluido un grupo respaldado por el estado ruso y un afiliado de ransomware Qilin — que explotan las dos vulnerabilidades de Secure Firewall Management Center (FMC) que Cisco confirmó bajo ataque activo a principios de esta semana, resolviendo las preguntas de atribución que quedaron abiertas.

Estos grupos, rastreados por Talos como UAT-12197, UAT-11823 y UAT-11988, explotaron CVE-2026-20079 y CVE-2026-20316 para desplegar web shells, robar credenciales e instalar ransomware o malware de puerta trasera respaldado por un estado.

Un afiliado de ransomware Qilin

Talos atribuyó un grupo, UAT-11988, con alta confianza a afiliados de la operación de ransomware Qilin, que finalmente cifró los endpoints con ransomware Qilin.

Un APT vinculado a Sandworm que despliega Cyclops Blink

Un segundo grupo, UAT-11823, fue atribuido con alta confianza a un grupo cuyas herramientas se superponen con Sandworm — la unidad de inteligencia militar rusa vinculada al GRU. Este grupo desplegó una variante de Cyclops Blink.

Lo que esto confirma sobre la cronología de julio

El informe de Talos ahora confirma que ambas fallas fueron explotadas, en algunos casos por los mismos actores, durante la misma ventana temporal. Informe original de BleepingComputer.