Cisco ordnet die Cyclops-Blink-Aktivität als eine von drei getrennten Kampagnen ein, die sich gegen zwei Schwachstellen in Cisco Secure FMC richten. CVE-2026-20079 ist eine Authentifizierungsumgehung mit höchstem Schweregrad: Ein nicht authentifizierter Angreifer kann aus der Ferne beliebigen Code ausführen und Root-Zugriff auf das darunterliegende Betriebssystem erlangen. CVE-2026-20316 ist mit einem CVSS-Wert von 5.3 deutlich geringer bewertet, erlaubt aber die Anmeldung mit niedrigen Rechten – in Kombination mit früheren FMC-Schwachstellen lassen sich die Rechte anschließend ausweiten.
Die möglicherweise mit Sandworm verbundenen Akteure verketten beide Lücken: Zunächst laden sie eine auf Netcat basierende Reverse Shell samt Proxy-Werkzeug auf verwundbare FMC-Systeme, um darüber die neue Cyclops-Blink-Variante nachzuladen.
Cisco hat kürzlich Hotfixes für beide Fehler veröffentlicht und rät Organisationen mit Verweis auf beobachtete Angriffe ausdrücklich zur sofortigen Installation. Eine umfassendere, gehärtete Version mit Korrekturen für die beiden neuen sowie weitere intern entdeckte FMC-Schwachstellen soll noch in dieser Woche folgen. „Angesichts des Missbrauchs in freier Wildbahn empfehlen wir Kunden dringend, die genannten Hotfixes so bald wie möglich einzuspielen, bis das Härtungs-Release verfügbar ist“, so Cisco.
Cyclops Blink tauchte erstmals 2022 auf und richtete sich zunächst gegen WatchGuard-Firewalls, später gegen ASUS-Geräte. Zu den Kernfunktionen zählten das Melden von Geräteinformationen an Command-and-Control-Server, das Herunterladen und Ausführen schädlicher Dateien sowie das Nachladen neuer Module. Die Schadsoftware überstand Neustarts und legitime Firmware-Updates, was ihre Entfernung erschwerte. Das FBI führte damals eine gerichtlich genehmigte Operation durch, bei der es auf Geräte von Opfern zugriff, die Schadsoftware kopierte und anschließend entfernte.
Die aktuelle Variante behält laut Sophos viele der ursprünglichen Funktionen bei und ergänzt sie. Die wichtigste Änderung: Die Schadsoftware läuft nun auf 64-Bit-x86-64-Linux-Systemen statt auf der älteren 32-Bit-PowerPC-Architektur. Zudem nutzt sie generische Linux-Mechanismen zur Persistenz, statt herstellerspezifische Firmware zu verändern. Hinzugekommen sind aktives Netzwerk-Scanning und Paketmitschnitt; die Datensammlung umfasst jetzt auch Passwort-Hashes, Prozess-Kommandozeilen, CPU-Informationen und Konfigurationsdaten. Damit werde das Implantat mit einer größeren Bandbreite Linux-basierter Netzwerk-Appliances kompatibel und biete Angreifern eine leistungsfähigere Plattform für Aufklärung, so Sophos.
„Die generische SysV-Persistenz in den 2026er-Samples von Cyclops Blink beseitigt die Abhängigkeit von WatchGuard-spezifischer Firmware, während aktives Netzwerk-Scanning und selektiver Paketmitschnitt die Fähigkeiten des Implantats zur Informationsgewinnung erheblich erweitern“, schreiben die Sophos-Forscher. „Der Fund auf Cisco-FMC-Geräten verdeutlicht das Risiko, das von kompromittierter Netzwerk-Management-Infrastruktur ausgeht.“ Kompromittierte Netzwerk-Appliances und andere Edge-Geräte verschafften Angreifern eine privilegierte Beobachtungsposition, um Datenverkehr mitzulesen, Netze zu sondieren und weitere Angriffe zu starten.
Neben der Cyclops-Blink-Kampagne nutzen zwei weitere Gruppen die Lücken aktiv aus. Cisco Talos verfolgt das erste Cluster als UAT 12197; es missbraucht CVE-2026-20079, um Web-Shells und ein Java-basiertes Werkzeug zur Befehlsausführung zu platzieren und Zugangsdaten zu stehlen. Das zweite Cluster, UAT 11988, verbreitet über CVE-2026-20316 die Ransomware Qilin.
Sophos ordnet die neue Kampagne mit hoher Zuversicht Akteuren mit Russland-Bezug zu, den Zusammenhang mit Sandworm – bei Sophos als Iron Viking geführt – jedoch nur mit mittlerer Zuversicht: „Die geringere Zuversicht bei der Zuordnung zur Gruppe spiegelt das Fehlen schlüssiger Belege wider, die IRON VIKING direkt mit den beobachteten Einsätzen von 2026 verbinden.“ Sandworm gilt als staatlich unterstützte russische Gruppe, die sowohl Spionage als auch zerstörerische Operationen betreibt und mit Angriffen auf das ukrainische Stromnetz sowie dem NotPetya-Ausbruch in Verbindung gebracht wird.