一位可能的俄罗斯威胁行为者正在利用思科的防火墙管理中心（FMC）技术中的两个漏洞，部署一种复杂的恶意软件植入物，该植入物能够收集凭据、扫描内部网络并捕获受损设备上的实时流量。
在分别的报告中，Sophos和思科将该恶意软件识别为Cyclops Blink的新版本，这是一种模块化的僵尸网络和后门，之前美国和英国政府机构已将其与沙虫（Sandworm）关联，该威胁行为者与俄罗斯总参谋部（GRU）有联系。
两个独立的思科FMC漏洞
思科将Cyclops Blink的活动描述为涉及其安全FMC软件中的两个漏洞的三项独立活动之一。其中一个漏洞是CVE-2026-20079，这是一个最大严重性认证绕过漏洞，允许未经认证的远程攻击者在受影响设备上运行任意代码并获得对底层操作系统的根访问权限。第二个漏洞被跟踪为CVE-2026-20316，是一个较低严重性的缺陷，CVSS评分为5.3，允许远程攻击者以低权限登录，然后利用其他先前的FMC漏洞提升权限。
相关：最大严重性GitLab缺陷使供应链面临风险
可能与沙虫有关的威胁行为者正在将这两个缺陷串联起来，首先在易受攻击的FMC系统上下载基于Netcat的反向Shell和代理工具，然后利用该工具部署新的Cyclops Blink变体。
思科上周发布了这两个漏洞的热修复程序，并“强烈建议”使用受影响技术的组织立即应用，引用了全球范围内的利用活动证据。该公司表示，将在本周晚些时候发布一个更广泛的、经过强化的版本，修复这两个新漏洞以及其他内部发现的FMC漏洞。“鉴于在野外的滥用情况，我们强烈建议客户尽快应用所提到的热修复程序，待强化版本发布，”思科表示。
Cyclops Blink是一种首次出现在2022年的恶意软件，最初针对WatchGuard防火墙，后来又针对华硕（ASUS）设备。其核心功能包括向指挥与控制（C2）服务器发送有关受感染设备的信息、下载和执行恶意文件，以及添加新模块以扩展其功能。
该恶意软件可以通过重启和合法的固件更新持续存在，使其难以移除。然而，FBI领导了一项经过法院授权的行动，访问了受害者的设备，复制了Cyclops Blink恶意软件，然后将其移除。
Cyclops Blink的重大升级
根据Sophos的说法，最新的变体保留了许多原始特性，同时添加了几个新特性。最显著的变化是，该恶意软件现在在64位x86-64 Linux系统上运行，而不是原始版本使用的较旧的32位PowerPC架构。它还使用通用的Linux持久性技术，而不是修改特定厂商的固件。
相关：威胁行为者在3天内生成100万封个性化欺诈邮件
新的Cyclops Blink变体增加了主动网络扫描和数据包捕获能力，并扩展了其数据收集功能，包括密码哈希、进程命令行、CPU信息和配置数据。这些变化可能使Cyclops Blink与更广泛的基于Linux的网络设备兼容，并为攻击者提供了更强大的侦察和情报收集平台，Sophos表示。
“2026年Cyclops Blink样本中的通用SysV持久性消除了对WatchGuard特定固件的依赖，而主动网络扫描和选择性数据包捕获大大扩展了植入物的情报收集能力，”Sophos研究人员写道。“在思科FMC设备上的发现突显了被攻陷的网络管理基础设施所带来的风险。”
被攻陷的网络设备和其他边缘设备可以为攻击者提供对更广泛环境的特权视角，使他们能够观察流量、进行网络探测并发起其他攻击，供应商指出。
相关：Papercut AI群体攻击预示着网络杀伤链的变化
除了新的Cyclops Blink活动外，还有两个其他团体正在积极利用CVE-2026-20079和CVE-2026-20316。第一个集群，思科Talos将其跟踪为UAT 12197，正在利用CVE-2026-20079植入Web Shell和基于Java的命令执行工具以窃取凭据。另一个威胁集群UAT 11988正在利用CVE-2026-20316分发Qilin勒索软件。
Sophos以高度的信心将新的Cyclops Blink活动归因于与俄罗斯有关的行为者，并对其与沙虫的关联持中等信心，供应商将其跟踪为Iron Viking。“对威胁组归因的较低信心反映了缺乏直接将IRON VIKING与观察到的2026年部署联系起来的确凿证据，”研究人员写道。
沙虫是一个俄罗斯国家支持的黑客组织，以间谍活动和破坏性网络行动而闻名。该组织与过去十年中一些最重要的网络攻击有关，包括干扰乌克兰电网和NotPetya疫情的攻击。最近，沙虫扩大了对面向互联网的基础设施漏洞的利用，以获取对乌克兰及其他地方组织的访问，同时继续针对关键基础设施和其他战略重要组织。