Cisco har advaret om, at angribere udnytter en alvorlig sårbarhed i Secure Firewall Management Center-softwaren. Sårbarheden med statiske loginoplysninger i Cisco FMC kan give eksterne angribere uautoriseret adgang til sårbare enheder.
Problemet spores som CVE-2026-20316 og involverer indbyggede loginoplysninger til en konto med begrænsede rettigheder. Cisco har frigivet hotfixes til de berørte versioner og opfordrer kunderne til at installere dem uden forsinkelse.
Indbygget konto skaber risiko for uautoriseret adgang
Sårbarheden skyldes statiske loginoplysninger, der er indbygget i Cisco Secure FMC Software. En uautentificeret ekstern angriber kan bruge disse oplysninger til at logge ind på en berørt enhed.
Efter at have fået adgang kan angriberen se følsomme data, som er tilgængelige for den indbyggede konto. Sårbarheden har en CVSS-score på 5,3, men Cisco har alligevel klassificeret den med høj alvorlighedsgrad.
Den højere klassificering afspejler risikoen for, at sårbarheden kan kombineres med andre sikkerhedsfejl for at opnå udvidede rettigheder. Cisco har ikke identificeret de yderligere sårbarheder eller forklaret, hvordan angribere bruger dem i aktive angreb.
Cisco bekræfter aktiv udnyttelse
Virksomheden blev opmærksom på den aktive udnyttelse i juli 2026. Cisco har ikke oplyst, hvornår angrebene begyndte, hvem der kan stå bag dem, eller hvilke organisationer der kan være blevet målrettet.
Sårbarheden blev rapporteret af Jimi Sebree fra Horizon3.ai.
CVE-2026-20316 påvirker Cisco Secure FMC Software uanset enhedens konfiguration. Cloud-Delivered FMC, Firewall Device Manager, Secure Firewall ASA Software, Secure Firewall Threat Defense Software og Security Cloud Control er derimod ikke berørt.
Hotfixes er tilgængelige til Secure FMC-versionerne 7.0, 7.2, 7.4, 7.6, 7.7 og 10.0. Der findes ingen midlertidig løsning, som fuldt ud afhjælper problemet, hvilket gør installation af sikkerhedsrettelserne til den eneste pålidelige løsning.
Tjek systemer for tegn på kompromittering
At holde FMC-administrationsgrænsefladen væk fra det offentlige internet kan reducere angrebsfladen. Alligevel bør administratorer kontrollere berørte enheder for tegn på tidligere udnyttelse.
Cisco anbefaler at gennemgå filen /var/log/messages for mistænkelig aktivitet knyttet til /var/tmp/license.tmp. En logpost, der viser, at FMC’s webproces, som kører under www-kontoen, kalder scriptet package_info.pl som root med denne midlertidige fil, kan være tegn på kompromittering.
Hvis denne indikator opdages, bør administratorer udskifte alle brugeroplysninger, nøgler og certifikater på den berørte FMC-enhed. Organisationer, der har mistanke om et sikkerhedsbrud, bør også kontakte Cisco TAC for hjælp med gendannelse.
Kritisk sårbarhed til omgåelse af autentificering er også rettet
Cisco har også opdateret sin sikkerhedsadvarsel for CVE-2026-20079, en separat kritisk sårbarhed i Secure FMC. Denne har den maksimale CVSS-score på 10,0.
En uautentificeret ekstern angriber kan omgå autentificering og køre scripts eller kommandoer som root ved at sende specialudformede HTTP-anmodninger. Sårbarheden skyldes en forkert systemproces, der oprettes under enhedens opstart.
I modsætning til CVE-2026-20316 er denne sårbarhed ikke afhængig af statiske loginoplysninger eller tidligere adgang til enheden. Cisco offentliggjorde den første gang i marts 2026 og opdaterede sin sikkerhedsadvarsel den 29. juli med et yderligere bug-ID, hotfixes og indikatorer på kompromittering.
Virksomheden siger, at der ikke er tegn på, at angribere har udnyttet CVE-2026-20079 i reelle angreb.
Fælles indikator vækker spørgsmål
Begge sikkerhedsadvarsler angiver /var/tmp/license.tmp som en mulig indikator på kompromittering. Cisco har dog ikke forklaret, om de to sårbarheder er forbundet.
Den fælles indikator er bemærkelsesværdig, fordi sårbarheden til omgåelse af autentificering potentielt kan give root-adgang uden at bruge de statiske loginoplysninger, der er knyttet til CVE-2026-20316.
Organisationer bør installere de tilgængelige hotfixes, begrænse eksponeringen af FMC-administrationsgrænseflader og straks undersøge mistænkelige logposter.
0 svar til “Cisco FMC-sårbarhed med statiske loginoplysninger udnyttes i zero-day-angreb”