Le contournement de l’authentification de Cisco Secure FMC exploité pour obtenir un accès root

Cisco a confirmé l’exploitation active de CVE-2026-20079, une vulnérabilité critique de contournement de l’authentification dans Cisco Secure Firewall Management Center Software. Des attaquants distants peuvent exploiter cette faille sans identifiants ni intervention de l’utilisateur, puis exécuter des commandes avec les privilèges root sur le système d’exploitation sous-jacent.

La vulnérabilité affiche le score CVSS 3.1 maximal de 10,0. Cisco a publié son premier avis de sécurité le 4 mars 2026, puis l’a mis à jour le 9 septembre 2026 pour signaler l’exploitation observée. L’entreprise indique que son Product Security Incident Response Team a eu connaissance des attaques en août 2026.

Il n’existe aucune mesure de contournement. Les administrateurs qui utilisent des déploiements FMC on-premises affectés doivent installer le correctif approprié ou migrer vers une version logicielle corrigée, puis rechercher les signes d’une exploitation déjà survenue.

Des requêtes HTTP spécialement conçues peuvent permettre une exécution avec les privilèges root

CVE-2026-20079 est classée comme CWE-288, une faiblesse permettant de contourner l’authentification. Cisco l’attribue à la création incorrecte d’un processus système lors du démarrage de l’équipement.

Un attaquant non authentifié disposant d’un accès réseau à l’interface web de FMC peut envoyer des requêtes HTTP spécialement conçues pour contourner l’authentification. Une exploitation réussie lui permet d’exécuter des scripts, des commandes système ou d’autres fichiers exécutables avec les privilèges root.

L’attaque présente une faible complexité, ne nécessite aucun compte existant ni aucune intervention d’un administrateur. Son vecteur CVSS est le suivant :

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

La valeur « changement de périmètre » reflète le passage du composant vulnérable exposé sur le web au contrôle du système d’exploitation sous-jacent. Un attaquant ayant réussi son exploitation pourrait ainsi accéder à des informations confidentielles, modifier l’appliance de gestion, perturber sa disponibilité ou potentiellement maintenir sa présence dans le système.

Cisco a découvert la faille lors de tests de sécurité internes et en a attribué la découverte à Brandon Sakai. Bien que le fait de ne pas exposer l’interface de gestion de FMC sur Internet réduise la surface d’attaque, la vulnérabilité reste exploitable quelle que soit la configuration. Des attaquants internes ou des adversaires ayant déjà pris pied dans le réseau pourraient toujours atteindre une interface non corrigée.

Cisco n’a pas attribué les attaques à un acteur malveillant. L’entreprise n’a pas non plus indiqué la date de la première exploitation, les organisations ciblées ni les actions menées après l’obtention des privilèges root par les attaquants.

Secure FMC est affecté, mais plusieurs composants de firewall ne le sont pas

La faille affecte deux offres de gestion :

• Cisco Secure Firewall Management Center Software
• Cisco Security Cloud Control Firewall Management

Security Cloud Control Firewall Management est un service hébergé dans le cloud et maintenu par Cisco. L’entreprise indique avoir déployé la correction dans le cadre de son propre processus de maintenance ; les clients n’ont donc pas besoin d’appliquer de correctif à ce service.

Les installations Secure FMC on-premises nécessitent une intervention de l’administrateur.

Cisco n’a pas publié de plage conventionnelle de versions affectées pour CVE-2026-20079. Son avis de sécurité associe plutôt les branches de versions prises en charge aux correctifs temporaires et aux versions corrigées. Les administrateurs ne doivent pas en déduire que les versions absentes du tableau des correctifs sont sûres ; ils doivent utiliser Cisco Software Checker pour évaluer la version exacte installée.

Cisco indique que les produits suivants ne sont pas affectés :

• Firewall Device Manager
• Cisco Secure Firewall Adaptive Security Appliance Software
• Cisco Secure Firewall Threat Defense Software
• Security Cloud Control, anciennement Defense Orchestrator

Cette distinction est importante : FMC gère l’infrastructure firewall, mais la vulnérabilité ne se trouve pas dans les logiciels ASA ou FTD eux-mêmes.

Des correctifs temporaires sont disponibles, sans mesure de contournement

Cisco a publié six correctifs temporaires spécifiques aux branches de Secure FMC via Cisco Software Center :

Version de Secure FMC	Fichier du correctif temporaire
7.0	Cisco_Firepower_Mgmt_Center_Hotfix_GB-7.0.9.1-3.sh.REL.tar
7.2	Cisco_Secure_FW_Mgmt_Center_Hotfix_HL-7.2.11.1-4.sh.REL.tar
7.4	Cisco_Secure_FW_Mgmt_Center_Hotfix_HG-7.4.7.1-3.sh.REL.tar
7.6	Cisco_Secure_FW_Mgmt_Center_Hotfix_CY-7.6.5.1-2.sh.REL.tar
7.7	Cisco_Secure_FW_Mgmt_Center_Hotfix_AM-7.7.12.1-2.sh.REL.tar
10.0	Cisco_Secure_FW_Mgmt_Center_Hotfix_P-10.0.1.1-2.sh.REL.tar

Les clients doivent choisir le paquet correspondant à leur version installée et ne pas appliquer un fichier au nom similaire provenant d’une autre branche. Cisco recommande de migrer vers la version corrigée applicable et de considérer les correctifs temporaires comme une protection provisoire.

L’entreprise ne fournit aucune mesure de contournement fondée sur la configuration. Restreindre l’accès à l’interface de gestion est une mesure utile pour limiter l’exposition, mais cela ne corrige pas le processus vulnérable.

Selon certaines informations, la CISA aurait ajouté CVE-2026-20079 à son catalogue des vulnérabilités exploitées connues et demandé aux agences fédérales civiles de l’exécutif américain de sécuriser les systèmes affectés avant le 12 septembre 2026. La date exacte de l’ajout au catalogue KEV ne peut pas être déterminée à partir des informations disponibles.

Les administrateurs doivent examiner les journaux avant de considérer les systèmes comme sains

L’installation d’un correctif temporaire peut empêcher de nouvelles exploitations, mais elle ne supprime pas nécessairement un attaquant qui dispose déjà d’un accès root. Cisco fournit donc une recherche d’indicateur visant les exécutions associées à un fichier de licence temporaire.

Depuis le mode expert de FMC, les administrateurs doivent examiner /var/log/messages* à l’aide de la commande suivante :

zgrep "package_info.*license" /var/log/messages*

Cisco considère le motif suivant comme un signe possible d’exploitation :

Jul 23 16:16:33 firepower sudo: www : PWD=/ ; USER=root ; COMMAND=/usr/local/sf/bin/package_info.pl /var/tmp/license.tmp --lsm

Les éléments critiques sont l’appel à package_info.pl en tant que root par le compte du service web et la présence de :

/var/tmp/license.tmp

Une entrée correspondante constitue un indicateur, et non une description complète de l’activité de l’attaquant. Les organisations qui en trouvent une doivent conserver les journaux pertinents et contacter immédiatement le Cisco Technical Assistance Center afin d’obtenir des conseils pour la remédiation.

Puisque l’exploitation confère les privilèges root, les équipes de réponse à incident ne doivent pas considérer que la télémétrie locale de l’appliance est complète ou fiable. L’attaquant peut avoir modifié des fichiers, la configuration, des comptes ou les journaux après avoir obtenu l’accès. Cisco n’a pas publié d’autres indicateurs, de mécanismes de persistance, d’infrastructures de commande et contrôle ni d’outils post-exploitation.

L’exemple d’entrée de journal est daté du 23 juillet. Cette date est antérieure à la déclaration de Cisco selon laquelle le PSIRT a eu connaissance de l’exploitation active en août 2026, mais elle ne prouve pas que CVE-2026-20079 a été exploitée le 23 juillet. Cisco n’a pas confirmé la date à laquelle les attaques observées ont commencé.

Une deuxième faille de FMC exploitée partage le même indicateur

L’enquête est compliquée par CVE-2026-20316, une autre vulnérabilité de Secure FMC divulguée le 29 juillet. Elle concerne des identifiants statiques associés à un compte disposant de faibles privilèges et affecte Secure FMC 7.0.9 et les versions antérieures.

Un attaquant non authentifié peut utiliser ces identifiants pour accéder à l’interface web et consulter des informations sensibles. La faille affiche un score CVSS de 5,3 :

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Cisco a classé CVE-2026-20316 comme élevée et non critique, car les identifiants ne confèrent initialement que des privilèges limités. Cet accès pourrait toutefois être combiné à une autre faiblesse de FMC afin d’élever le niveau de contrôle.

CVE-2026-20316 a été ajoutée au catalogue KEV de la CISA le 29 juillet 2026, avec une échéance de remédiation fixée au 1er août 2026 pour les agences fédérales. La CISA a exigé l’application des mesures d’atténuation du fournisseur, le respect des recommandations de correction fondées sur les risques de la directive BOD 26-04 ainsi que de ses exigences en matière de triage forensique.

Cisco avait déjà reconnu l’exploitation de CVE-2026-20316. L’entreprise a également associé le même indicateur de journal et les mêmes correctifs temporaires FMC aux deux vulnérabilités. Ces artefacts communs suggèrent un possible chevauchement entre les activités d’attaque, mais Cisco n’a pas établi si les attaquants ont enchaîné les deux failles ou les ont utilisées au cours des mêmes intrusions.

L’exposition récente de Cisco au catalogue KEV dépasse le périmètre de FMC

CVE-2026-20079 n’est pas la seule vulnérabilité récente de Cisco à avoir fait son apparition dans le catalogue KEV. Quatre autres vulnérabilités Cisco y ont été ajoutées au cours des 90 jours précédents : CVE-2026-20349 le 11 août, CVE-2008-4128 le 13 juillet, CVE-2026-20230 le 25 juin et CVE-2026-20262 le 15 juin.

Pour les opérateurs de FMC, les priorités immédiates sont plus ciblées : appliquer le correctif ou le correctif temporaire approprié, supprimer toute exposition inutile sur Internet, examiner les journaux historiques et transmettre au Cisco TAC tout soupçon de compromission.

Une installation réussie du correctif ne prouve pas que l’appliance est saine. Lorsque l’indicateur apparaît — ou lorsque des lacunes dans les journaux empêchent de parvenir à une conclusion fiable — les organisations doivent traiter le système FMC comme un actif de gestion potentiellement compromis avec les privilèges root.