Bypass dell’autenticazione di Cisco Secure FMC sfruttato per ottenere l’accesso root

Cisco ha confermato lo sfruttamento attivo di CVE-2026-20079, una vulnerabilità critica di bypass dell’autenticazione in Cisco Secure Firewall Management Center Software. Gli aggressori remoti possono sfruttare la falla senza credenziali né interazione da parte dell’utente, quindi eseguire comandi con privilegi root sul sistema operativo sottostante.

La vulnerabilità ha ottenuto il punteggio massimo di 10,0 secondo CVSS 3.1. Cisco ha pubblicato il primo advisory il 4 marzo 2026 e lo ha aggiornato il 9 settembre 2026 per riconoscere lo sfruttamento osservato. L’azienda afferma che il Product Security Incident Response Team è venuto a conoscenza degli attacchi nell’agosto 2026.

Non esistono workaround. Gli amministratori che gestiscono deployment FMC on-premises vulnerabili devono installare l’hot fix appropriato o passare a una versione software corretta, quindi verificare se esistono prove di uno sfruttamento già avvenuto.

Le richieste HTTP appositamente create possono consentire l’esecuzione con privilegi root

CVE-2026-20079 è classificata come CWE-288, una vulnerabilità di bypass dell’autenticazione. Cisco la attribuisce alla creazione impropria di un processo di sistema durante l’avvio del dispositivo.

Un aggressore non autenticato con accesso di rete all’interfaccia web di FMC può inviare richieste HTTP appositamente create per aggirare l’autenticazione. Se lo sfruttamento riesce, l’aggressore può eseguire script, comandi di sistema o altri eseguibili con privilegi root.

L’attacco ha una bassa complessità, non richiede un account esistente né alcuna azione da parte di un amministratore. Il vettore CVSS è:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

La valutazione dell’ambito modificato riflette il passaggio dal componente esposto sul web e vulnerabile al controllo del sistema operativo sottostante. Un attacco riuscito potrebbe quindi consentire di accedere a informazioni riservate, modificare l’appliance di gestione, comprometterne la disponibilità o potenzialmente stabilire la persistenza.

Cisco ha scoperto la falla durante test di sicurezza interni e ha riconosciuto il contributo di Brandon Sakai. Sebbene mantenere l’interfaccia di gestione FMC fuori da internet riduca l’esposizione, la vulnerabilità resta sfruttabile indipendentemente dalla configurazione. Aggressori interni o avversari che abbiano già ottenuto un punto d’appoggio potrebbero comunque raggiungere un’interfaccia senza patch.

Cisco non ha attribuito gli attacchi a uno specifico attore della minaccia. Non ha inoltre divulgato la data del primo sfruttamento, le organizzazioni prese di mira o le azioni intraprese dopo che gli aggressori hanno ottenuto l’accesso root.

Secure FMC è vulnerabile, ma diversi componenti firewall non sono interessati

La falla interessa due offerte di gestione:

• Cisco Secure Firewall Management Center Software
• Cisco Security Cloud Control Firewall Management

Security Cloud Control Firewall Management è un servizio ospitato nel cloud e gestito da Cisco. L’azienda afferma di aver distribuito la correzione attraverso il proprio processo di manutenzione, pertanto i clienti non devono applicare patch al servizio.

Le installazioni on-premises di Secure FMC richiedono un intervento da parte degli amministratori.

Cisco non ha pubblicato un intervallo convenzionale delle versioni interessate da CVE-2026-20079. Il suo advisory di sicurezza associa invece i rami delle release supportate agli hot fix e alle versioni corrette. Gli amministratori non devono dedurre che le release assenti dalla tabella degli hot fix siano sicure: devono utilizzare Cisco Software Checker per valutare l’esatta versione installata.

Cisco indica come non interessati i seguenti prodotti:

• Firewall Device Manager
• Cisco Secure Firewall Adaptive Security Appliance Software
• Cisco Secure Firewall Threat Defense Software
• Security Cloud Control, precedentemente noto come Defense Orchestrator

La distinzione è significativa perché FMC gestisce l’infrastruttura firewall, ma la vulnerabilità non risiede direttamente nel software ASA o FTD.

Sono disponibili gli hot fix, ma non esiste un workaround

Cisco ha rilasciato sei hot fix specifici per ramo per Secure FMC tramite Cisco Software Center:

Release Secure FMC	File hot fix
7.0	Cisco_Firepower_Mgmt_Center_Hotfix_GB-7.0.9.1-3.sh.REL.tar
7.2	Cisco_Secure_FW_Mgmt_Center_Hotfix_HL-7.2.11.1-4.sh.REL.tar
7.4	Cisco_Secure_FW_Mgmt_Center_Hotfix_HG-7.4.7.1-3.sh.REL.tar
7.6	Cisco_Secure_FW_Mgmt_Center_Hotfix_CY-7.6.5.1-2.sh.REL.tar
7.7	Cisco_Secure_FW_Mgmt_Center_Hotfix_AM-7.7.12.1-2.sh.REL.tar
10.0	Cisco_Secure_FW_Mgmt_Center_Hotfix_P-10.0.1.1-2.sh.REL.tar

I clienti devono abbinare il pacchetto alla release installata, evitando di applicare un file con un nome simile appartenente a un altro ramo. Cisco raccomanda di eseguire l’upgrade alla release corretta e di considerare gli hot fix una protezione temporanea.

L’azienda non fornisce alcun workaround basato sulla configurazione. Limitare l’accesso all’interfaccia di gestione è una misura utile per controllare l’esposizione, ma non corregge il processo vulnerabile.

Secondo quanto riportato, CISA ha aggiunto CVE-2026-20079 al catalogo Known Exploited Vulnerabilities e ha imposto alle agenzie del Federal Civilian Executive Branch degli Stati Uniti di mettere in sicurezza i sistemi interessati entro il 12 settembre 2026. La data precisa dell’inserimento nel catalogo KEV non è nota sulla base delle informazioni disponibili.

Gli amministratori devono cercare nei log prima di dichiarare i sistemi puliti

L’installazione di un hot fix può impedire ulteriori tentativi di sfruttamento, ma potrebbe non rimuovere un aggressore che abbia già ottenuto l’accesso root. Per questo Cisco fornisce una ricerca di indicatori relativa all’esecuzione associata a un file temporaneo di licenza.

Dalla modalità expert di FMC, gli amministratori devono esaminare /var/log/messages* con:

zgrep "package_info.*license" /var/log/messages*

Cisco identifica questo schema come un possibile segnale di sfruttamento:

Jul 23 16:16:33 firepower sudo: www : PWD=/ ; USER=root ; COMMAND=/usr/local/sf/bin/package_info.pl /var/tmp/license.tmp --lsm

Gli elementi critici sono l’account del servizio web che invoca package_info.pl come root e la presenza di:

/var/tmp/license.tmp

Una voce corrispondente è un indicatore, non una descrizione completa dell’attività dell’aggressore. Le organizzazioni che la individuano devono conservare i log pertinenti e contattare immediatamente il Cisco Technical Assistance Center per ricevere indicazioni sul ripristino.

Poiché lo sfruttamento fornisce privilegi root, gli incident responder non devono presumere che la telemetria locale dell’appliance sia completa o attendibile. Dopo aver ottenuto l’accesso, l’aggressore potrebbe aver modificato file, configurazioni, account o log. Cisco non ha pubblicato ulteriori indicatori, meccanismi di persistenza, infrastrutture di comando e controllo o strumenti post-exploitation.

La voce di log di esempio è datata 23 luglio. La data precede l’affermazione di Cisco secondo cui il PSIRT è venuto a conoscenza dello sfruttamento attivo nell’agosto 2026, ma non dimostra che CVE-2026-20079 sia stata sfruttata il 23 luglio. Cisco non ha confermato quando siano iniziati gli attacchi osservati.

Una seconda falla in FMC sfruttata condivide lo stesso indicatore

L’indagine è complicata da CVE-2026-20316, una vulnerabilità distinta di Secure FMC divulgata il 29 luglio. La falla riguarda credenziali statiche per un account con privilegi limitati e interessa Secure FMC 7.0.9 e versioni precedenti.

Un aggressore non autenticato può utilizzare tali credenziali per accedere all’interfaccia web e ottenere informazioni sensibili. La vulnerabilità ha un punteggio CVSS di 5,3:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Cisco ha classificato CVE-2026-20316 come High anziché Critical perché le credenziali forniscono inizialmente privilegi limitati. Tuttavia, tale accesso potrebbe essere combinato con un’altra debolezza di FMC per aumentare il livello di controllo.

CVE-2026-20316 è stata inserita nel catalogo KEV di CISA il 29 luglio 2026, con una scadenza per la correzione da parte delle agenzie federali fissata al 1° agosto 2026. CISA ha richiesto l’applicazione delle mitigazioni del fornitore, la conformità alle indicazioni di BOD 26-04 per l’applicazione delle patch basata sul rischio e il rispetto dei requisiti di triage forense.

Cisco aveva già riconosciuto lo sfruttamento di CVE-2026-20316. Ha inoltre associato lo stesso indicatore di log e gli stessi hot fix FMC a entrambe le vulnerabilità. Gli artefatti condivisi suggeriscono una possibile sovrapposizione tra le attività d’attacco, ma Cisco non ha stabilito se gli aggressori abbiano concatenato le due falle o le abbiano utilizzate nelle stesse intrusioni.

La recente esposizione di Cisco nel catalogo KEV va oltre FMC

CVE-2026-20079 non è l’unica vulnerabilità recente di Cisco comparsa nel catalogo KEV. Altre quattro vulnerabilità Cisco sono state aggiunte nei 90 giorni precedenti: CVE-2026-20349 l’11 agosto, CVE-2008-4128 il 13 luglio, CVE-2026-20230 il 25 giugno e CVE-2026-20262 il 15 giugno.

Per gli operatori FMC, le priorità immediate sono più circoscritte: applicare la patch o l’hot fix corretto, rimuovere l’esposizione non necessaria a internet, cercare nei log storici e segnalare i sospetti compromessi al Cisco TAC.

Un’installazione della patch completata correttamente non dimostra che l’appliance sia pulita. Quando l’indicatore è presente, oppure quando le lacune nei log impediscono di stabilirlo con certezza, le organizzazioni devono trattare il sistema FMC come un asset di gestione potenzialmente compromesso con privilegi root.