Cisco conferma che CVE-2026-20079 viene sfruttata attivamente contro Cisco Secure Firewall Management Center. La vulnerabilità ha punteggio CVSS 10.0 e può permettere a un attaccante remoto non autenticato di bypassare l’autenticazione ed eseguire comandi con privilegi root. Se amministri Secure FMC, la priorità è verificare subito release e hotfix: Cisco non indica workaround che sostituiscano la correzione.
L’advisory Cisco è stato aggiornato il 9 settembre 2026 dopo la conferma di sfruttamento osservato già ad agosto. Questo cambia il triage rispetto a una falla soltanto teorica: non basta pianificare l’aggiornamento nel prossimo ciclo di manutenzione, perché esiste già una finestra di attacco reale.
CVE-2026-20079 in breve
| Voce | Dettaglio |
|---|---|
| Prodotto | Cisco Secure Firewall Management Center |
| CVE | CVE-2026-20079 |
| Gravità | Critical, CVSS 10.0 |
| Autenticazione | Non richiesta |
| Impatto | Esecuzione di script o comandi come root |
| Sfruttamento reale | Sì, confermato da Cisco |
| Workaround | Nessuno che sostituisca la patch |
Il riferimento principale è l’advisory ufficiale Cisco. Cisco Talos ha pubblicato anche un threat advisory dedicato allo sfruttamento in corso.
Quali versioni di Cisco Secure FMC devono essere corrette
Cisco distribuisce hotfix specifici per i rami supportati di Secure Firewall Management Center. Non scegliere un pacchetto soltanto perché il numero principale coincide: confronta sempre la versione completa installata e il file previsto nell’advisory.
| Ramo Secure FMC | Hotfix indicato da Cisco |
|---|---|
| 7.0 | Cisco_Firepower_Mgmt_Center_Hotfix_GB-7.0.9.1-3.sh.REL.tar |
| 7.2 | Cisco_Secure_FW_Mgmt_Center_Hotfix_HL-7.2.11.1-4.sh.REL.tar |
| 7.4 | Cisco_Secure_FW_Mgmt_Center_Hotfix_HG-7.4.7.1-3.sh.REL.tar |
| 7.6 | Cisco_Secure_FW_Mgmt_Center_Hotfix_CY-7.6.5.1-2.sh.REL.tar |
| 7.7 | Cisco_Secure_FW_Mgmt_Center_Hotfix_AM-7.7.12.1-2.sh.REL.tar |
| 10.0 | Cisco_Secure_FW_Mgmt_Center_Hotfix_P-10.0.1.1-2.sh.REL.tar |
La tabella serve come controllo rapido, ma la matrice Cisco aggiornata resta la fonte da usare prima di installare. Se il tuo ramo o patch level non coincide esattamente, verifica il percorso di aggiornamento supportato invece di applicare un file destinato a una release diversa.
Cisco Firewall Management SaaS richiede un intervento?
Per il servizio Cisco Security Cloud Control Firewall Management, Cisco dichiara di avere distribuito direttamente la correzione. I clienti del servizio SaaS non devono installare manualmente l’hotfix relativo a questa falla.
Questo non va esteso alle installazioni on-premise di Secure FMC. Se gestisci l’appliance o la macchina virtuale nella tua infrastruttura, la responsabilità di verificare e applicare il fix resta tua.
Come controllare un possibile sfruttamento
Cisco pubblica un controllo utile per cercare un indicatore associato agli attacchi osservati. Dalla modalità expert di Secure FMC, l’advisory suggerisce di cercare nei log con:
zgrep "package_info.*license" /var/log/messages*Se l’output contiene un riferimento a /var/tmp/license.tmp, Cisco indica che il dispositivo potrebbe essere stato sfruttato. Non è il momento di cancellare file o ripulire alla cieca: conserva le evidenze e coinvolgi il Cisco Technical Assistance Center o il team di incident response della tua organizzazione.
L’assenza di questo singolo indicatore non dimostra che il sistema sia sicuramente pulito. Gli indicatori pubblici descrivono ciò che è stato osservato nelle campagne note, non ogni possibile variante o attività successiva alla compromissione.
Installare l’hotfix basta se il server è già stato compromesso?
No. L’hotfix chiude la vulnerabilità e impedisce nuovi tentativi attraverso il difetto corretto, ma non elimina automaticamente modifiche già effettuate da un attaccante. Cisco invita chi rileva segnali compatibili con lo sfruttamento a contattare il supporto.
- Verifica versione e patch level di ogni Secure FMC.
- Scarica soltanto l’hotfix previsto per il ramo corretto.
- Applica la correzione seguendo le istruzioni Cisco.
- Controlla i log per l’indicatore pubblicato dal vendor.
- Se trovi attività sospette, conserva log e snapshot prima di modificare l’ambiente.
- Valuta credenziali, token, account e configurazioni che potrebbero essere stati raggiunti dopo un accesso root.
- Verifica infine che il dispositivo risulti sulla build corretta e che i servizi funzionino normalmente.
Ridurre l’esposizione non sostituisce la patch
Limitare l’accesso alle interfacce amministrative da Internet, usare reti di management dedicate e permettere connessioni soltanto da host autorizzati resta una buona pratica. In questo caso, però, Cisco non pubblica un workaround capace di sostituire il fix.
È una situazione diversa dalle vulnerabilità Cisco IOS XR e Nexus 9000 che abbiamo analizzato nel nostro approfondimento su Cisco IOS XR e Nexus 9000. Lì Cisco documenta scenari e mitigazioni differenti; qui il fattore che alza la priorità è la combinazione tra CVSS 10.0, accesso senza autenticazione e sfruttamento attivo.
Cosa fare oggi se gestisci Cisco FMC
Non rimandare CVE-2026-20079 al normale patch day interno. Censisci le installazioni Secure FMC, confronta la release con l’advisory Cisco, applica l’hotfix corretto e cerca gli indicatori pubblicati dal vendor. Se emergono segnali di compromissione, tratta il caso come un incidente e non come un semplice aggiornamento software.
La distinzione è essenziale: patchare riduce l’esposizione futura, mentre verificare i sistemi serve a capire cosa può essere successo prima della correzione. Con una vulnerabilità già sfruttata, servono entrambe le attività.
