Cisco потврди дека ранливоста CVE-2026-20079 во Secure FMC се искористува во напади

Cisco потврди дека ранливоста со максимална сериозност, означена како CVE-2026-20079, во софтверот Secure Firewall Management Center (FMC) активно се искористува во сајбер-напади.

Ранливоста има максимална CVSS оцена од 10,0 и им овозможува на далечински напаѓачи без автентикација да ја заобиколат автентикацијата и да извршуваат скрипти и команди со root-привилегии на ранливите уреди.

„Во август 2026 година, Cisco PSIRT дозна за активно искористување на оваа ранливост“, соопшти Cisco во средата, ажурирајќи го своето безбедносно известување за CVE-2026-20079.

Cisco не откри кога започнале нападите, кој стои зад нив или какви активности биле забележани по успешното искористување на ранливоста.

Cisco првпат ја откри CVE-2026-20079 во март, кога компанијата соопшти дека нема докази оти ранливоста се искористува во напади.

Ранливоста е предизвикана од неправилно креиран системски процес при стартувањето на системот и може да се искористи со испраќање специјално изработени HTTP-барања до веб-интерфејсот на засегнатиот уред.

Успешниот напад може да му овозможи на напаѓач без автентикација да извршува скрипти и команди на уредот со root-привилегии.

Ранливоста ги засега Cisco Secure FMC Software и Cisco Security Cloud Control Firewall Management. Cisco наведува дека веќе ја закрпил услугата Security Cloud Control која е хостирана во облак.

Cisco соопшти дека нема достапни заобиколни решенија (workarounds) и им препорачува на корисниците да ја надградат софтверската верзија до најновото издание.

Денес, американската Агенција за сајбер-безбедност и инфраструктурна безбедност (CISA) ја додаде CVE-2026-20079 во својот каталог на познати искористувани ранливости (Known Exploited Vulnerabilities – KEV), со наредба федералните агенции од извршната власт да ги обезбедат ранливите системи до 12 септември 2026 година.

Докази за искористување се појавија во јули

Иако Cisco наведува дека неговиот безбедносен тим дознал за активно искористување на CVE-2026-20079 во август, индикаторите за компромитираност (IOC) објавени во јулското ажурирање на безбедносното известување укажуваат дека ранливоста можеби била искористувана и порано.

На 29 јули, Cisco откри уште една ранливост во Secure FMC, означена како CVE-2026-20316, предизвикана од статички податоци за најава на сметка со ниско ниво на привилегии.

Cisco тогаш соопшти дека CVE-2026-20316 активно се искористува во напади и ѝ додели оценка „High“ (висока сериозност), бидејќи добиениот пристап можел да се комбинира со други ранливости во Secure FMC за зголемување на привилегиите.

Како што тогаш објави BleepingComputer, Cisco исто така го ажурирал известувањето за CVE-2026-20079 за да ги вклучи истите индикатори како кај CVE-2026-20316, но не потврдил дека ранливоста била искористувана.

Cisco им наложи на администраторите да го пребараат фајлот /var/log/messages за активности поврзани со /var/tmp/license.tmp и го сподели следниот пример на запис во логовите:

Jul 23 16:16:33 firepower sudo: www : PWD=/ ; USER=root ; COMMAND=/usr/local/sf/bin/package_info.pl /var/tmp/license.tmp --lsm

Cisco наведува дека доколку биде пронајден овој запис, ранливоста „можеби била искористена“ на испитуваниот Secure FMC уред.

Примерот на запис во логовите е датиран на 23 јули, неколку недели пред Cisco да соопшти дека неговиот тим PSIRT дознал за искористувањето на CVE-2026-20079 во август.

Cisco исто така ги објави истите hot fix закрпи за Secure FMC за двете ранливости — CVE-2026-20316 и CVE-2026-20079.

Во тоа време, BleepingComputer го контактираше Cisco со прашања дали двете ранливости се поврзани, дали CVE-2026-20079 исто така била искористувана и дали Cisco намерно го додал истиот индикатор во двете безбедносни известувања.

Cisco не одговори директно на прашањата, туку ја сподели следната изјава:

„На 29 јули 2026 година, Cisco објави софтверски поправки за ранливостите во Cisco Secure Firewall Management Center (FMC). Деталите се наведени во безбедносните известувања (ранливост со статички податоци за најава и ранливост за заобиколување на автентикацијата), а Cisco силно им препорачува на корисниците веднаш да ги применат достапните поправки“, изјави портпарол на Cisco за BleepingComputer.

„Корисниците на кои им е потребна поддршка треба да го контактираат Cisco Technical Assistance Center (TAC).“

Најновото ажурирање на Cisco сега потврдува дека CVE-2026-20079 била искористувана, но не појаснува дали активноста од 23 јули вклучувала искористување на двете ранливости.

Сепак, истите IOC индикатори за двете ранливости, идентичните јулски hot fix закрпи и записот во логовите од 23 јули укажуваат дека двете ранливости можеби биле искористени во истите напади.

Cisco ги советува корисниците кои ќе ги откријат индикаторите на компромитираност да го контактираат неговиот TAC за поддршка, при што предупредува дека инсталирањето на hot fix закрпите ќе спречи идно искористување на ранливоста, но нема да ги санира уредите кои веќе биле компромитирани.

Извори:

• Bleeping Computer – Cisco confirms CVE-2026-20079 Secure FMC flaw exploited in attacks Bleeping Computer