Cisco ha confermato che nel suo Secure Firewall Management Center (FMC) il software è attivamente sfruttato. Gli aggressori possono ottenere l’accesso root al sistema di gestione senza credenziali valide.
Perché il difetto è così pericoloso
La causa principale è un processo di sistema improprio che viene creato quando il dispositivo si avvia. Un aggressore remoto non autenticato può inviare richieste HTTP artigianali all’interfaccia web, eseguire file di script e ottenere l’accesso completo root al sistema operativo sottostante. Poiché la FMC gestisce centralmente numerosi firewall, un unico compromesso apre efficacemente la porta all’intera rete protetta. Una seconda vulnerabilità incatenata (CVE-2026-20316, CVSS 5.3) consente inoltre l’escalation privilegio da un account a basso tasso di privatizzazione.
Attori di minaccia multipli coinvolti
La PSIRT di Cisco divenne a conoscenza degli attacchi in corso nell’agosto del 2026. Il 9 settembre Cisco ha aggiornato la sua consulenza, e l’agenzia statunitense CISA ha aggiunto il difetto al suo catalogo di vulnerabilità esplose note (KEV). Il team di Cisco Talos attribuisce le intrusioni a tre cluster separati, tra cui una sovrapposizione APT con il gruppo Sandworm e una filiale dell’operazione ransomware Qilin.
Quali amministratori dovrebbero fare ora
I comunicati interessati sono versioni FMC 7.0, 7.2, 7.4, 7.6, 7.7 e 10.0. Cisco fornisce un hotfix per ogni ramo (ad esempio HG-7.4.7.1-3 per la linea 7.4). Non c’è una soluzione efficace, quindi gli operatori dovrebbero applicare immediatamente le patch e non devono mai esporre l’interfaccia di gestione direttamente a Internet.
Fonte: Cisco Security Advisory su CVE-2026-20079.
