Cisco Secure FMC: критическая уязвимость CVSS 10.0 позволяет удаленно получить права root

Cisco подтвердила факт активного использования критической уязвимости CVE-2026-20079 в ПО Secure Firewall Management Center (FMC). Брешь получила максимальную оценку по шкале CVSS 10.0, так как позволяет удаленно обойти аутентификацию и выполнить произвольный код с правами root.

Техническая картина инцидента выглядит следующим образом:

Cisco заявляет, что узнала об атаках в августе 2026 года, однако анализ индикаторов компрометации (IOC) указывает на более ранние сроки. В июле компания опубликовала данные по другой уязвимости (CVE-2026-20316), связанной со статическими учетными данными. Примечательно, что для обоих инцидентов были опубликованы идентичные индикаторы и общие патчи. Пример лог-записи от 23 июля, указывающий на активность в /var/tmp/license.tmp, подтверждает, что эксплуатация могла начаться минимум за несколько недель до официального признания Cisco.

Облачный сервис Security Cloud Control уже обновлен вендором. Для владельцев локальных версий ПО обходных путей защиты (workarounds) не существует — единственным решением является обновление ПО до актуальной версии.

CISA внесла CVE-2026-20079 в каталог Known Exploited Vulnerabilities (KEV), обязав федеральные агентства США устранить риск до 12 сентября 2026 года.

Важное ограничение: установка исправлений предотвращает новые попытки взлома, но не устраняет последствия, если устройство уже скомпрометировано. В этом случае Cisco рекомендует обращаться в Technical Assistance Center (TAC) для проведения криминалистического анализа.