Cisco、FMCの静的認証情報の欠陥を警告 ゼロデイ攻撃で悪用

Ciscoは、Secure Firewall Management Center(FMC)に存在する静的認証情報の脆弱性(CVE-2026-20316、深刻度「高」)が、ゼロデイ攻撃で悪用され、脆弱なデバイスへの不正アクセスに使われていたと警告しています。

この脆弱性は、Cisco Secure FMCソフトウェアに組み込まれた低権限アカウントの静的認証情報が原因です。

Ciscoによると、認証されていないリモートの攻撃者がこの認証情報を使って影響を受けるシステムにログインし、そのアカウントがアクセスできる機密データを閲覧できる可能性があります。

CVE-2026-20316のCVSSスコアは5.3ですが、このアクセスが他のFMCの脆弱性と組み合わされて権限昇格につながる恐れがあるため、Ciscoは深刻度を「高」に設定しています。

ただし、同社は追加の脆弱性が何であるか、また攻撃でどのように利用されているかについては明らかにしていません。

この欠陥はデバイスの設定にかかわらずCisco Secure FMCソフトウェアに影響しますが、Cloud-Delivered FMC、Firewall Device Manager、Secure Firewall ASAソフトウェア、Secure Firewall Threat Defenseソフトウェア、Security Cloud Controlには影響しません。

Ciscoは、Secure FMCのリリース7.0、7.2、7.4、7.6、7.7、10.0向けにホットフィックスを公開しています。この脆弱性に対処する回避策は存在しないため、顧客には公開済みの修正版を速やかに適用することを強く推奨しています。

Ciscoは2026年7月に実際の悪用を把握したとしていますが、攻撃がいつ始まったのか、誰が背後にいるのか、どの組織が標的にされたのかについては明らかにしていません。この脆弱性はHorizon3.aiのJimi Sebree氏が報告しました。

同社は、FMCの管理インターフェースを公衆インターネットに公開していない場合、攻撃対象領域が縮小されるとしています。

Cisco FMCの導入環境が侵害されたかどうかを検知するには、管理者は/var/log/messagesログファイルを確認し、脆弱性が悪用された痕跡がないか調べる必要があります。

管理者は、エキスパートモードで以下のコマンドを実行することで不審な活動を検索できます。

cat /var/log/messages | grep license

Ciscoによると、以下のように /var/tmp/license.tmp を含むログエントリは、FMCデバイスが侵害された可能性を示していると言います。

Jul 23 16:16:33 firepower sudo: www : PWD=/ ; USER=root ; COMMAND=/usr/local/sf/bin/package_info.pl /var/tmp/license.tmp --lsm

このログエントリは、wwwアカウントで実行されているFMCのWebプロセスが、rootとしてCiscoのpackage_info.plスクリプトを呼び出し、/var/tmp/license.tmpファイルを渡していることを示しています。

デバイスにこのIOC(侵害指標)が見つかった場合、すでに悪用が続いている可能性があるため、管理者は影響を受けたFMCデバイス上のすべてのユーザー認証情報、キー、証明書をローテーションする必要があります。

侵害された疑いがある組織は、復旧支援のためCisco TACにも連絡すべきです。

重大なFMC認証バイパスの欠陥も修正

Ciscoは、CVE-2026-20079として追跡されている別の重大なFMC認証バイパス脆弱性(CVSSスコア最大値10.0)に関するアドバイザリも更新しました。

この欠陥により、認証されていないリモートの攻撃者が、特別に細工したHTTPリクエストを影響を受けるFMCデバイスに送信することで認証をバイパスし、rootとしてスクリプトやコマンドを実行できる可能性があります。

Ciscoによると、この脆弱性はシステム起動時に作成される不適切なシステムプロセスに起因しています。

CVE-2026-20316とは異なり、CVE-2026-20079では認証情報やデバイスへの事前アクセスは必要ありません。

Ciscoは2026年3月にCVE-2026-20079を最初に開示し、7月29日にアドバイザリを更新して2つ目のバグIDとホットフィックス、侵害指標を追加しました。

ただし、Ciscoはこの脆弱性が悪意を持って悪用された形跡は確認していないとしています。

同社は両方のアドバイザリに同じ/var/tmp/license.tmpという指標を掲載していますが、これらの脆弱性に関連性があるかどうかについては説明していません。

さらに、CiscoによるCVE-2026-20079の説明からは、CVE-2026-20316に関連する静的認証情報を使わなくてもroot権限を取得できる可能性があることがうかがえます。

CiscoはCVE-2026-20079についても同じSecure FMCホットフィックスを公開しており、この脆弱性を完全に解消する回避策はないとしています。

BleepingComputerはCiscoに対し、両脆弱性に関連性があるかどうか、CVE-2026-20079も悪用されているかどうか、そして共通の指標が意図的に両方のアドバイザリに追加されたのかどうかについて問い合わせています。