ネットワーク全体で複数のCisco Secure Firewallデバイスを一元管理するプラットフォームであるCisco Secure Firewall Management Center(FMC)に存在する静的認証情報の脆弱性(CVE-2026-20316)が、攻撃者によって悪用されているとCISAが警告しました。
FMCの2つの欠陥、共通する侵害の痕跡
Horizon3.aiのJimi Sebree氏によって報告されたCVE-2026-20316は、FMCソフトウェアのWebインターフェースに存在します。この静的なユーザー認証情報は低権限アカウント用のものですが、攻撃者はこれを使って対象デバイスにログインし、機密データにアクセスできる可能性があります。
Ciscoは指摘の中で、この脆弱性が他の脆弱性と組み合わせて悪用される可能性もあり、その場合攻撃者は権限を昇格させ、より深刻な侵害を行う能力を得る恐れがあるとしています(ただし、同社はこうした組み合わせによる悪用が実際に発生しているとは述べていません)。
米サイバーセキュリティ・インフラセキュリティ庁(CISA)は水曜日、この脆弱性を既知の悪用された脆弱性(KEV)カタログに追加し、米連邦民間機関に対して2026年8月1日までにこの脆弱性へ対処するとともに、自機関の導入環境で悪用が発生していないか確認するよう命じました。
Ciscoによると、同社の製品セキュリティインシデント対応チーム(PSIRT)は今月、この脆弱性が実際に悪用されていることを把握し、ホットフィックスを提供したとのことです。
また同社は、システムログ内で侵害の痕跡(IoC)を確認する方法も提供しています。/var/tmp/license.tmpを参照するpackage_info.plの実行が存在する場合、悪用の可能性を示しています。
「悪用が疑われる場合は、復旧オプションについてCiscoテクニカルアシスタンスセンター(TAC)にご連絡ください。少なくとも、この脆弱性の実悪用が継続していることから、Ciscoはお客様に対しCisco Secure FMCデバイス上のすべてのユーザー認証情報、キー、証明書のローテーションを推奨します」と同社は助言しています<.
Ciscoは同じ日に更新された、関連するもう一つのFMCの欠陥に関する別のアドバイザリでも、同様のIoC確認方法を公開しました。
こちらはCVE-2026-20079に関するもので、2026年3月にCiscoの内部セキュリティテストで発見され開示されたものです。更新されたアドバイザリによれば、この脆弱性により未認証の攻撃者が「認証をバイパスし、対象デバイス上でスクリプトファイルを実行して基盤となるオペレーティングシステムのroot権限を取得する」可能性があるとしています。
ただし同社によれば、インシデント対応チームはCVE-2026-20079について公表された発表や悪意ある利用は把握していないとのことです。
攻撃者に狙われるCisco FMC
Ciscoのネットワーキング・セキュリティ製品やソリューションは、既知の脆弱性やゼロデイ脆弱性を通じてしばしば侵害されてきましたが、Cisco Secure Firewall Management Centerが人気の標的となったのは最近のことです。
2026年3月、Ciscoは2件の重大なFMC脆弱性を公表しました。前述の認証バイパスであるCVE-2026-20079と、CVE-2026-20131です。後者は、脆弱なデバイスのWebベース管理インターフェースに細工したシリアライズ済みJavaオブジェクトを送信することで悪用されるリモートコード実行の欠陥です。その後まもなく、AmazonのCISOであるCJ Moses氏は、同社のハニーポットがInterlockランサムウェアグループによる後者のゼロデイ悪用を2026年1月26日から検知していたことを明らかにしました。
FMCのWebベース管理インターフェースは、攻撃者が侵入経路として利用してきた弱点です。
「FMC管理インターフェースがインターネットに公開されていない場合、この脆弱性に関連する攻撃対象領域は縮小します」と、Ciscoは3件すべてのFMC脆弱性に関するアドバイザリで指摘しています。
翻訳元: https://www.helpnetsecurity.com/2026/07/30/cisco-fmc-cve-2026-20316-exploited/
