シスコは、Secure Firewall Management Center(FMC)ソフトウェアに存在する認証バイパスの脆弱性CVE-2026-20079が、攻撃で実際に悪用されていることを確認したと発表しました。この脆弱性は最高深刻度に分類されています。
この脆弱性のCVSSスコアは最高値の10.0で、認証されていないリモートの攻撃者が認証をバイパスし、脆弱なデバイス上でroot権限としてスクリプトやコマンドを実行できるというものです。
シスコは水曜日、CVE-2026-20079に関するアドバイザリを更新し、「2026年8月、シスコのPSIRTはこの脆弱性が実際に悪用されていることを把握しました」と述べました。
シスコは、攻撃がいつ始まったのか、誰が関与していたのか、また攻撃後にどのような活動が観測されたのかについては明らかにしていません。
シスコは3月にCVE-2026-20079を最初に公表した際には、この脆弱性が攻撃で悪用されている証拠はないとしていました。
この脆弱性は、起動時に生成されるシステムプロセスの不備が原因で発生しており、影響を受けるデバイスのWebインターフェースに細工したHTTPリクエストを送信することで悪用できます。
攻撃が成功すると、認証されていない攻撃者がデバイス上でroot権限を持ってスクリプトやコマンドを実行できるようになります。
この脆弱性は、Cisco Secure FMCソフトウェアおよびCisco Security Cloud Control Firewall Managementに影響します。シスコによると、クラウドでホストされているSecurity Cloud Controlサービスについてはすでにパッチを適用済みとのことです。
シスコは回避策が存在しないとしており、顧客に対して最新のソフトウェアリリースへのアップグレードを推奨しています。
本日、米国のサイバーセキュリティ・インフラセキュリティ庁(CISA)はCVE-2026-20079を既知の悪用済み脆弱性(KEV)カタログに追加し、連邦文民行政機関(FCEB)に対して2026年9月12日までに脆弱なシステムを保護するよう命じました。
7月時点で悪用の兆候が浮上
シスコのセキュリティチームがCVE-2026-20079の実際の悪用を把握したのは8月だとしていますが、7月に更新されたアドバイザリで公開された侵害の痕跡(IOC)からは、この脆弱性がそれ以前から悪用されていた可能性が示唆されています。
7月29日、シスコは低権限アカウントの静的な認証情報が原因で発生する、CVE-2026-20316として追跡されている別のSecure FMC脆弱性を公表していました。
シスコは当時、CVE-2026-20316が攻撃で実際に悪用されていたと述べ、このアクセス権が他のSecure FMC脆弱性と組み合わされて権限昇格に利用され得ることから、深刻度を「高」に分類していました。
BleepingComputerが当時報じていたとおり、シスコはCVE-2026-20079のアドバイザリも更新し、CVE-2026-20316と同じ侵害指標を追加していましたが、この時点では同脆弱性の悪用は確認していませんでした。
シスコは管理者に対し、/var/log/messagesを確認し、/var/tmp/license.tmpに関連する活動を検索するよう求め、以下のようなログエントリの例を示しました。
Jul 23 16:16:33 firepower sudo: www : PWD=/ ; USER=root ; COMMAND=/usr/local/sf/bin/package_info.pl /var/tmp/license.tmp --lsmシスコによると、このようなエントリが見つかった場合、調査対象のSecure FMCデバイスで脆弱性が「悪用された可能性がある」とのことです。
このログエントリの例の日付は7月23日で、シスコがCVE-2026-20079の悪用をPSIRTが8月に把握したとする時期よりも数週間前のことです。
また、シスコはCVE-2026-20316とCVE-2026-20079の両方について、同じSecure FMC向けホットフィックスを公開していました。
当時BleepingComputerはシスコに対し、両脆弱性に関連性があるのか、CVE-2026-20079も悪用されていたのか、また両方のアドバイザリに同じ指標を意図的に追加したのかを問い合わせていました。
シスコはこれらの質問に直接回答せず、代わりに以下の声明を発表しました。
「シスコは2026年7月29日、Cisco Secure Firewall Management Center(FMC)の脆弱性に対処するソフトウェア修正版をリリースしました。詳細はセキュリティアドバイザリ(静的認証情報の脆弱性、認証バイパスの脆弱性)に記載されており、シスコは顧客に対して利用可能な修正版を直ちに適用することを強く推奨します」と、シスコの広報担当者はBleepingComputerに述べました。
「サポートが必要な顧客は、シスコ・テクニカル・アシスタンス・センター(TAC)にお問い合わせください」
シスコの最新の更新では、CVE-2026-20079が悪用されたことは確認されたものの、7月23日の活動に両方の脆弱性の悪用が含まれていたかどうかは明らかにされていません。
しかし、両脆弱性に共通するIOC、同一の7月のホットフィックス、そして7月23日のログエントリを踏まえると、両方の脆弱性が同一の攻撃で使用された可能性が示唆されます。
シスコは、侵害指標を発見した顧客に対してTACへの問い合わせを推奨するとともに、ホットフィックスの導入は今後の悪用を防ぐものであり、すでに侵害されたデバイスを修復するものではないと注意を促しています。
