Cisco FMC violata con credenziali statiche, CISA inserisce la falla nel KEV

🛡️ Executive Summary

• CVE-2026-20316 permette a un attaccante remoto non autenticato di accedere a Cisco Secure FMC con un account statico a bassi privilegi.
• Cisco conferma lo sfruttamento attivo e avverte che la falla può essere concatenata ad altre vulnerabilità per aumentare i privilegi.
• L’avviso del 5 agosto riguarda un successivo ciclo di sicurezza Cisco e non descrive ancora CVE, gravità o prodotti specificamente vulnerabili.

Cisco Secure Firewall Management Center contiene una credenziale statica che può essere utilizzata da un attaccante remoto non autenticato per entrare nel sistema con un account a bassi privilegi e consultare dati sensibili. La vulnerabilità, identificata come CVE-2026-20316, è già sfruttata negli attacchi ed è stata inserita da CISA nel catalogo Known Exploited Vulnerabilities. Cisco ha distribuito hotfix per i rami supportati e non indica workaround alternativi. Nello stesso giorno il produttore ha anticipato un secondo ciclo di bollettini previsto per il 5 agosto 2026, ma quella comunicazione non contiene ancora dettagli sulle singole falle e deve rimanere separata dall’incidente FMC.

CISA inserisce la falla Cisco nel catalogo KEV

L’aggiornamento pubblicato da CISA il 29 luglio 2026 aggiunge al catalogo KEV una sola vulnerabilità: CVE-2026-20316, relativa all’uso di una password codificata all’interno di Cisco Secure Firewall Management Center. L’inserimento conferma che il problema non rappresenta soltanto un rischio teorico o una debolezza individuata durante un audit, ma una tecnica già utilizzata contro sistemi reali. Il catalogo KEV viene impiegato dalle agenzie federali civili statunitensi per assegnare priorità obbligatorie alle correzioni e costituisce un indicatore operativo anche per le organizzazioni private. La decisione segue altri aggiornamenti recenti nei quali CISA ha inserito SharePoint e Check Point tra le vulnerabilità sfruttate, confermando una crescente attenzione verso i sistemi collocati al centro dell’amministrazione aziendale. Nel caso Cisco, il prodotto vulnerabile non coincide con il firewall che filtra direttamente il traffico, ma con la piattaforma dalla quale vengono controllate policy, eventi e configurazioni dell’infrastruttura Secure Firewall.

Una credenziale statica concede l’accesso senza autenticazione

La vulnerabilità deriva dalla presenza di credenziali statiche associate a un account a bassi privilegi nell’interfaccia web di Secure FMC. Un attaccante capace di raggiungere il servizio di gestione può utilizzare quell’account per effettuare il login senza possedere credenziali appartenenti all’organizzazione. L’accesso ottenuto non assegna immediatamente i massimi privilegi e Cisco attribuisce alla falla un punteggio CVSS 5,3, corrispondente a un impatto diretto limitato alla riservatezza. Il produttore ha tuttavia classificato il bollettino come High perché l’account può essere impiegato insieme ad altre vulnerabilità di Secure FMC per aumentare i privilegi e ampliare la compromissione.

CVE-2026-20316 Cisco Secure Firewall Management Center Use of Hard-coded Password Vulnerability

Questa distinzione è essenziale: CVE-2026-20316 non deve essere descritta isolatamente come una RCE root pre-auth, ma neppure ridotta a una semplice esposizione di informazioni. Il suo valore operativo consiste nell’offrire un’identità valida dentro un sistema di gestione sensibile, eliminando il primo ostacolo di autenticazione e permettendo all’aggressore di proseguire con ulteriori tecniche. Cisco conferma che lo sfruttamento attivo è stato rilevato nel luglio 2026.

Tutte le configurazioni Secure FMC risultano interessate

Cisco dichiara che la vulnerabilità interessa Secure Firewall Management Center Software indipendentemente dalla configurazione del dispositivo. Il rischio pratico cresce quando l’interfaccia di gestione è esposta a Internet, ma l’assenza di esposizione pubblica non rende il prodotto immune: un aggressore già presente nella rete interna o collegato attraverso un accesso remoto compromesso può comunque tentare di raggiungerla. Non risultano vulnerabili Cloud-Delivered FMC, Firewall Device Manager, Secure Firewall ASA Software, Secure Firewall Threat Defense Software e Security Cloud Control. La separazione evita di estendere l’allarme a tutta la gamma Cisco Secure Firewall. Gli amministratori devono verificare la presenza di FMC self-managed e non limitarsi a controllare la versione dei firewall FTD amministrati dalla piattaforma. La centralizzazione che rende FMC utile per governare più apparati aumenta anche il valore dell’accesso: informazioni sulle policy, sugli oggetti di rete, sugli utenti e sugli eventi possono agevolare il movimento laterale o la preparazione di un attacco successivo. La criticità delle console Cisco era già emersa con le falle corrette in ISE e RoomOS insieme ai problemi degli agenti AI di AWS, dove sistemi di amministrazione e identità concentravano funzioni molto più ampie del singolo servizio esposto.

Cisco pubblica hotfix per sei rami supportati

Cisco ha distribuito hotfix specifici per i rami 7.0, 7.2, 7.4, 7.6, 7.7 e 10.0 di Secure FMC. Le correzioni indicate sono 7.0.9.1-3, 7.2.11.1-4, 7.4.7.1-3, 7.6.5.1-2, 7.7.12.1-2 e 10.0.1.1-2, ciascuna fornita attraverso un pacchetto dedicato. Il produttore non offre workaround e raccomanda di installare la release corretta, verificando attraverso il Cisco Software Checker l’esposizione della versione realmente utilizzata. Gli ambienti che non dispongono di accesso diretto agli aggiornamenti devono rivolgersi al supporto o al fornitore autorizzato, perché Cisco considera la correzione un aggiornamento di sicurezza necessario anche per i clienti privi di un contratto di assistenza ordinario. Limitare l’interfaccia alle sole reti amministrative riduce l’attacco da Internet, ma non elimina la credenziale incorporata e non sostituisce l’hotfix. L’intervento deve inoltre comprendere un controllo delle integrazioni, della compatibilità hardware e dello spazio disponibile prima dell’installazione, evitando che un aggiornamento urgente interrompa la piattaforma centrale di gestione.

Un file temporaneo può indicare lo sfruttamento

Cisco ha pubblicato un controllo specifico per individuare una possibile compromissione. In modalità expert, gli amministratori possono esaminare /var/log/messages cercando le righe relative a license; la presenza di un comando che richiama /usr/local/sf/bin/package_info.pl sul file /var/tmp/license.tmp può indicare lo sfruttamento della vulnerabilità. L’indicatore non deve essere utilizzato come unico criterio per escludere l’incidente, perché l’assenza della stringa non garantisce che nessuna attività sia avvenuta e un aggressore potrebbe avere alterato o cancellato parte dei log. Quando il segnale compare, Cisco raccomanda di contattare il Technical Assistance Center per valutare le opzioni di recupero. Il produttore chiede inoltre di ruotare almeno tutte le credenziali degli utenti, le chiavi e i certificati presenti sul dispositivo, misura particolarmente importante perché lo sfruttamento è già in corso. La sola applicazione dell’hotfix impedisce nuovi accessi attraverso la credenziale statica, ma non revoca sessioni, segreti o identità eventualmente ottenuti in precedenza.

L’avviso del 5 agosto è una pre-notifica distinta

Il secondo documento pubblicato da Cisco il 29 luglio non aggiunge dettagli a CVE-2026-20316. Si tratta di una advance notification che anticipa la pubblicazione, prevista per il 5 agosto 2026, di nuovi bollettini e software corretti per Catalyst SD-WAN, Integrated Management Controller, IOS, IOS XE, RoomOS e Terminal Services Agent. Cisco non ha ancora comunicato i codici CVE, i punteggi, il numero delle vulnerabilità, i vettori o l’eventuale presenza di sfruttamento attivo. Non è quindi corretto associare questi prodotti alla credenziale statica di FMC o descrivere la pre-notifica come un nuovo pacchetto di falle già note. Il documento consente ai gestori di preparare finestre di manutenzione, inventariare le versioni e verificare la disponibilità dei team necessari all’aggiornamento, ma la valutazione tecnica potrà essere svolta soltanto quando saranno pubblicati gli advisory completi. Il precedente dedicato alle RCE di Joomla e alle vulnerabilità critiche di SAP NetWeaver segnalate da CISA mostra perché prodotti e CVE debbano essere collegati soltanto dopo la pubblicazione delle informazioni ufficiali.

La gestione del firewall diventa il vero bersaglio

Il bollettino Cisco su CVE-2026-20316 chiarisce che il punteggio CVSS non rappresenta interamente il rischio operativo, perché l’account statico può essere concatenato con altre debolezze per aumentare i privilegi. L’allerta CISA del 29 luglio conferma lo sfruttamento e porta la falla nel KEV, mentre la pre-notifica Cisco del 5 agosto riguarda un ciclo successivo e ancora privo di dettagli tecnici. Gli amministratori devono quindi agire su due piani distinti: correggere immediatamente Secure FMC, cercare gli indicatori e ruotare i segreti; prepararsi poi a valutare i nuovi advisory quando saranno effettivamente pubblicati. CVE-2026-20316 dimostra che il punto più utile per aggirare un firewall può non essere l’apparato che filtra il traffico, ma la console dalla quale l’intera infrastruttura viene amministrata.