Cisco потвърди, че уязвимост от максимална степен на опасност за заобикаляне на автентикацията, проследявана като CVE-2026-20079 в софтуера Secure Firewall Management Center (FMC), се експлоатира активно при атаки.

Уязвимостта има максимална оценка по CVSS от 10.0 и позволява на неавтентикирани отдалечени атакуващи да заобиколят автентикацията и да изпълняват скриптове и команди като root на засегнати устройства.

„През август 2026 г. Cisco PSIRT установи активна експлоатация на тази уязвимост“, съобщи Cisco в актуализираната си бюлетина за сигурност относно CVE-2026-20079 в сряда.

Cisco не разкрива кога са започнали атаките, кой stoi зад тях или каква активност е наблюдавана след експлоатацията.

За първи път Cisco съобщи за CVE-2026-20079 през март, когато компанията заяви, че няма доказателства уязвимостта да е била използвана при атаки.

Недостатъкът е причинен от неправилен системен процес, създаден по време на зареждане (boot time), и може да бъде експлоатиран чрез изпращане на модифицирани HTTP заявки към уеб интерфейса на засегнато устройство.

Успешна атака може да позволи на неавтентикиран атакуващ да изпълнява скриптове и команди на устройството с root привилегии.

Уязвимостта засяга Cisco Secure FMC Software и Cisco Security Cloud Control Firewall Management. От Cisco съобщават, че вече са отстранили уязвимостта в облачната услуга Security Cloud Control.

Cisco заявява, че няма временни решения (workarounds) и препоръчва на клиентите да актуализират до най-новата версия на софтуера.

Днес Агенцията за киберсигурност и инфраструктурна сигурност на САЩ (CISA) добави CVE-2026-20079 към своя каталог с известни експлоатирани уязвимости (KEV), нареждайки на гражданските федерални агенции да защитят засегнатите системи до 12 септември 2026 г.

Доказателства за експлоатация са се появили през юли

Въпреки че Cisco заявява, че екипът ѝ по сигурност е научил за активната експлоатация на CVE-2026-20079 през август, индикаторите за компрометиране (IOC), публикувани в актуализация на бюлетина от юли, подсказват, че уязвимостта може да е била използвана и по-рано.

На 29 юли Cisco разкри друга уязвимост в Secure FMC, проследявана като CVE-2026-20316, причинена от статични идентификационни данни за акаунт с ниски привилегии.

Тогава Cisco заяви, че CVE-2026-20316 е била активно експлоатирана при атаки и ѝ даде висока степен на опасност (High), тъй като достъпът е можел да бъде комбиниран с други уязвимости в Secure FMC за ескалация на привилегии.

Както BleepingComputer съобщи по онова време, Cisco също така актуализира бюлетина за CVE-2026-20079, за да включи същите индикатори като при CVE-2026-20316, но без да потвърждава, че проблемът е бил експлоатиран.

Cisco посъветва администраторите да претърсят /var/log/messages за активност, свързана с /var/tmp/license.tmp, и сподели следния примерен запис от дневника (log entry):

Jul 23 16:16:33 firepower sudo: www : PWD=/ ; USER=root ; COMMAND=/usr/local/sf/bin/package_info.pl /var/tmp/license.tmp --lsm

Cisco посочва, че ако този запис бъде открит, уязвимостта „може да е била експлоатирана“ на проверяваното Secure FMC устройство.

Примерният запис от лог файла е с дата 23 юли — седмици преди Cisco да заяви, че PSIRT е научил за експлоатацията на CVE-2026-20079 през август.

Cisco пусна и едни и същи спешни корекции (hot fixes) за Secure FMC както за CVE-2026-20316, така и за CVE-2026-20079.

По онова време BleepingComputer се свърза с Cisco, за да попита дали двете уязвимости са свързани, дали CVE-2026-20079 също е била експлоатирана и дали Cisco умишлено е добавила споделения индикатор и в двата бюлетина.

Cisco не отговори директно на въпросите, а вместо това сподели следното изявление:

„На 29 юли 2026 г. Cisco пусна софтуерни корекции за отстраняване на уязвимости в Cisco Secure Firewall Management Center (FMC). Подробностите са описани в бюлетините за сигурност (уязвимост със статични идентификационни данни, уязвимост за заобикаляне на автентикация) и Cisco горещо препоръчва на клиентите незабавно да инсталират наличните корекции“, заяви говорител на Cisco пред BleepingComputer.

„Клиентите, които се нуждаят от поддръжка, трябва да се свържат с Центъра за техническа поддръжка на Cisco (TAC).“

Най-новата актуализация от Cisco вече потвърждава, че CVE-2026-20079 е била експлоатирана, но не изяснява дали активността от 23 юли е включвала експлоатация и на двете уязвимости.

Въпреки това идентичните индикатори за компрометиране (IOC) за двата недостатъка, еднаквите спешни корекции от юли и записът в лога от 23 юли подсказват, че и двете уязвимости може да са били използвани в едни и същи атаки.

Cisco съветва клиентите, които открият индикаторите за компрометиране, да се свържат с техния TAC за съдействие, като предупреждава, че инсталирането на спешните корекции ще предотврати бъдеща експлоатация, но няма да възстанови вече компрометираните устройства.

След като атакуващите получат валидни идентификационни данни, се блокират едва 37% от действията им

Общите оценки за превенция могат да скрият какво се случва след първоначалния достъп. Когато атакуващите използват валидни идентификационни данни, нивото на превенция спада рязко.

Докладът Blue Report 2026 измерва защитата техника по техника чрез 338 милиона симулации, проведени в реални производствени среди на клиенти.