CVE-2026-20079: Bypass di Autenticazione Critico in Cisco Secure FMC Sfruttato Attivamente #

CVE-2026-20079 è una vulnerabilità critica (CVSS 10.0) in Cisco Secure Firewall Management Center (FMC) Software, la console centralizzata usata per gestire i firewall Cisco Secure Firewall (ex Firepower) in ambienti enterprise. Il bug è un authentication bypass nell’interfaccia web che permette a un attaccante remoto non autenticato di eseguire script ed eventualmente comandi come root sul sistema operativo sottostante. La vulnerabilità è inserita nel catalogo CISA KEV dal 9 settembre 2026 ed è sotto sfruttamento attivo da almeno agosto 2026, con almeno tre cluster di attività distinti — incluso il gruppo state-sponsored russo Sandworm e operatori del ransomware Qilin.

CVE in Breve #

Timeline #

• 4 marzo 2026: Cisco pubblica l’advisory iniziale, nessuna evidenza di exploitation.
• 23 luglio 2026: primi log compatibili con attività di sfruttamento.
• 29 luglio 2026: Cisco divulga anche CVE-2026-20316 (credenziali statiche) e aggiorna l’advisory con IOC.
• Agosto 2026: Cisco PSIRT conferma di essere a conoscenza di exploitation attiva.
• 9-10 settembre 2026: conferma pubblica dello sfruttamento attivo da parte di Cisco Talos; CISA aggiunge la CVE al catalogo KEV.
• 12 settembre 2026: scadenza per le agenzie federali USA per l’applicazione della patch (BOD 22-01).
• Settimana del 16 settembre 2026: rilascio previsto di un hardening release completo.

Contesto #

Cisco Secure FMC è la piattaforma di gestione centralizzata per i firewall Cisco Secure Firewall (ex Firepower), ampiamente diffusa in ambienti enterprise e governativi per policy management, monitoraggio e orchestrazione di più appliance di sicurezza perimetrale. Un accesso non autorizzato a FMC non compromette solo il singolo server: espone la configurazione, le credenziali e la gestione di tutti i firewall sotto il suo controllo, rendendolo un target ad altissimo valore per attacchi di initial access e per il pivoting verso reti interne.

Causa Radice #

L’advisory ufficiale Cisco fornisce solo un dettaglio minimo: la vulnerabilità è dovuta a “un processo di sistema creato in modo improprio all’avvio”, sfruttabile inviando richieste HTTP appositamente costruite verso l’interfaccia web del dispositivo. Cisco non ha pubblicato il dettaglio implementativo completo.

Il meccanismo tecnico preciso è stato però ricostruito e pubblicato pubblicamente da VulnCheck (Initial Access Intelligence team), tramite patch-diff indipendente — non è una dichiarazione ufficiale di Cisco, ma ricerca di terze parti. In sintesi:

All’avvio del sistema, un processo Go (auth-daemon) crea nel database una sessione per un utente “macchina” interno chiamato csm_processes, con un session ID statico (csm_processes) invece che un UUID dinamico come per le sessioni utente normali. Questa sessione, se nessun amministratore effettua il login dopo il boot, resta valida e accessibile impostando semplicemente il cookie CGISESSID=csm_processes — bypassando così l’autenticazione per un piccolo sottoinsieme di endpoint che verificano solo l’esistenza della sessione, non i permessi specifici dell’utente.

Da sola, questa sessione ha privilegi nulli. VulnCheck ha però scoperto che è possibile “aggiornarla” a una sessione utente valida autenticandosi con credenziali hardcoded di un altro utente macchina interno (report:snortrules, presenti nel codice sorgente Perl dell’applicazione) mantenendo lo stesso session ID — ottenendo così un token CSRF (sf_action_id) necessario per interagire con le API interne. Da lì, la catena prosegue sfruttando un endpoint di validazione licenza (sajaxintf.cgi) per scrivere un file arbitrario in /var/tmp/license.tmp in formato “Makeself” (un formato Cisco per script di installazione), e infine un endpoint di gestione aggiornamenti (pjb.cgi, funzione upgradeReadinessCall) per far eseguire quel file come parte di un processo di installazione — che internamente invoca un comando con sudo, ottenendo esecuzione di codice arbitraria come root.

Va sottolineato che questo è il frutto di ricerca tecnica indipendente di VulnCheck, pubblicata sul loro blog aziendale — Cisco non ha confermato né smentito questo livello di dettaglio nel proprio advisory.

Attack Flow #

Sono stati osservati almeno tre cluster di attività distinti (fonte: Cisco Talos):

Cluster 1 (UAT-12197, non attribuito a un gruppo noto): attaccante → richiesta HTTP malevola verso l’interfaccia web FMC → bypass autenticazione (CVE-2026-20079) → deployment di una web shell JSP nella webroot di Tomcat + file JAR malevolo → query dirette al database (SELECT name, auth_data FROM users) → esfiltrazione credenziali.

Cluster 2 (Sandworm / UAT-11823): attaccante → CVE-2026-20079 oppure accesso con credenziali statiche (CVE-2026-20316) → modifica di license.tmp tramite Makeself → esecuzione come root via package_info.pl → reverse shell Netcat (/bin/sh -i 2>&1|nc [IP] 3090) → deployment dell’impianto ELF Cyclops Blink → raccolta configurazioni dei dispositivi gestiti.

Cluster 3 (ransomware Qilin / UAT-11988): attaccante → accesso con credenziali statiche (CVE-2026-20316) → esecuzione di package_info.pl con license.tmp malevolo → reconnaissance estesa (Active Directory, MySQL, domini interni) → tunnel SSH e proxy SOCKS5 verso porte LDAP/LDAPS/Kerberos/SMB/WinRM → disattivazione degli antivirus → deployment del ransomware Qilin.

Versioni Vulnerabili e Patch #

Cisco dichiara esplicitamente che non esistono workaround: l’unica mitigazione è applicare l’hotfix corrispondente alla propria versione. Va inoltre sottolineato che il fix impedisce solo lo sfruttamento futuro: non rimedia a sistemi già compromessi, che vanno trattati come compromessi a prescindere dalla versione.

Proof of Concept #

Non esiste un PoC pubblico sotto forma di script o repository pronto all’uso. Esiste però una ricerca tecnica pubblica molto dettagliata da parte di VulnCheck, che documenta l’intero processo di sviluppo dell’exploit — incluse le richieste HTTP esatte usate in laboratorio — fino a una reverse shell root funzionante. VulnCheck rende invece riservato ai propri clienti enterprise il tool compilato pronto all’uso, insieme a PCAP, regola YARA e firme di rete per cinque varianti dell’attacco.

Un dettaglio tecnico rilevante emerso dalla loro ricerca: lo sfruttamento richiede che il sistema sia stato riavviato di recente e che nessun amministratore abbia ancora effettuato il login (azione che invalida la sessione csm_processes sfruttabile) — la finestra di attacco è quindi più ampia subito dopo un riavvio, o su appliance gestite raramente via interfaccia web diretta.

Detection #

Indicatori pubblicati da Cisco e Cisco Talos:

• Verificare nei log (modalità expert) l’esecuzione sospetta di package_info.pl con argomento /var/tmp/license.tmp, ad esempio tramite: zgrep "package_info.*license" messages*
• Log entry sospetta osservata in exploitation reale: sudo: www : PWD=/ ; USER=root ; COMMAND=/usr/local/sf/bin/package_info.pl /var/tmp/license.tmp
• Presenza di web shell JSP non riconosciute nella webroot Tomcat di FMC, o file JAR anomali
• Query anomale al database interno sulla tabella users (campi name, auth_data)
• Processi reverse shell verso l’esterno (es. sessioni Netcat in uscita su porte non standard)
• Cookie di sessione con valore letterale CGISESSID=csm_processes nei log di accesso Apache — un indicatore aggiuntivo emerso dalla ricerca VulnCheck, distinto dai session ID dinamici normali
• Regole Snort dedicate: SID 66075-66080 (CVE-2026-20079), SID 66883 (CVE-2026-20316), SID 66960-66961 (malware correlato)
• IOC completi (hash, IP C2, indicatori Cyclops Blink) pubblicati da Cisco Talos sul proprio repository GitHub

Remediation #

• Applicare immediatamente l’hotfix Cisco corrispondente alla propria versione di FMC — non esiste workaround alternativo.
• Non esporre l’interfaccia di gestione di FMC direttamente su Internet: limitarne l’accesso a reti di management dedicate/VPN.
• Trattare ogni istanza FMC internet-facing come potenzialmente compromessa: verificare i log storici (da luglio 2026) per gli IOC pubblicati.
• In caso di indicatori di compromissione, isolare l’appliance, ruotare tutte le credenziali gestite tramite FMC (inclusi gli account dei firewall gestiti) e condurre un’analisi forense prima di rimetterla in produzione.
• Applicare anche la patch per CVE-2026-20316 (credenziali statiche), usata in combinazione o in alternativa nella stessa campagna.
• Attendersi e pianificare l’applicazione dell’hardening release completo previsto per la settimana del 16 settembre 2026.

FAQ #

Cos’è CVE-2026-20079? È una vulnerabilità critica (CVSS 10.0) di bypass dell’autenticazione in Cisco Secure Firewall Management Center, che consente a un attaccante remoto non autenticato di eseguire comandi come root.

È sfruttata attivamente? Sì, Cisco Talos ha confermato exploitation attiva da almeno agosto 2026, con log compatibili risalenti al 23 luglio 2026.

È presente in CISA KEV? Sì, aggiunta al catalogo CISA Known Exploited Vulnerabilities il 9 settembre 2026.

Quali versioni sono vulnerabili? Tutte le release supportate di Cisco Secure FMC: 7.0, 7.2, 7.4, 7.6, 7.7 e 10.0. La versione cloud (Cisco Security Cloud Control) non è impattata.

È sfruttabile da remoto? Sì, tramite richieste HTTP appositamente costruite verso l’interfaccia web, senza necessità di accesso alla rete interna.

Serve autenticazione? No, è sfruttabile da un attaccante non autenticato (PR:N nel vettore CVSS) — il meccanismo, come ricostruito da VulnCheck, abusa di una sessione macchina creata automaticamente all’avvio del sistema.

Esiste un PoC pubblico? Non un tool pronto all’uso, ma VulnCheck ha pubblicato un’analisi tecnica dettagliata dell’intera catena di exploitation — sufficiente a ricostruire l’attacco per chi ha le competenze, anche se il tool compilato resta riservato ai loro clienti.

Come posso mitigare la vulnerabilità? Applicando l’hotfix Cisco specifico per la propria versione — non esistono workaround alternativi — e restringendo l’esposizione dell’interfaccia di management.

Articoli Correlati #

• RCE — come un bypass di autenticazione porta a esecuzione di codice come root
• Broken Authentication — la classe di vulnerabilità (CWE-288) a cui appartiene questo CVE

Fonti #

• Cisco Security Advisory: Cisco Secure Firewall Management Center Software Authentication Bypass Vulnerability
• CISA: Known Exploited Vulnerabilities Catalog
• VulnCheck: CVE-2026-20079 - Cisco FMC Authentication Bypass RCE Analysis
• The Hacker News: Cisco FMC Flaws Exploited to Steal Credentials and Deploy Qilin Ransomware

Contenuto pubblicato a scopo didattico e di consapevolezza sulla sicurezza informatica. L’utilizzo di queste tecniche su sistemi privi di autorizzazione esplicita costituisce reato.