Cisco ha confermato l'exploitation attivo di CVE-2026-20316, una vulnerabilità nel Secure Firewall Management Center Software causata da credenziali statiche hard-coded per un account low-privilege. La scoperta, pubblicata il 29 luglio 2026 con l'inserimento nel catalogo KEV di CISA, ha costretto l'agenzia federale a impostare una scadenza di remediation al 1° agosto 2026 per le agenzie FCEB. Non esistono workaround completi: l'unica mitigazione è l'applicazione degli hotfix rilasciati per sei versioni del prodotto.
- CVE-2026-20316 ha un CVSS 5.3 ma Cisco ha assegnato Security Impact Rating High per il potenziale di concatenamento con altre vulnerabilità FMC
- Le credenziali statiche permettono accesso remoto non autenticato a un account low-privilege nell'interfaccia web del prodotto
- CISA ha inserito la vulnerabilità nel catalogo KEV il 29 luglio 2026 con scadenza BOD 26-04 fissata al 1° agosto 2026
- Indicatore di compromissione documentato: presenza del file
/var/tmp/license.tmpnei log di sistema, eseguito viapackage_info.plcon privilegi root
Il meccanismo: come una password hard-code apre la console di gestione
La vulnerabilità risiede nella presenza di credenziali statiche per un account con privilegi limitati all'interno dell'interfaccia web di Cisco Secure Firewall Management Center Software. Secondo l'advisory di Cisco citato da The Hacker News: "This vulnerability is due to the presence of static user credentials for a low-privileged account. An attacker could exploit this vulnerability by using the account to log in to an affected system". L'accesso remoto non autenticato permette di visualizzare dati sensibili, con il rischio di escalation qualora l'attaccante concaten l'accesso con altre vulnerabilità presenti nella stessa piattaforma.
Il ricercatore Jimi Sebree di Horizon3.ai ha ricevuto l'accreditamento per la scoperta. La sua analisi ha evidenziato come la presenza di credenziali predefinite in un prodotto di sicurezza enterprise rappresenti una criticità sistemica: la console di gestione dei firewall è il punto di aggregazione delle policy di rete e la sua compromissione espone l'intera architettura di difesa.
CVSS 5.3 contro SIR High: quando il punteggio nasconde il rischio
La discrepanza tra il punteggio CVSS 5.3 e la valutazione Security Impact Rating High di Cisco è il fulcro della lettura tecnica. Il CVSS calcola il rischio sulla base del vettore di attacco in isolamento: accesso rete, complessità bassa, privilegi richiesti low, nessuna interazione utente. Il risultato è un impatto limitato per l'account compromesso. Cisco ha tuttavia spiegato che il rating elevato deriva dal potenziale di concatenamento con altre vulnerabilità nel Secure FMC Software, un pattern che trasforma un accesso low-privilege in escalation privilegi o compromissione totale della piattaforma.
La fonte non conferma che il concatenamento sia avvenuto in exploitation reale. Cisco ha documentato il potenziale tecnico, non la catena di attacco osservata. Questa distinzione è rilevante: le agenzie federali devono agire sulla base del rischio dimostrato (exploitation attivo dell'accesso iniziale) mentre il concatenamento rimane scenario plausibile ma non verificato.
"Cisco PSIRT became aware of active exploitation of this vulnerability this month"
— Cisco, via Help Net Security
La timeline e l'indicatore: exploitation attivo nel luglio 2026
Cisco PSIRT ha avuto conoscenza dell'exploitation attivo nel luglio 2026, con riferimento temporale "earlier this month" rispetto alla disclosure. Il 29 luglio 2026 CISA ha formalizzato la minaccia aggiungendo CVE-2026-20316 al catalogo Known Exploited Vulnerabilities, attivando la Binding Operational Directive 26-04 per le Federal Civilian Executive Branch agencies.
L'indicatore di compromissione è specifico e verificabile: la presenza di /var/tmp/license.tmp nei log di sistema, eseguito attraverso il comando package_info.pl con privilegi root. Questo dettaglio operativo permette alle organizzazioni di effettuare hunting retroattivo nei sistemi FMC, anche in assenza di rilevamento real-time della fase iniziale di accesso. Il dossier non specifica la natura completa delle attività post-exploitation osservate da Cisco.
Cosa fare adesso
- Applicare gli hotfix rilasciati per le versioni 7.0, 7.2, 7.4, 7.6, 7.7 e 10.0 del Secure Firewall Management Center Software: non esistono workaround alternativi
- Eseguire la verifica dell'indicatore
/var/tmp/license.tmpnei log tramitecat /var/log/messages | grep licensee contattare Cisco TAC in caso di riscontro positivo - Ruotare tutte le credenziali utente, chiavi e certificati sul dispositivo FMC, come raccomandato da Cisco in caso di sospetto exploitation attivo
- Le FCEB agencies devono completare la remediation entro il 1° agosto 2026 per conformità al BOD 26-04 di CISA
CISA e la scadenza del 1° agosto: il segnale per il settore privato
L'inserimento nel catalogo KEV con scadenza di remediation di quattro giorni è coerente con la pratica di CISA quando identifica vulnerabilità in sistemi di gestione della sicurezza con exploitation attivo confermato. La BOD 26-04 obbliga le agenzie federali civili ma funge da segnale di priorità per il settore privato, specialmente per le infrastrutture critiche che utilizzano FMC come console di gestione centralizzata.
Il pattern non è nuovo per la piattaforma. Il contesto storico documentato da Help Net Security mostra FMC come target ricorrente, con precedenti campagne come quella del gruppo Interlock sfruttante CVE-2026-20131. La recidività del prodotto come superficie di attacco amplifica la criticità della gestione del patching, in un contesto dove le console di sicurezza diventano esse stesse punto di rottura della catena di difesa.
Domande frequenti
Perché un CVSS 5.3 può essere considerato High da Cisco?
Il CVSS valuta la vulnerabilità in isolamento. Cisco ha assegnato SIR High perché l'accesso low-privilege può concatenarsi con altre vulnerabilità FMC per escalation, trasformando un impatto limitato in compromissione totale della piattaforma.
Secure Firewall Threat Defense Software è vulnerabile?
No. Il dossier specifica che il prodotto non impattato è il Threat Defense Software; la vulnerabilità interessa esclusivamente il Management Center Software.
Cosa accade se non trovo l'indicatore /var/tmp/license.tmp?
L'assenza dell'IoC non esclude compromissione: la fonte documenta l'indicatore come evidenza di exploitation ma non afferma che rappresenti l'unica traccia lasciata dall'attaccante.
Fonti
- https://www.xion.it/news/2026-07-30-cisco-fmc-zero-day-patch-urgenti/
- https://www.helpnetsecurity.com/2026/07/30/cisco-fmc-cve-2026-20316-exploited/
- https://thehackernews.com/2026/07/cisco-fmc-zero-day-actively-exploited.html
- https://www.cisa.gov/news-events/alerts/2026/07/29/cisa-adds-one-known-exploited-vulnerability-catalog
- https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-fmc-rce-NKhnULJh
- https://www.helpnetsecurity.com/2026/03/20/cisco-fmc-interlock-ransomware-cve-2026-20131/
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.