Cisco Secure Firewall Management Center CVE-2026-20131: il ransomware Interlock la usava 36 giorni prima della divulgazione
Il dato che cambia la lettura di questa vulnerabilità è di intelligence, non di analisi tecnica: il gruppo ransomware Interlock sfruttava la CVE-2026-20131 come zero-day dal 26 gennaio 2026, trentasei giorni prima che Cisco la divulgasse il 4 marzo. L'aggiornamento dell'alert ACN AL02/260304 del 10 settembre porta ora in evidenza due falle sull'interfaccia web di gestione di Cisco Secure Firewall Management Center, entrambe con punteggio CVSS v3.1 pari a 10.0. La CVE-2026-20131 è una deserializzazione insicura dell'input: un attaccante remoto non autenticato che invii un oggetto Java predisposto esegue codice arbitrario con privilegi root. La CVE-2026-20079 nasce dalla creazione, in fase di avvio, di un processo di sistema improprio, e consente a un attaccante remoto non autenticato di far eseguire comandi e script che portano anch'essi ai privilegi di root. Per entrambe la tabella CVE di ACN registra sia la prova di concetto pubblica sia lo sfruttamento in rete.
Nel nostro bollettino del 3 agosto avevamo trattato la CVE-2026-20316, sempre su Secure Firewall Management Center, un caso di credenziali statiche con CVSS 5.3 sfruttato come zero-day. Il confronto è istruttivo e non è un doppione: allora l'accesso iniziale era a privilegi limitati e la gravità nasceva dalla concatenabilità, qui si ottiene root direttamente e senza credenziali. La stessa console di gestione ha prodotto in poche settimane tre vulnerabilità sfruttate in rete, e la componente rimane la medesima, l'interfaccia web di amministrazione.
L'FMC è il piano di controllo dell'intero parco firewall: detiene politiche, regole, log e configurazioni di tutti gli apparati gestiti, quindi una compromissione qui investe l'intera postura di sicurezza perimetrale, con la possibilità di alterare le regole e di cancellare le tracce. Il coinvolgimento di un gruppo ransomware in fase di accesso iniziale conferma che l'obiettivo è la monetizzazione rapida più dello spionaggio, e allinea questo caso al filone di attacchi alle appliance perimetrali che questo bollettino segue da mesi su Cisco, Fortinet, Check Point, SonicWall e Citrix. A doversene preoccupare è chi ha un FMC on-premise con interfaccia web raggiungibile oltre la rete di gestione; restano fuori le installazioni gestite da Security Cloud Control, che si aggiornano automaticamente.
- Versioni affette: Cisco Secure Firewall Management Center (FMC) Software; l'alert comprende anche Secure Firewall Adaptive Security Appliance Software e Secure Firewall Threat Defense Software per altre vulnerabilità del lotto. Security Cloud Control Firewall Management è aggiornato automaticamente e non richiede intervento. Le versioni interessate variano per singola CVE e vanno verificate sui bollettini del vendor.
- Azione raccomandata: applicare gli aggiornamenti Cisco per il proprio ramo con priorità massima, dato che entrambe le falle portano a root senza autenticazione; rimuovere qualunque esposizione dell'interfaccia web di gestione verso reti non amministrative; considerando che lo sfruttamento precede di oltre un mese la divulgazione, condurre una verifica retrospettiva su accessi, modifiche alle policy e creazione di utenze a partire da gennaio 2026, e in caso di sospetta compromissione ruotare credenziali, chiavi e certificati gestiti dall'appliance coinvolgendo il TAC Cisco.
Fonti: ACN, Horizon3.ai, Zscaler, SecurityWeek