Cisco Secure Firewall Management Center CVE-2026-20316: credenziali statiche sfruttate come zero-day, già in KEV

Un account preconfigurato con password immutabile dentro il software che amministra i firewall: la CVE-2026-20316 riguarda l'interfaccia web di Cisco Secure Firewall Management Center (FMC) ed è un caso da manuale di use of hard-coded password (CWE-259). Le credenziali statiche appartengono a un'utenza a privilegi limitati, ma sono valide su tutti i sistemi affetti a prescindere dalla configurazione: chi le conosce può autenticarsi da remoto senza alcuna credenziale legittima e consultare informazioni sensibili sulla console di gestione. Il punteggio CVSS di base è 5.3, quello riportato anche da ACN, ma Cisco ha assegnato alla falla un Security Impact Rating "alto" perché concatenabile con altre debolezze dello stesso prodotto per elevare i privilegi, e parte delle analisi indipendenti la valutano fino a 8.9: la divergenza riflette due modi di misurare la stessa cosa, l'accesso iniziale isolato oppure la catena completa.

La scoperta è del team di attack research di Horizon3.ai, ma lo sfruttamento è arrivato prima della patch. Cisco PSIRT ha rilevato attacchi in corso a luglio 2026, quando nessuna correzione era disponibile, e ha pubblicato advisory e hot fix il 30 luglio; la CISA aveva già inserito la vulnerabilità nel catalogo KEV il 29 luglio, imponendo alle agenzie federali una scadenza di remediation al 1° agosto, tre giorni, una delle finestre più strette viste quest'anno e una misura indiretta di quanto l'accesso sia considerato banale. ACN ha emesso l'alert AL04/260730 il 30 luglio, classificandolo esplicitamente con il tag "Exploited".

La sequenza continua un filone che nell'ultimo anno ha attraversato questo bollettino con insistenza: Catalyst SD-WAN, vManage due volte, Unified CM, la campagna ArcaneDoor sugli ASA/FTD con la backdoor FIRESTARTER. Qui però il bersaglio è il piano di gestione, cioè il sistema che detiene politiche, log e configurazioni dell'intero parco firewall: la logica è la stessa vista poche settimane fa con il management server di Check Point. A doversene preoccupare è chi ha un'appliance FMC on-premise raggiungibile dalla rete di gestione; restano fuori le FMC cloud-delivered, il Firewall Device Manager, gli ASA, i Threat Defense e Security Cloud Control. Non esistono workaround, e Cisco raccomanda, in caso di sospetta compromissione, di ruotare tutte le credenziali, le chiavi e i certificati gestiti dall'appliance.

• Versioni affette: Cisco Secure Firewall Management Center 7.0, 7.2, 7.3, 7.4, 7.6, 7.7 e 10.0 (hot fix disponibili per le release 7.0, 7.2, 7.4, 7.6, 7.7 e 10.0); non affetti Cloud-Delivered FMC, Firewall Device Manager, Secure Firewall ASA, Secure Firewall Threat Defense e Security Cloud Control.
• Azione raccomandata: installare immediatamente l'hot fix Cisco corrispondente alla propria release, dato che non esistono soluzioni alternative; verificare i log di accesso all'interfaccia web per autenticazioni riconducibili all'account statico e cercare l'indicatore di compromissione segnalato dal vendor, ossia l'esecuzione di package_info.pl con riferimento a /var/tmp/license.tmp; in caso di sospetta compromissione, contattare il TAC Cisco e ruotare credenziali, chiavi crittografiche e certificati gestiti dall'FMC; limitare l'esposizione in rete dell'interfaccia di gestione.
   

Fonti: ACN, Horizon3.ai, CISA, Help Net Security