Cisco ha confermato lo sfruttamento attivo della vulnerabilità CVE-2026-20079, una vulnerabilità critica che consente di aggirare l'autenticazione e che interessa il software Cisco Secure Firewall Management Center (FMC). La vulnerabilità presenta il punteggio CVSS massimo di 10,0 e consente ad aggressori remoti non autenticati di aggirare l'autenticazione ed eseguire script e comandi con privilegi di root sui sistemi vulnerabili.

La vulnerabilità era stata originariamente resa nota nel marzo 2026 senza prove di sfruttamento. Il 9 settembre 2026, Cisco ha aggiornato la propria nota informativa per confermare che il proprio Product Security Incident Response Team (PSIRT) era venuto a conoscenza di uno sfruttamento attivo nel mese di agosto 2026.

A causa dello sfruttamento confermato e dell’accesso privilegiato disponibile in caso di compromissione, le organizzazioni che utilizzano Cisco FMC dovrebbero dare priorità immediata alla risoluzione del problema.

CVE-2026-20079

Descrizione: Bypass dell’autenticazione
Punteggio CVSS: 10,0 (Critico)
Vettore di attacco: remoto, senza autenticazione

La vulnerabilità è presente nell’interfaccia web del software Cisco Secure Firewall Management Center ed è causata da un processo di sistema improprio creato durante l’avvio del sistema. Un malintenzionato può sfruttare la vulnerabilità inviando richieste HTTP appositamente modificate a un dispositivo vulnerabile. Lo sfruttamento riuscito consente l’esecuzione di script e comandi con privilegi di livello root sul sistema operativo sottostante.

Cisco dichiara che la vulnerabilità interessa:

• Software Cisco Secure FMC
• Gestione firewall Cisco Security Cloud Control

Cisco ha già implementato le correzioni sul servizio Security Cloud Control ospitato nel cloud

Sfruttamento attivo confermato

Cisco ha confermato che è stato osservato uno sfruttamento attivo della vulnerabilità CVE-2026-20079 e ha aggiornato di conseguenza la propria nota informativa. Il fornitore non ha rivelato quando siano iniziati gli attacchi, né l’identità degli autori delle minacce coinvolti, né i dettagli delle attività successive alla compromissione.

L’Agenzia statunitense per la sicurezza informatica e delle infrastrutture (CISA) ha aggiunto la vulnerabilità CVE-2026-20079 al proprio catalogo delle vulnerabilità note soggette a sfruttamento (KEV) e ha ordinato alle agenzie federali statunitensi di correggere i sistemi interessati entro il 12 settembre 2026.

Misure di mitigazione e correzione

Azioni immediate

1. Identificare tutte le implementazioni di Cisco Secure FMC.
2. Aggiornare i sistemi vulnerabili alle versioni software corrette da Cisco.
3. Verificare che le implementazioni di Security Cloud Control gestite nel cloud funzionino su un’infrastruttura aggiornata con le patch fornite da Cisco.
4. Esaminare i sistemi FMC alla ricerca di indicatori di compromissione.
5. Eseguire attività di pulizia delle credenziali se si sospetta una compromissione.

Cisco ha dichiarato che non sono disponibili soluzioni alternative per questa vulnerabilità. L'applicazione delle patch fornite dal produttore rappresenta la strategia di mitigazione principale.

Inoltre, l’applicazione delle patch previene futuri sfruttamenti della vulnerabilità, ma non ripara i sistemi che potrebbero essere già stati compromessi. Le organizzazioni che individuano indicatori di compromissione dovrebbero condurre indagini di risposta agli incidenti e rivolgersi all’assistenza Cisco, se del caso.

Se siete preoccupati per una qualsiasi delle minacce descritte in questo bollettino o avete bisogno di aiuto per determinare quali misure adottare per proteggervi dalle minacce più rilevanti che la vostra organizzazione deve affrontare, contattate il vostro account manager o, in alternativa, mettetevi in contatto con noi per scoprire come proteggere la vostra organizzazione.