Cisco Secure FMC認証バイパス、悪用の公表より42日早く出ていたIOC

2026年9月9日、CiscoはSecure Firewall Management Center（FMC）の認証バイパス脆弱性CVE-2026-20079のアドバイザリを更新し、2026年8月に実際の悪用を把握したと明記した[1]。CVSSは最高値の10.0で、最初の公表は3月4日である[1]。攻撃がいつ始まったかは公表されていない[2]。一方、同じアドバイザリには7月29日の改訂で侵害の痕跡（IOC）とホットフィックスが追加されていた[1][2]。悪用の明記より42日早いが、この時点では悪用に触れておらず[3]、CISAがKEVに追加したのも9月9日だった[4]。ホットフィックスは既存の侵害には対処できない場合があり[1]、パッチとは別に侵害の有無を確かめる作業が要る。

予備知識

• FMC（Firewall Management Center）: 複数台のCiscoファイアウォールをまとめて管理するサーバー。オンプレミス版とクラウド提供版がある
• 認証バイパス: ログイン認証を経ずに管理機能を操作されてしまう不具合
• CVSS: 脆弱性の深刻度を0〜10の数値で表す指標。10.0が最高値
• IOC（侵害の痕跡）: 攻撃を受けたかどうかを判断する手がかり。ログに残る特定の文字列など
• CISA KEV: 米CISA（サイバーセキュリティ・インフラストラクチャセキュリティ庁）が、実際の悪用を確認した脆弱性を載せるカタログ。米連邦機関には是正期限が課される

出版社の紹介では、シスコシステムズのCSIRTが蓄積したセキュリティ監視とインシデント対応の基本アプローチをまとめた一冊とされる（2018年刊）。

実践 CSIRTプレイブック セキュリティ監視とインシデント対応の基本計画

created by Rinker

• Amazon
• 楽天市場
• Yahooショッピング
• メルカリ

3月の公表から9月の悪用明記まで、アドバイザリの改訂を追う

CVE-2026-20079は、Ciscoが社内のセキュリティテストで見つけた脆弱性である[1]。3月4日にASA・FMC・FTDの半期ごとの一括公開の一部として公表され、当時Ciscoは悪用の証拠はないと説明していた[2]。同じ一括公開には、FMCのもう1つのCVSS 10.0の脆弱性CVE-2026-20131も含まれていた[5]。こちらは3月19日にKEVに追加された[4]。SecurityWeekは、20131と後述の20316をゼロデイとして悪用されたFMCの脆弱性と報じている[3]。3月26日には、VulnCheckが20079の技術分析を公開し、実際に動く攻撃コードを作れたと報告した（コードは同社の顧客向け）[6]。

7月29日、同じFMCの別の脆弱性CVE-2026-20316が、悪用を把握したとの記載付きで公表され、同日KEVに追加された[7][4]。同じ7月29日、20079のアドバイザリも改訂され、バグIDの追加とあわせてIOCとブランチごとのホットフィックスが載った[1][2]。IOCの例として示されたログの日付は7月23日である[1]。IOCの内容とホットフィックスのファイル名は、20316のアドバイザリと同じだった[1][2][7]。SecurityWeekは、この時点でCiscoが悪用を明示的に警告しなかったと指摘している[3]。BleepingComputerは当時、20079も悪用されたのかをCiscoに問い合わせたが、直接の回答はなかった[2]。

その後、Cisco PSIRT（製品セキュリティインシデント対応チーム）は8月に悪用を把握し、9月9日の改訂でそれを明記した[1]。8月下旬には、第三者が再現したPoC（概念実証コード）がGitHubで公開され、Full Disclosureメーリングリストでも告知されていた[8]。

CVEごとの悪用の明記やKEV入りを対応の起点にしていた場合、20079が対応の対象に上がったのは9月9日である。製品単位で見れば、3月には20131がKEVに入り、7月29日には20316の悪用が明記され、同じ日には20079にもIOCとホットフィックスが載っていた。

副題のとおり、Webアプリケーションの脆弱性が生まれる原理と対策を扱う。認証やセッション管理の不備を考える手がかりになる。

体系的に学ぶ 安全なWebアプリケーションの作り方 第2版 脆弱性が生まれる原理と対策の実践

created by Rinker

• Amazon
• 楽天市場
• Yahooショッピング
• メルカリ

脆弱性の仕組み、起動直後に残るセッションが入口になる

Ciscoによると、原因は起動時に作られる不適切なシステムプロセスで、細工したHTTPリクエストを送られると、認証なしでスクリプトを実行されroot権限を取られる[1]。VulnCheckの分析では、起動処理の過程でcsm_processesというセッションがsfsnort.sessionsデータベースに固定のセッションIDで作られる[6]。起動後に誰もログインしなければこのセッションが残り、攻撃者はこれを足がかりに権限を引き上げられる[6]。同社の検証では、最後に/var/tmp/license.tmpへ書き込んだスクリプトを更新処理としてroot権限で実行させた[6]。アドバイザリのIOCも、このファイル名を手がかりにしている[1]。

悪用には前提がある。VulnCheckによると、認証済みのユーザーがダッシュボードなどを操作すると古いセッションは消え、次に再起動するまで悪用できない。悪用できるのは起動直後か、Web UIがあまり操作されない機器にほぼ限られるという[6]。管理者が画面を開かないまま長く動いているFMCほど、条件を満たしやすい。同社は3月時点で、インターネットから到達できるFMCをCensysで約300台、FOFAで600〜700台と数えている[6]。

影響を受けるのはオンプレミス版FMCで、設定にかかわらず対象になる[1]。クラウド提供のSecurity Cloud Control（SCC）のFirewall Managementも対象だったが、Cisco側で修正済みで、利用者の作業は要らない[1]。

KEVと3日ルール

CISA新指令BOD26-04、パッチ管理を変える3日ルール

数千台規模のサーバー・ネットワーク機器を抱え、脆弱性のパッチ適用可否をCVSS（共通脆弱性評価システム）スコアと担当者の経験則で判断し、独自の稟議フローで運用する企業のセキュリティ部門担当者にとって、2026年6月の米国CISA（Cybe[…]

3つの攻撃クラスターと、CVSS 5.3のCVE-2026-20316

Cisco Talosは、FMCへの侵入後の活動を3つのクラスターに分けて公表した[9]。使われた脆弱性はクラスターごとに異なる。

CVE-2026-20316は、低権限アカウントの固定認証情報が残っていた脆弱性で、CVSSは5.3にとどまる[7]。それでもCiscoは、他のFMCの脆弱性と組み合わせて権限昇格に使えるとして、深刻度の評価を点数どおりのMediumではなくHighにした[7]。7月29日に悪用を把握したとの記載付きで公表され、CISAも同日KEVに追加した[7][4]。

🛡️We added Cisco Secure Firewall Management Center use of hard-coded password vulnerability CVE-2026-20316 to our KEV Catalog. Visit & apply mitigations to protect your org from cyberattacks. #Cybersecurity #InfoSec

— CISA Cyber (@CISACyber) 元投稿を見る

Talosによると、UAT-11988は固定認証情報でログインしたあと、FMCに元からあるpackage_info.plを使い、細工したlicense.tmpをroot権限で実行した[9]。UAT-11823も同じ仕組みを使っており、Talosはこの手口を20316の悪用の痕跡とみている[9]。KEVでは、ランサムウェアでの使用が20316は既知、20079は不明とされている[4]。

CVSSの点数だけを見ると20316は中程度だが、実際には20079と同じroot権限での実行に行き着いている。点数だけで優先度を決めるのは危うい。

Cisco製品の緊急パッチ判断

Cisco ASA/FTD VPNの回避策なしDoS脆弱性、パッチ適用の緊急度判断

拠点間VPNや在宅勤務者のリモートアクセスVPNにCisco Secure Firewall ASA/FTDを使い、運用保守をSIerに委託している数百人から数万人規模の企業のネットワーク担当者は、今回の脆弱性への対応を後回しにできない。[…]

今すぐの対応、IOCの確認とホットフィックス

ホットフィックスは7.0、7.2、7.4、7.6、7.7、10.0の各ブランチ向けに出ており、回避策はない[1]。ファイルは20316と共通で、ブランチごとのファイル名がアドバイザリに載っている[1][7]。

あわせて侵害の有無を確かめる。アドバイザリは、エキスパートモードでzgrep "package_info.*license" /var/log/messages*を実行し、出力に/var/tmp/license.tmpを含むログがあれば悪用された可能性があるとしている[1]。痕跡があればすぐCiscoのTAC（技術支援センター）に連絡し、復旧はTACの指示に従う[1]。アドバイザリは、ホットフィックスは今後の悪用を防ぐためのもので、既存の侵害には対処できない場合があると明記している[1]。CISAもKEVで、20079を米連邦機関にフォレンジックによるトリアージを求める対象にしている[4]。

Talosは検知用のSnortシグネチャ（20079向けはSID 66075〜66080、20316向けは66883）を示し、ハッシュ値や攻撃元IPアドレスなどのIOCをGitHubで公開している[9]。

Talosによると、Ciscoはホットフィックスと社内で見つかった他の脆弱性の修正をまとめた強化リリースを9月中旬に出す予定で、それまでもホットフィックスをすぐ当てるよう求めている[9]。管理画面がインターネットから到達できない構成なら、攻撃を受ける範囲は狭まる[1]。9月12日という期限は米連邦機関向けのものだが、攻撃の条件は民間の機器でも変わらない。

日本語の情報源に載ったのは9月11日

日本語の脆弱性データベースJVN iPediaへの登録は9月11日で、KEV追加の2日後だった[10]。JPCERT/CCの注意喚起とIPAの重要なセキュリティ情報には、9月11日時点で本件の掲載はない。どちらも2026年4月に、同じCiscoのファイアウォール製品であるASAとFTDの脆弱性（CVE-2025-20333等）では注意喚起を更新している[11][12]。

日本語の注意喚起を起点に動く運用では、この件は拾えなかった。FMCを使っているなら、Ciscoのアドバイザリの改訂履歴とKEVを直接追う必要がある。Ciscoはアドバイザリの更新通知を購読する手段を用意している[1]。

まとめ

CVE-2026-20079では、悪用の明記より42日早く、7月29日の改訂でIOCとホットフィックスが載っていた。対象ブランチのFMCを運用しているなら、まずアドバイザリのコマンドで痕跡を確かめ、痕跡があればホットフィックスで済ませずにTACへ連絡する。痕跡がなければホットフィックスを当て、9月中旬の強化リリースに備える。管理画面がインターネットから到達できるなら、あわせて遮断する。以後はFMCについて、CVEごとの悪用の明記を待たず、アドバイザリの改訂でIOCやホットフィックスが追加された時点を対応の起点にする。

よくある質問（FAQ）

Q1. CVE-2026-20079はどんな脆弱性ですか。
Cisco Secure FMCのWebインターフェースで認証をバイパスし、root権限でスクリプトやコマンドを実行できる脆弱性である。CVSSは最高値の10.0である。

Q2. いつから悪用されていますか。
攻撃が始まった時期は公表されていない。Cisco PSIRTが悪用を把握したのは2026年8月で、公表は9月9日である。7月29日に追加されたIOCの例のログは7月23日付だった。

Q3. ホットフィックスを当てれば安全ですか。
今後の悪用は防げるが、既存の侵害には対処できない場合があるとCiscoは明記している。エキスパートモードでzgrep "package_info.*license" /var/log/messages*を実行し、/var/tmp/license.tmpを含むログがあればTACに連絡する。9月中旬には、ホットフィックスと他の脆弱性の修正をまとめた強化リリースが出る予定である。

出典