OWN NEWS GATHER
← 戻る
The Hacker News

Cisco「Secure FMC」のゼロデイ脆弱性を突く攻撃が判明、CISAが警告リストに追加

要点

  • 米CISAは、シスコのファイアウォール管理ソフト「Secure FMC」のゼロデイ脆弱性（CVE-2026-20316）について、悪用が確認されたとして警告リストに追加した。

  • 本脆弱性は低権限アカウントに固定の資格情報が存在することに起因し、遠隔の攻撃者による不正ログインを許す危険性がある。

  • シスコは他の脆弱性と組み合わせて権限昇格に繋がる恐れがあるとして、本件の深刻度を「高」に設定している。

  • 対象となる各バージョン向けのホットフィックスが公開されており、簡易的な確認コマンドによる影響調査も可能となっている。

  • 別の重大な脆弱性（CVE-2026-20079）との関連性も示唆されており、両者を組み合わせた制御権の奪取への懸念も浮上している。

  • 米サイバーセキュリティ・インフラセキュリティ庁（CISA）は2026年7月29日、シスコシステムズのファイアウォール管理ソフトウェア「Cisco Secure Firewall Management Center (FMC)」に存在するゼロデイ脆弱性を「既知の悪用された脆弱性（KEV）」カタログに追加した。この脆弱性は、すでに修正用プログラムが提供される前に攻撃に悪用される「ゼロデイ攻撃」の対象となっていたことが明らかになっている。認証されていない遠隔の攻撃者がデバイスへ侵入し、機密データを不正に取得するリスクがあるという。

固定の資格情報がもたらす不正アクセスのリスク

今回追加された脆弱性「CVE-2026-20316」は、共通脆弱性評価システム（CVSS）の深刻度スコアで5.3と評価されている。CVSSとは、セキュリティ脆弱性の深刻度を示す世界的な評価基準である。

シスコの発表によると、この脆弱性は「Secure FMC」に設定された低権限アカウント用の「静的な資格情報（固定のユーザー名やパスワードなど）」が存在することに起因する。遠隔の攻撃者はこれを利用してデバイスにログインし、低権限ユーザーとして機密情報にアクセスすることが可能になるという。

通常、管理インターフェースがパブリックインターネットに接続されていなければ攻撃に晒される「攻撃サーフェス」は減少する。しかし、シスコはこの脆弱性の影響評価を「中」ではなく「高」に引き上げている。他の脆弱性と組み合わせることで、攻撃者がシステム内の権限を昇格させることが可能になるためだ。

発見の背景とゼロデイ攻撃の検出

本脆弱性は、セキュリティ企業Horizon3.aiの調査員ジミ・セブリー（Jimi Sebree）氏によって発見され、シスコに報告された。シスコは2026年7月初頭にこの脆弱性がアクティブに悪用されたことを認めているが、具体的な攻撃元や悪用された手口などの詳細は明らかにしていない。

公開された対策と侵害の痕跡を確認する方法

シスコは影響を受ける以下のバージョンに対して、ホットフィックス（緊急の修正プログラム）を公開し、速やかな適用を促している。

  • バージョン7.0：Cisco_Firepower_Mgmt_Center_Hotfix_GB-7.0.9.1-3.sh.REL.tar
  • バージョン7.2：Cisco_Secure_FW_Mgmt_Center_Hotfix_HL-7.2.11.1-4.sh.REL.tar
  • バージョン7.4：Cisco_Secure_FW_Mgmt_Center_Hotfix_HG-7.4.7.1-3.sh.REL.tar
  • バージョン7.6：Cisco_Secure_FW_Mgmt_Center_Hotfix_CY-7.6.5.1-2.sh.REL.tar
  • バージョン7.7：Cisco_Secure_FW_Mgmt_Center_Hotfix_AM-7.7.12.1-2.sh.REL.tar
  • バージョン10.0：Cisco_Secure_FW_Mgmt_Center_Hotfix_P-10.0.1.1-2.sh.REL.tar

また、自身のシステムがすでに侵入されているか（侵害の痕跡）を確認する手段として、コマンドラインのエキスパートモードで cat /var/log/messages | grep license を実行することを推奨している。もし実行結果に /var/tmp/license.tmp というパスが含まれていた場合、すでに本脆弱性が悪用された疑いがある。

シスコが例示した出力結果は以下の通りである。

root@firepower:/home/admin# cat /var/log/messages | grep license
Jul 23 16:16:33 firepower sudo:      www : PWD=/ ; USER=root ; COMMAND=/usr/local/sf/bin/package_info.pl /var/tmp/license.tmp --lsm

別の重大な脆弱性と連鎖する危険性

さらにシスコは、Secure FMCに影響を与える別の深刻な脆弱性「CVE-2026-20079」（CVSSスコア10.0）のアドバイザリも同時に更新した。更新では新しいバグID「CSCwt95974」が追加され、上記と同じ侵害の痕跡とホットフィックスが案内されている。

CVE-2026-20079は、任意のスクリプトを実行して最上位の管理者権限（root権限）を奪取できる極めて深刻な認証回避の欠陥である。現時点でこの脆弱性の悪用は確認されていないが、同じ痕跡（license.tmp）が関与していることから、攻撃者が今回のCVE-2026-20316で低権限ログインを行った後、CVE-2026-20079を連鎖させてシステム全体を乗っ取るという、多段階の攻撃シナリオが危惧されている。

連邦政府機関への適用勧告

アクティブな悪用が確認されたため、CISAは米国連邦政府の民間行政機関（FCEB）に対し、2026年8月1日までに修正プログラムを適用するよう勧告している。一般企業や組織においても、早急なパッチ適用が必要とされる。

元URL