Luka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Ten alert jest dla zarządu, CTO i CFO firm, które zarządzają firewallami Cisco przez konsolę Cisco Secure Firewall Management Center (FMC) zainstalowaną u siebie. Werdykt: jeśli FMC nie ma wydania z poprawką, zaktualizuj ją NATYCHMIAST i sprawdź, czy nie doszło do włamania, bo luka ma najwyższą ocenę 10.0, a Cisco i CISA potwierdzają ataki.
Amerykańska agencja CISA 9 września 2026 roku dopisała CVE-2026-20079 do katalogu KEV, czyli listy podatności wykorzystywanych w prawdziwych atakach, i dała agencjom federalnym tylko trzy dni na naprawę. Luka pozwala osobie z sieci, bez żadnego hasła, ominąć logowanie do konsoli FMC i przejąć ją z pełnymi uprawnieniami systemowymi (root).
FMC to centralna konsola, z której administratorzy zarządzają firewallami w całej firmie. Przejęcie jej daje napastnikowi wgląd w konfigurację ochrony sieci i punkt wyjścia do dalszych działań. Cisco wydało pierwszą poprawkę 4 marca 2026 roku, o atakach dowiedziało się w sierpniu 2026 roku, a 16 września opublikowało wydania utwardzające, które zastąpiły wcześniejsze poprawki doraźne.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-20079 |
Data dodania do CISA KEV | 2026-09-09 |
Termin naprawy wg CISA | 2026-09-12 |
Produkt | Cisco Secure Firewall Management Center (FMC) instalowane u klienta oraz Cisco Security Cloud Control (SCC) Firewall Management |
Wersje zagrożone | Wg NVD: FMC z gałęzi 7.0, 7.1, 7.2, 7.3, 7.4, 7.6, 7.7 oraz 10.0.0 i 10.0.1. Wg Cisco niezależnie od konfiguracji. Nie dotyczy: FDM, ASA, FTD i samego SCC. Usługę chmurową SCC Firewall Management Cisco załatało samo |
Wersje bezpieczne | Wg Cisco pierwsze wydania z poprawką: 7.0.10 (dla 7.0 i starszych), 7.2.12, 7.4.8, 7.6.6, 7.7.13, 10.0.2, 10.1.0. Dla gałęzi 7.1 i 7.3 Cisco nie podaje osobnego wydania, trzeba przejść na wspieraną gałąź |
Typ podatności | Obejście uwierzytelniania alternatywną ścieżką, prowadzące do przejęcia systemu; CWE-288 |
Ocena CVSS | 10.0 KRYTYCZNA (CVSS 3.1, Cisco; NVD przytacza ocenę Cisco). Atak przez sieć, bez uprawnień, bez udziału użytkownika |
Wyobraź sobie centrum dowodzenia ochroną budynku, z którego steruje się wszystkimi bramkami i kamerami. Tuż po każdym uruchomieniu systemu zostaje w nim otwarte konto techniczne, o którym nikt nie pamięta. Ktoś, kto o nim wie, siada przy pulpicie bez przepustki i może przestawić każdą bramkę.
Tak działa ta luka. Konsola FMC ma błąd w procesie tworzonym przy starcie systemu, który pozwala ominąć logowanie. VulnCheck, który zbudował działający exploit, zwraca uwagę, że atak ma istotne warunki wstępne, ale publiczny kod jest dostępny od sierpnia 2026 roku, a ataki są potwierdzone.
💡 FMC (Firewall Management Center) to konsola do centralnego zarządzania firewallami Cisco. Root to najwyższy poziom uprawnień w systemie urządzenia. Wydanie utwardzające to wersja oprogramowania z kompletem poprawek bezpieczeństwa. Wskaźniki włamania (IoC) to ślady w systemie świadczące, że luka mogła zostać wykorzystana.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Dostęp do konsoli FMC | Tylko po zalogowaniu administratora | Bez hasła, przez sieć |
Konfiguracja firewalli | Widoczna dla uprawnionych osób | Może zostać wykradziona |
Hasła użytkowników konsoli | Chronione w bazie | Mogą zostać odczytane |
Kontrola nad urządzeniem | Zespół IT | Napastnik z uprawnieniami root |
źródło: wygenerowane przez AIPoniżej typowy przebieg ataku dla tej klasy podatności, zgodny z ogólnym opisem działań grup śledzonych przez Cisco Talos. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wyszukanie celów | T+0 | Skanowanie internetu w poszukiwaniu konsol FMC | Lista dostępnych konsol |
2. Ominięcie logowania | T+minuty | Wykorzystanie CVE-2026-20079 | Uprawnienia root na konsoli |
3. Utrwalenie | T+minuty do godzin | Ukryty panel sterowania lub złośliwe oprogramowanie | Stały dostęp |
4. Kradzież danych | T+godziny | Odczyt haseł i konfiguracji zarządzanych firewalli | Wiedza o obronie sieci |
5. Dalszy atak | T+dni | Rozpoznanie sieci, kolejne przejęte konta | Szpiegostwo lub przygotowanie ransomware |
Konsola firewalli to jedno z najbardziej wrażliwych miejsc w sieci firmy. Kto ją kontroluje, zna reguły ochrony, hasła administratorów i mapę sieci. Talos wiąże ataki na FMC zarówno z grupami państwowymi, jak i przestępczymi.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Odbudowa konsoli, przegląd reguł firewalli, możliwy przestój sieci | Godziny do dni | 30 tys. do 250 tys. PLN (odbudowa, przestój) |
Bezpieczeństwo danych | Kradzież haseł, konfiguracji i danych z sieci | Godziny do tygodni | 50 tys. do 300 tys. PLN (analiza powłamaniowa) |
Finansowy | Okup w razie ransomware, koszty zewnętrznych specjalistów | Tygodnie | 100 tys. do 1 mln PLN łącznie |
Reputacyjny | Informacja o włamaniu dla klientów i partnerów | Miesiące | 50 tys. do 400 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (obsługa prawna), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla konsoli Cisco FMC bez poprawki
Wpływ
5 | . . . . ■ ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest maksymalny, bo napastnik bez hasła przejmuje konsolę sterującą ochroną sieci; prawdopodobieństwo jest najwyższe, bo ataki są potwierdzone, a kod exploita jest publiczny. Jeśli konsola nie jest dostępna z internetu, prawdopodobieństwo spada, ale nie znika.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić wersję każdej konsoli FMC i to, czy jej interfejs jest dostępny z internetu | Dziś | Administrator sieci |
2 | 🔴 NATYCHMIAST | Odciąć dostęp do interfejsu zarządzania FMC z internetu, zostawiając tylko sieć administracyjną | Dziś | Administrator sieci |
3 | 🔴 NATYCHMIAST | Wykonać sprawdzenie wskaźników włamania opisane w biuletynie Cisco | Dziś | Administrator sieci |
4 | 🔴 NATYCHMIAST | Zainstalować wydanie z poprawką (7.0.10, 7.2.12, 7.4.8, 7.6.6, 7.7.13, 10.0.2 lub 10.1.0) | Dziś | Administrator sieci |
5 | 🟠 PILNIE | Przy śladach włamania zgłosić sprawę do Cisco TAC i nie ograniczać się do aktualizacji | Do 24 godzin | CTO |
6 | 🟠 PILNIE | Zmienić hasła kont konsoli i kont, których dane mogły być na niej zapisane | Do 3 dni | Administrator sieci |
7 | 🟡 WAŻNIE | Zaplanować migrację konsol z gałęzi 7.1 i 7.3 na wspieraną gałąź | Do 30 dni | CTO |
Cisco wydało poprawki i podaje, że nie ma obejścia. Ograniczenie dostępu do interfejsu zarządzania jedynie zmniejsza powierzchnię ataku. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Odcięcie interfejsu FMC od internetu, dostęp tylko z sieci administracyjnej lub przez VPN | Wysoka wobec ataków z internetu, nie chroni przed napastnikiem w sieci | Łatwa do średniej |
Monitorowanie połączeń do konsoli i alarm przy logowaniach spoza sieci administracyjnej | Średnia | Średnia |
Regularne sprawdzanie wskaźników włamania z biuletynu | Średnia: wykrywa, nie zapobiega | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Dostęp do konsoli FMC | Możliwy bez hasła, także z internetu | Tylko z sieci administracyjnej, luka usunięta |
Wiedza o włamaniu | Brak sprawdzenia | Wskaźniki włamania sprawdzone |
Hasła administratorów | Mogły zostać wykradzione | Zmienione |
Wersja oprogramowania | Poprawka doraźna lub brak | Wydanie utwardzające Cisco |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); Cisco dowiedziało się o atakach w sierpniu 2026 |
Grupy przestępcze | Wg Cisco Talos: UAT-12197 (kradzież danych logowania), UAT-11823 (grupa APT pokrywająca się narzędziami z Sandworm) |
Kampanie ransomware | Brak potwierdzenia dla tej luki (CISA: Unknown); Talos opisuje operatora Qilin, który wszedł na FMC przez powiązaną lukę CVE-2026-20316 |
Ocena CVSS | 10.0 KRYTYCZNA (Cisco, CVSS 3.1) |
PoC dostępny publicznie? | TAK: publiczny kod ogłoszony 20 sierpnia 2026 na liście Full Disclosure; VulnCheck opisał własny exploit w marcu 2026 |
Liczba atakowanych firm | Brak publicznych informacji; VulnCheck szacował w marcu 2026 około 300 (Censys) do 600-700 (FOFA) konsol widocznych w internecie |
Ocena CISA | Aktywne wykorzystanie, atak możliwy do automatyzacji, pełny wpływ; wymagany triaż śledczy |
Sygnały zagrożenia dla CVE-2026-20079
CVSS 3.1 (Cisco) 10.0 ████████████████████ KRYTYCZNA
Automatyzacja (CISA) TAK ████████████████████ masowe skanowanie
Publiczny exploit TAK ████████████████████ od sierpnia 2026
CISA KEV TAK ████████████████████ ataki potwierdzone
Termin CISA 3 dni ████████████████████ wyjątkowo krótki 2025-10-08 Rezerwacja numeru CVE-2026-20079
2026-03-04 Cisco publikuje biuletyn i poprawki, publikacja CVE
2026-03-26 VulnCheck opisuje działający exploit
2026-07-31 Cisco dodaje wskaźniki włamania i poprawki doraźne
2026-08-20 Publiczny kod exploita na liście Full Disclosure
2026-08 Cisco dowiaduje się o aktywnym wykorzystaniu
2026-09-09 Raport Cisco Talos, CISA dodaje lukę do KEV
2026-09-12 Termin naprawy wg CISA
2026-09-16 Cisco publikuje wydania utwardzające i potwierdza ataki w biuletynie
2026-09-17: TUTAJ JESTEŚMY Biuletyn Cisco z tabelą wersji i wskaźnikami włamania: cisco-sa-onprem-fmc-authbypass-5JPp45V2 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-20079 . Raport o atakach: Cisco Talos .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, ile mamy konsol FMC, w jakich wersjach i czy są dostępne z internetu | CTO | DZISIAJ |
2 | Zatwierdzić natychmiastowe okno serwisowe na aktualizację FMC | CTO | DZISIAJ |
3 | Otrzymać wynik sprawdzenia wskaźników włamania | CTO | DZISIAJ |
4 | Zarezerwować budżet na analizę powłamaniową, jeśli wynik jest niepewny | CFO | DO JUTRA |
5 | Sprawdzić ważność umowy serwisowej Cisco, potrzebnej do pobrania oprogramowania i wsparcia TAC | CFO | DO JUTRA |
6 | Sprawdzić warunki polisy cyberubezpieczenia i obowiązki zgłoszeniowe | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy używamy Cisco FMC zainstalowanego u nas, czy usługi chmurowej SCC? | [FMC / SCC] | 🔴 |
2 | Jaka jest wersja każdej konsoli FMC? | [wersja] | 🔴 |
3 | Czy interfejs zarządzania FMC jest dostępny z internetu? | TAK / NIE | 🔴 |
4 | Czy sprawdziliśmy wskaźniki włamania z biuletynu Cisco i z jakim wynikiem? | TAK / NIE, [data] | 🔴 |
5 | Kiedy zainstalowano wydanie z poprawką? | [data] | 🟠 |
6 | Czy zmieniliśmy hasła administratorów konsoli po aktualizacji? | TAK / NIE | 🟠 |
7 | Czy któraś konsola działa na gałęzi 7.1 lub 7.3? | TAK / NIE | 🟡 |
CVE-2026-20079 pozwala napastnikowi bez hasła przejąć konsolę Cisco FMC, która steruje firewallami, a Cisco, Talos i CISA potwierdzają ataki grup szpiegowskich i przestępczych. Aktualizacja do wydania z poprawką i odcięcie konsoli od internetu to zadanie na dziś, ale równie ważne jest sprawdzenie śladów włamania, bo poprawka nie usuwa skutków wcześniejszego przejęcia.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
CISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułLuka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułBłąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.