Błąd w konsoli Cisco Secure Firewall Management Center pozwala bez logowania uruchomić kod jako root. Grupa ransomware Interlock używała go przed ujawnieniem. Obejścia brak: zaktualizuj FMC i odetnij jej interfejs od internetu.
Ten alert jest dla zarządu, CTO i CFO firm, które zarządzają zaporami Cisco przez konsolę Cisco Secure Firewall Management Center (FMC). Werdykt: jeśli Wasza konsola FMC nie ma poprawki na CVE-2026-20131, zaktualizuj ją dziś i odetnij jej interfejs od internetu, bo luka ma ocenę 10/10, nie wymaga logowania i jest używana przez grupę ransomware Interlock.
Amerykańska agencja CISA 19 marca 2026 roku dopisała CVE-2026-20131 do katalogu KEV, czyli listy podatności, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd dotyczy webowego interfejsu zarządzania Cisco Secure FMC, konsoli, z której ustawia się reguły zapór sieciowych. Napastnik bez konta może wysłać spreparowane dane i uruchomić dowolny kod Javy z uprawnieniami roota, czyli najwyższymi w systemie.
CISA dała agencjom federalnym 3 dni na naprawę (do 22 marca 2026 roku) i oznaczyła lukę jako używaną w kampaniach ransomware. Według źródeł zebranych w analizie, zespoły analityczne Amazona ustaliły, że grupa Interlock wykorzystywała ten błąd od 26 stycznia 2026 roku, czyli 36 dni przed publicznym ujawnieniem.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-20131 (w europejskiej bazie EUVD-2026-9444; błąd Cisco CSCwt14636) |
Data dodania do CISA KEV | 2026-03-19 |
Termin naprawy wg CISA | 2026-03-22 (3 dni od wpisu) |
Produkt | Cisco Secure Firewall Management Center (FMC) Software oraz usługa Cisco Security Cloud Control (SCC) Firewall Management, niezależnie od konfiguracji. Nie dotyczy Secure Firewall ASA ani Secure Firewall Threat Defense (FTD) |
Wersje zagrożone | Według NVD 71 wydań FMC: od 6.4.0.13 przez gałęzie 7.0, 7.1, 7.2, 7.3, 7.4, 7.6 i 7.7 do 10.0.0. Ryzyko jest mniejsze, gdy interfejs zarządzania nie jest dostępny z internetu |
Wersje bezpieczne | Cisco nie opublikowało tabeli wersji; pierwszą wersję z poprawką dla konkretnego wydania wskazuje narzędzie Cisco Software Checker. SCC Firewall Management: poprawkę wdrożyło Cisco, klient nie musi nic robić |
Typ podatności | Niebezpieczna deserializacja danych prowadząca do zdalnego wykonania kodu jako root; CWE-502 |
Ocena CVSS | 10.0 KRYTYCZNA (CVSS 3.1, ocena Cisco przeniesiona do NVD; NVD nie wystawił własnej). Atak przez sieć, bez uprawnień i bez udziału użytkownika, ze zmianą zakresu i pełnym wpływem |
Wyobraź sobie centralę, która steruje wszystkimi szlabanami na autostradzie. Do centrali przychodzą paczki z instrukcjami od dostawców, a pracownik rozpakowuje każdą i składa zawartość według dołączonej w środku instrukcji montażu, zanim sprawdzi, kto ją przysłał. Wystarczy wysłać paczkę z instrukcją „podnieś wszystkie szlabany i daj mi klucze do centrali”, a pracownik wykona ją w dobrej wierze.
Tak działa ta luka. Konsola FMC przyjmowała od dowolnego nadawcy dane w formie tzw. serializowanego obiektu Javy i odtwarzała go, wykonując przy tym kod wskazany przez nadawcę. Ponieważ konsola ustawia reguły wszystkich zapór w firmie, napastnik nie musi łamać zapory: może po prostu kazać jej przepuszczać ruch.
💡 Serializacja to zamiana danych z pamięci programu na ciąg bajtów do wysłania; deserializacja to ich odtworzenie. Jeśli program odtwarza dane od nieznajomego bez sprawdzenia, nieznajomy decyduje, co zostanie uruchomione. Root to konto z pełną władzą nad systemem. Zmiana zakresu (S:C) w CVSS oznacza, że skutek wychodzi poza podatny komponent. Ransomware to atak szyfrujący dane dla okupu. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Ktoś z internetu łączy się z interfejsem FMC | Widzi ekran logowania | Może bez logowania uruchomić kod jako root |
Zmiana reguł zapór | Tylko administrator po zalogowaniu | Napastnik może zmienić reguły dla wszystkich zarządzanych zapór |
Konfiguracja „u nas jest inaczej” | Część luk zależy od ustawień | Ta luka działa niezależnie od konfiguracji |
Zapory ASA i FTD | Chronią sieć | Same nie są podatne, ale sterująca nimi konsola tak |
Ruch wychodzący z konsoli | Aktualizacje i licencje | Przejęta konsola sama „melduje” napastnikowi o sukcesie żądaniem HTTP PUT |
źródło: Pexels, Nandhu KumarPoniżej typowy przebieg ataku dla tej klasy podatności, oparty na opisie ruchu sieciowego z analizy Amazona przytoczonej w materiałach źródłowych. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. CISA ocenia, że atak da się zautomatyzować, więc napastnicy skanują internet i uderzają w każdą znalezioną podatną konsolę, niezależnie od wielkości firmy.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Skanowanie | T+0 min | Automatyczne wyszukiwanie w internecie interfejsów Cisco FMC | Lista podatnych konsol |
2. Wykorzystanie | T+kilka minut | Wysłanie żądania HTTP ze spreparowanym obiektem Javy na podatną ścieżkę | Wykonanie kodu jako root |
3. Potwierdzenie | T+kilka minut | Konsola wysyła żądanie HTTP PUT na adres napastnika | Napastnik wie, że atak się udał |
4. Utrwalenie i rozpoznanie | T+godziny do dni | Instalacja narzędzi, odczyt konfiguracji zapór i topologii sieci | Mapa sieci i dostęp niezależny od łatki |
5. Otwarcie drogi | T+dni | Zmiana reguł zapór lub użycie konsoli jako punktu wyjścia do sieci wewnętrznej | Swobodny ruch do serwerów firmy |
6. Szantaż | T+1 do 4 tygodni | Kradzież danych i szyfrowanie systemów (ransomware), żądanie okupu | Przestój i żądanie zapłaty |
Konsola zarządzająca zaporami zna i ustawia granice całej sieci. Luka o ocenie 10/10, bez logowania, z potwierdzonym użyciem przez grupę ransomware i możliwą automatyzacją to połączenie najgorszych cech jednocześnie. Brak obejścia oznacza, że jedyną realną ochroną jest aktualizacja.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zaszyfrowane serwery, wyłączone lub zmienione zapory, zatrzymanie pracy firmy | Dni do tygodni od włamania | 80 tys. do 500 tys. PLN (przestój, odtwarzanie) |
Bezpieczeństwo danych | Wyciek danych klientów, konfiguracji sieci i haseł | Dni od włamania | 40 tys. do 250 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Żądanie okupu, utracone zamówienia, koszty specjalistów | Tygodnie | 150 tys. do 1,5 mln PLN łącznie |
Reputacyjny | Utrata zaufania klientów i partnerów, publikacja danych na stronie grupy przestępczej | Miesiące | 50 tys. do 500 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia danych osobowych do UODO w ciągu 72 godzin, przy wysokim ryzyku także powiadomienia osób; kary RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z Cisco FMC bez poprawki,
z interfejsem dostępnym z internetu
Wpływ
5 | . . . . ■ ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: przy interfejsie dostępnym z internetu ryzyko jest krytyczne (CVSS 10.0, brak logowania, automatyzacja, ransomware); gdy interfejs jest dostępny tylko z sieci wewnętrznej, prawdopodobieństwo spada, ale wpływ pozostaje maksymalny.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić dokładną wersję FMC i wpisać ją do Cisco Software Checker, zapisać wynik z datą | Dziś | Administrator zapór |
2 | 🔴 NATYCHMIAST | Odciąć interfejs zarządzania FMC od internetu, dostęp tylko z sieci firmowej lub przez VPN | Dziś | Administrator sieci |
3 | 🔴 NATYCHMIAST | Zainstalować wersję z poprawką wskazaną przez Software Checker | Dziś | Administrator / partner Cisco |
4 | 🟠 PILNIE | Przejrzeć reguły zapór pod kątem zmian, których nie wprowadzał zespół, od stycznia 2026 roku | Do 3 dni | Administrator zapór |
5 | 🟠 PILNIE | Sprawdzić ruch wychodzący z konsoli FMC (nietypowe żądania HTTP PUT na nieznane adresy) i ewentualnie zlecić analizę powłamaniową | Do 7 dni | Zespół bezpieczeństwa |
6 | 🟠 PILNIE | Włączyć reguły Snort 66082 i 66083 udostępnione przez Cisco do wykrywania prób ataku | Do 3 dni | Administrator zapór |
7 | 🟡 WAŻNIE | Zmienić hasła kont administracyjnych i kluczy przechowywanych w konsoli po zakończeniu analizy | Do 14 dni | CTO / administrator |
8 | 🟡 WAŻNIE | Sprawdzić, czy kopie zapasowe są odseparowane i odtwarzalne | Do 30 dni | CTO |
Cisco wydało poprawki (wersje dla konkretnych wydań wskazuje Software Checker) i wprost stwierdza, że nie ma obejścia. Środowiska SCC Firewall Management zostały poprawione przez Cisco. Poniższe miary tylko zmniejszają ryzyko do czasu aktualizacji. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Odcięcie interfejsu zarządzania FMC od internetu (Cisco: zmniejsza powierzchnię ataku) | Wysoka wobec skanowania z internetu, nie chroni przed napastnikiem w sieci wewnętrznej | Łatwa do średniej |
Reguły Snort 66082 i 66083 | Średnia: wykrywają i mogą blokować znane próby | Łatwa |
Blokada ruchu wychodzącego z konsoli do internetu poza niezbędnymi adresami Cisco | Średnia: utrudnia potwierdzenie ataku i wyprowadzanie danych | Średnia |
Monitorowanie zmian reguł zapór z alertami | Niska jako ochrona, przydatna do wykrycia | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Interfejs FMC | Dostępny z internetu, podatny bez logowania | Dostępny tylko z sieci firmowej, z poprawką |
Wiedza o wersji | „Chyba aktualna” | Numer wersji i wynik Software Checker zapisane z datą |
Reguły zapór | Niesprawdzone od stycznia 2026 | Przejrzane, zmiany wyjaśnione |
Wykrywanie ataków | Brak | Reguły Snort 66082 i 66083 aktywne |
Zgodność z terminem CISA | Zaległość od 22 marca 2026 roku | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Cisco w marcu 2026 roku dowiedziało się o próbach wykorzystania; ocena CISA: wykorzystanie aktywne, automatyzowalne, skutek całkowity |
Grupy przestępcze | Interlock (grupa ransomware), według ustaleń zespołów analitycznych Amazona z 18 marca 2026 roku przytoczonych w materiałach źródłowych |
Kampanie ransomware | TAK (CISA KEV: Known) |
Ocena CVSS | 10.0 KRYTYCZNA (CVSS 3.1, Cisco) |
PoC dostępny publicznie? | Brak publicznych informacji o opublikowanym kodzie demonstracyjnym; napastnicy mieli działającą metodę co najmniej od 26 stycznia 2026 roku |
Liczba atakowanych firm | Brak publicznych informacji |
Kto wykrył błąd | Keane O'Kelley z wewnętrznego zespołu badawczego Cisco |
Prognoza EPSS | Około 31% szansy wykorzystania w ciągu 30 dni, powyżej 98. percentyla (23 sierpnia 2026, wg analizy źródłowej); wzrost z około 28% w lipcu |
Sygnały zagrożenia dla CVE-2026-20131
CVSS 3.1 (Cisco) 10.0/10 ████████████████████ KRYTYCZNA
EPSS (sierpień 2026) ~31% ██████░░░░░░░░░░░░░░ WYSOKA (top 2%)
Automatyzacja (CISA) TAK ████████████████████ masowe skanowanie
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Known ████████████████████ Interlock 2026-01-26 Pierwsze wykorzystanie przez grupę Interlock (wg Amazona)
2026-03-04 Cisco publikuje biuletyn, NVD publikuje CVE-2026-20131
(36 dni po pierwszym ataku)
2026-03-18 Aktualizacja biuletynu Cisco: próby wykorzystania;
publikacja ustaleń Amazona o Interlock
2026-03-19 CISA dodaje lukę do katalogu KEV, ransomware: Known
2026-03-22 Termin naprawy wg CISA dla agencji federalnych
2026-03-25 Aktualizacja biuletynu: poprawka dla SCC Firewall Management
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... prawie 6 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Biuletyn Cisco: cisco-sa-fmc-rce-NKhnULJh . Narzędzie do sprawdzenia wersji z poprawką: Cisco Software Checker . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-20131 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma lub partner IT używa Cisco Secure FMC do zarządzania zaporami | CTO | DZISIAJ |
2 | Uzyskać pisemnie wersję FMC i wynik sprawdzenia w Cisco Software Checker | CTO | DZISIAJ |
3 | Zatwierdzić natychmiastowe odcięcie interfejsu FMC od internetu | CTO | DZISIAJ |
4 | Zatwierdzić okno serwisowe na aktualizację | CTO | DO JUTRA |
5 | Zlecić przegląd reguł zapór i ruchu wychodzącego od stycznia 2026 roku | CTO | DO JUTRA |
6 | Zarezerwować budżet na analizę powłamaniową, jeśli konsola była dostępna z internetu | CFO | DO JUTRA |
7 | Sprawdzić warunki polisy cyberubezpieczenia w zakresie ransomware i nienaprawionych luk | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaka jest dokładna wersja naszej konsoli Cisco Secure FMC? | [wersja] | 🔴 |
2 | Czy Cisco Software Checker potwierdza, że ta wersja zawiera poprawkę na CVE-2026-20131? | TAK / NIE | 🔴 |
3 | Czy interfejs zarządzania FMC był lub jest dostępny z internetu? | TAK / NIE, [od kiedy] | 🔴 |
4 | Kiedy zainstalowano poprawkę? | [data] | 🟠 |
5 | Czy w regułach zapór są zmiany od stycznia 2026 roku, których nie potrafimy wyjaśnić? | TAK / NIE | 🟠 |
6 | Czy reguły Snort 66082 i 66083 są włączone? | TAK / NIE | 🟠 |
7 | Czy kopie zapasowe są odseparowane od sieci zarządzanej przez te zapory? | TAK / NIE | 🟡 |
CVE-2026-20131 pozwala bez logowania przejąć konsolę Cisco Secure FMC z uprawnieniami roota, a przez nią kontrolę nad zaporami firmy. Luka ma ocenę 10/10, była wykorzystywana przez grupę ransomware Interlock jeszcze przed ujawnieniem, a Cisco nie przewiduje obejścia. Odcięcie interfejsu od internetu i aktualizacja wskazana przez Cisco Software Checker to zadania na dziś, a przegląd reguł i ruchu wychodzącego na ten tydzień.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Błąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułLuka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułCISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.