Cisco Secure FMCのCVE-2026-20079が実悪用、CVSS 10.0の認証回避でroot取得 — CISA KEV対処期限は9月12日、旧Firepower Management Centerも同一製品、Hotfixでは既存侵害を修復できず

この記事は約11分で読めます。

Cisco Secure Firewall Management Center(FMC)に存在する最大深刻度の認証回避脆弱性CVE-2026-20079が、実際の攻撃で悪用されていることが確認されました。

Ciscoは2026年9月9日、CVE-2026-20079のセキュリティアドバイザリを更新し、Cisco製品セキュリティインシデント対応チーム(Product Security Incident Response Team:PSIRT)が8月に実悪用を認識したと公表しました。

CVE-2026-20079はCisco Secure FMCのWebインターフェースに存在する認証回避の脆弱性です。認証されていないリモート攻撃者が認証を迂回し、影響を受ける機器上でスクリプトやコマンドを実行して、基盤OSのroot権限を取得できる可能性があります。

共通脆弱性評価システム(Common Vulnerability Scoring System:CVSS) v3.1の基本値は最大の10.0(重大:Critical)です。ネットワーク経由、低い攻撃複雑性、事前権限不要、利用者操作不要と評価されています。

米国サイバーセキュリティ・社会基盤安全保障庁(Cybersecurity and Infrastructure Security Agency:CISA)も9月9日、CVE-2026-20079を既知の悪用が確認された脆弱性カタログ(Known Exploited Vulnerabilities:KEV)へ追加しました。米連邦民間行政機関に設定された対応期限は9月12日です。

Ciscoは影響するSecure FMC向けにHotfixと修正版を提供しており、回避策はありません。さらに、Hotfixは今後の悪用を防ぐためのもので、すでに侵害された機器を自動的に復旧するものではないと注意しています。

CVE-2026-20079の概要

項目 内容
CVE CVE-2026-20079
製品 Cisco Secure Firewall Management Center(FMC)
脆弱性 認証回避
CWE CWE-288
CVSS v3.1 10.0(重大:Critical)
攻撃元 ネットワーク
攻撃複雑性 低
事前権限 不要
利用者操作 不要
主な影響 認証回避、スクリプト・コマンド実行、基盤OSのrootアクセス
実悪用 Ciscoが確認
CISA KEV追加 2026年9月9日
CISA対応期限 2026年9月12日
回避策 なし
発見者 CiscoのBrandon Sakai氏

共通脆弱性タイプ一覧(Common Weakness Enumeration:CWE)ではCWE-288「Authentication Bypass Using an Alternate Path or Channel」に分類されています。

CVSS v3.1ベクトルはAV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:Hです。機密性、完全性、可用性への影響はいずれもHighで、スコープも変更ありと評価されています。

Cisco Secure FMCとは

Cisco Secure Firewall Management Centerは、Cisco Secure Firewall Threat Defense(FTD)などのファイアウォールを集中管理するための管理基盤です。

管理者はFMCを通じて、セキュリティポリシー、アクセス制御、脅威対策、ログ、イベント、デバイス設定などを一元管理します。

そのため、FMC自体が侵害された場合は、単一の管理サーバーだけの問題として扱うべきではありません。管理対象となるファイアウォール群やセキュリティポリシーへアクセスできる管理基盤が攻撃対象になるためです。

ただし、CVE-2026-20079を悪用すれば必ずすべての管理対象ファイアウォールを制御できるという意味ではありません。実際の影響は、FMCの構成、接続された機器、管理権限、ネットワーク設計、攻撃後の活動によって変わります。

原因は起動時に作成される不適切なシステムプロセス

Ciscoによると、CVE-2026-20079は機器の起動時に作成される不適切なシステムプロセスに起因します。

この問題により、認証されていないリモート攻撃者がSecure FMCのWebインターフェースへ細工したHTTPリクエストを送信し、通常の認証処理を迂回できる可能性があります。

悪用に成功すると、攻撃者は複数のスクリプトやコマンドを実行し、基盤OSのrootアクセスへ到達できるとCiscoは説明しています。

つまり、単にFMCの管理画面へログインできるようになるだけではなく、アプライアンスのOSレベルまで影響する可能性があることが、CVSS 10.0と評価される大きな理由です。

本記事では、Ciscoが公開している具体的な悪用リクエストの作成方法や攻撃手順など、実際の侵害へ転用できる情報は扱いません。

3月に公開、9月に実悪用を公式確認

CVE-2026-20079自体は2026年3月4日に初めて公開されました。

初回アドバイザリの時点でCiscoはCriticalと評価し、ソフトウェア更新を提供していましたが、当時は実悪用を確認したとはしていませんでした。

その後、7月末にCiscoはアドバイザリへ侵害指標(Indicator of Compromise:IoC)とHotfix情報を追加しました。

さらに9月9日の更新で、Cisco PSIRTが8月にCVE-2026-20079の実悪用を認識したことを正式に公表しました。

したがって今回のニュースは「9月に突然見つかった新しいゼロデイ」ではありません。3月に公開・修正されていた最大深刻度の脆弱性について、その後実際の攻撃が確認されたという続報です。

UAT-12197:CVE-2026-20079からWebシェルと資格情報窃取

Talosによると、UAT-12197はCVE-2026-20079の悪用に成功した後、FMCのWeb領域へJSPベースのWebシェルを配置しました。

さらにJava Archive(JAR)形式のコマンド実行ツールを設置し、侵害したFMC内部のデータベースからユーザー認証情報や資格情報を取得する活動が確認されています。

これは、CVE-2026-20079によるrootアクセスが理論上の影響にとどまらず、実際の侵害でWebシェル設置や認証情報窃取へ利用された事例をCisco Talosが確認したことを意味します。

CISAがKEVへ追加、期限は9月12日

CISAは9月9日、CVE-2026-20079をKEVへ追加しました。

KEVは、単にCVSSが高い脆弱性を収録する一覧ではなく、実際の攻撃で悪用されている証拠がある脆弱性をCISAが管理するカタログです。

今回の登録ではCisco Secure Firewall Management Centerと、Cisco Security Cloud Control(SCC) Firewall Managementが対象として記載されています。

米連邦民間行政機関に対する対応期限は2026年9月12日です。CISAはベンダーの指示に従った緩和・修正と、拘束的運用指令(Binding Operational Directive:BOD) 26-04に基づくリスク優先の更新を求めています。

この期限は日本企業へ直接適用されるものではありません。しかし、Cisco自身が実悪用を確認し、CISAもKEVへ追加しているため、一般企業でも優先度の高い更新対象と考えるべきです。

影響製品とクラウド側の扱い

Cisco公式アドバイザリでは、CVE-2026-20079はCisco Secure FMC SoftwareとCisco Security Cloud Control Firewall Managementに影響するとされています。

Secure FMCについては、デバイス設定にかかわらず脆弱性の影響を受けるとCiscoは説明しています。

一方、SCC Firewall Managementはクラウド提供型ソフトウェア(Software as a Service:SaaS)としてCiscoが運用しており、この脆弱性に対する修正はCisco側ですでに展開済みです。利用者側の更新作業は必要ありません。

またCiscoは、Secure Firewall Adaptive Security Appliance(ASA) Software、Secure Firewall Threat Defense(FTD) Software、Firewall Device Manager(FDM)についてはCVE-2026-20079の影響を受けないとしています。

ここで注意したいのは、Ciscoの製品表記上「SCC Firewall Management」と、Security Cloud Control製品全体の表記が区別されている点です。自組織の契約・管理形態が不明な場合は、Cisco公式アドバイザリとソフトウェアチェッカー(Software Checker)を基準に確認してください。

管理インターフェースを公開していなくても更新は必要

Ciscoは、FMC管理インターフェースがインターネットへ公開されていなければ、CVE-2026-20079の攻撃面は縮小すると説明しています。

これは重要な緩和要素ですが、「インターネット非公開なら脆弱性の影響を受けない」という意味ではありません。

CiscoはSecure FMCについて、構成にかかわらず脆弱性の影響を受けるとしています。内部ネットワークへ侵入済みの攻撃者や、管理ネットワークへ到達できる攻撃者を考えれば、外部公開していない環境でも修正が必要です。

したがって、インターネット公開FMCを最優先で対応しつつ、内部管理ネットワーク上のFMCも更新対象から外さないことが重要です。

Ciscoが提供するSecure FMC Hotfix

CiscoはSecure FMCの主要リリース系列向けに、CVE-2026-20079の今後の悪用を防ぐHotfixを提供しています。

Secure FMCリリース Cisco提供Hotfix
7.0 7.0.9.1系Hotfix
7.2 7.2.11.1系Hotfix
7.4 7.4.7.1系Hotfix
7.6 7.6.5.1系Hotfix
7.7 7.7.12.1系Hotfix
10.0 10.0.1.1系Hotfix

実際のHotfixファイル名と適用手順は、Cisco公式アドバイザリおよびCisco Software Centerで対象リリースを確認してください。

Ciscoは、個別Hotfixだけでなく、ソフトウェアチェッカーを利用して現在のSecure FMCリリースに影響するアドバイザリと、最初に修正されたリリースを確認する方法も提供しています。

複数のCisco脆弱性が同じ時期に公開されているため、CVE-2026-20079だけを見て更新先を決めるのではなく、自組織のリリースに対する総合的な修正版を確認するのが安全です。

管理者が優先して確認すべきこと

1.Secure FMCのバージョンとHotfix適用状況を確認する

Cisco公式アドバイザリやソフトウェアチェッカーを使い、現在利用しているSecure FMCリリースがCVE-2026-20079の修正版または対応Hotfixを適用済みか確認してください。

2.インターネット公開されたFMCを最優先する

管理インターフェースを外部公開している場合は、認証不要で到達可能な脆弱性であるため優先度が特に高くなります。

不要なインターネット公開がある場合はアクセス経路を制限してください。ただし、これはパッチの代替ではありません。

3.侵害指標を確認する

Ciscoは、Secure FMCのシステムログに特定の一時ファイルを利用した処理が存在する場合、CVE-2026-20079が悪用された可能性があると説明しています。

本記事ではCiscoが公開する具体的なCLIコマンドを転載しません。確認する場合はCisco公式アドバイザリの「Indicators of Compromise」に記載された最新手順を参照してください。

4.兆候があればTACへ連絡する

該当するIoCや不審なroot権限での処理、予期しない設定変更などを確認した場合は、Cisco TACへ連絡し、復旧方法を確認してください。

Hotfix適用だけで既存侵害が解消されるとは限りません。

5.管理ネットワークを見直す

Secure FMCのような管理基盤は、一般利用者ネットワークから直接到達できない管理セグメントへ配置し、アクセス元を必要な管理端末や踏み台に限定することが重要です。

これはCVE-2026-20079固有の修正ではありませんが、今後別の認証前脆弱性が発生した際にも攻撃面を縮小する防御になります。

まとめ

CVE-2026-20079は、Cisco Secure Firewall Management CenterのWebインターフェースに存在する認証回避脆弱性です。CVSS v3.1は最大の10.0で、認証されていないリモート攻撃者が認証を迂回し、スクリプトやコマンドを実行して基盤OSのrootアクセスを取得できる可能性があります。

Cisco PSIRTは2026年8月に実悪用を認識し、9月9日に公式アドバイザリへその事実を追記しました。同日、Cisco Talosは3つの攻撃クラスタを公開し、Webシェル設置、資格情報窃取、Cyclops Blink亜種、Qilinランサムウェアなどの侵害後活動を明らかにしています。CISAも同日にCVE-2026-20079をKEVへ追加し、米連邦民間行政機関へ9月12日までの対応を求めています。

CiscoはSecure FMC向けに修正版とHotfixを提供しており、この脆弱性を解決する回避策はありません。管理インターフェースを外部へ公開していない場合でも、更新対象から外すべきではありません。

また、Ciscoが提供するHotfixは将来の悪用防止を目的としており、既存侵害を自動的に修復するものではありません。IoCに該当する場合や侵害が疑われる場合はCisco TACへ連絡し、復旧対応を進める必要があります。

Secure FMCはファイアウォール群を集中管理する重要なセキュリティ基盤です。オンプレミス環境では、Cisco公式アドバイザリとソフトウェアチェッカーで現在のリリースを確認し、修正版または対応Hotfixの適用と侵害確認を最優先で進めてください。

参考情報

コメント

タイトルとURLをコピーしました