Cisco Secure Firewall Management Center (FMC) - Interface d'administration web Le score Hermes évalue la CVE-2026-20079 à 98 (CRITIQUE). En tant que plan de contrôle centralisé des pares-feux d'entreprise Cisco (FTD et ASA), la prise de contrôle non authentifiée avec privilèges root sur le boîtier FMC entraîne la compromission totale de la segmentation réseau, l'accès direct aux clés de chiffrement et certificats VPN, et permet l'ouverture de tunnels furtifs vers les réseaux internes les plus sensibles.
Software platform affected by security vulnerabilities and agentic attack patterns.
“Confirmed security vulnerability in Cisco Secure Firewall Management Center documented in Hermes dossier.”
| Paramètre | Spécification technique | Impact opérationnel |
|---|---|---|
| Identifiant CVE | CVE-2026-20079 | Identifiant de suivi mondial |
| Avis de sécurité éditeur | cisco-sa-onprem-fmc-authbypass-5JPp45V2 | Bulletin officiel Cisco Security |
| Identifiants de bogue Cisco | CSCwr96008, CSCwt95974 | Suivi R&D Cisco PSIRT |
| Score CVSS v3.1 | 10.0 (Critique) | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H |
| Score FIRST EPSS | 35,95 % (98,37ᵉ percentile) | Probabilité d’exploitation de niveau supérieur |
| Statut CISA KEV | Ajoutée le 9 septembre 2026 | Échéance impérative au 12 septembre 2026 (BOD 26-04) |
| Composant vulnérable | Interface de gestion web HTTPS (processus système au démarrage) | Port TCP 443 / 8443 |
| Privilèges requis | Aucun (non authentifié) | Attaque à distance par voie réseau |
| Privilèges obtenus | root (superutilisateur de l’OS) | Compromission intégrale de l’appliance |
La CVE-2026-20079 affecte l’ensemble des branches majeures de Cisco Secure FMC sur site (on-premise) :
Hotfix GB-7.0.9.1-3 ou version 7.0.9 et ultérieure) ;Hotfix HL-7.2.11.1-4 ou version 7.2.11 et ultérieure) ;Hotfix HG-7.4.7.1-3 ou version 7.4.7 et ultérieure) ;Hotfix CY-7.6.5.1-2 ou version 7.6.5 et ultérieure) ;Hotfix AM-7.7.12.1-2 ou version 7.7.12 et ultérieure) ;Hotfix P-10.0.1.1-2 ou version 10.0.1 et ultérieure).La cause racine de la CVE-2026-20079 réside dans un contournement d’authentification par chemin alternatif (CWE-288) combiné à un abus de privilèges sudo non contrôlé.
Chaîne d'exécution de la CVE-2026-20079 sur Cisco Secure FMC :
┌─────────────────────────────────────────────────────────────┐ │ 1. Attaquant distant non authentifié │ └──────────────────────────────┬──────────────────────────────┘ │ Requêtes HTTP forgées (TCP 443) ▼ ┌─────────────────────────────────────────────────────────────┐ │ 2. Processus système erroné au démarrage (Boot-Time Process)│ │ • Écoute sur un canal de dispatching interne │ │ • Court-circuit des mécanismes d'authentification web │ └──────────────────────────────┬──────────────────────────────┘ │ Dépôt de fichier / contournement ▼ ┌─────────────────────────────────────────────────────────────┐ │ 3. Écriture du fichier temporaire malveillant │ │ • /var/tmp/license.tmp (sous contexte utilisateur 'www') │ └──────────────────────────────┬──────────────────────────────┘ │ Exécution sudo sans mot de passe ▼ ┌─────────────────────────────────────────────────────────────┐ │ 4. Déclenchement privilégié du binaire Perl │ │ • sudo /usr/local/sf/bin/package_info.pl /var/tmp/... │ │ • Interprétation sans assainissement des paramètres │ └──────────────────────────────┬──────────────────────────────┘ │ Élévation vers l'OS ▼ ┌─────────────────────────────────────────────────────────────┐ │ 5. Exécution de commandes et scripts avec privilèges ROOT │ │ • Installation de shells web persistants │ │ • Extraction de la base des secrets et configurations │ └─────────────────────────────────────────────────────────────┘Lors de l’initialisation du système d’exploitation de l’appliance FMC, un processus d’arrière-plan dédié au traitement de modules de licence et de paquets internes est lancé avec des droits élevés. Ce processus enregistre des routes d’écoute au niveau du serveur web local (Apache/Nginx servant l’interface d’administration).
Cependant, ces routes omettent d’appliquer la chaîne de filtres d’authentification de session (session tokens, cookies d’authentification administrative ou jetons RBAC). Un attaquant capable de joindre l’interface web peut ainsi envoyer des requêtes HTTP ciblant directement ces points de terminaison non assujettis aux contrôles.
package_info.plUne fois le contrôle d’accès franchi, le processus traite des requêtes de mise à jour de paquets ou de licences. L’utilisateur exécutant le serveur web (www) bénéficie d’une règle sudoers permissive autorisant l’invocation du script Perl d’administration :
sudo: www : PWD=/ ; USER=root ; COMMAND=/usr/local/sf/bin/package_info.pl /var/tmp/license.tmp --lsmEn déposant un fichier de licence forgé (/var/tmp/license.tmp) contenant des charges utiles intégrées ou en exploitant l’absence de validation des arguments dans package_info.pl, l’attaquant force l’interpréteur Perl à exécuter des commandes arbitraires. Celles-ci s’exécutent immédiatement sous l’identité root, donnant le contrôle total du noyau Linux de l’appliance.
La CVE-2026-20079 est activement militarisée par des groupes de menace étatiques et des syndicats cybercriminels spécialisés dans la compromission d’équipements de périmètre réseau (edge devices).
Dans une architecture d’entreprise, Cisco FMC est le nœud central qui contrôle l’ensemble des boîtiers Secure Firewall Threat Defense (FTD). Obtenir un accès root sur FMC confère aux attaquants des capacités critiques :
Les observations de télémétrie de Cisco Talos indiquent que des groupes de menace combinent la CVE-2026-20079 avec d’autres vulnérabilités (notamment la faille de persistance CVE-2026-20316). Après avoir obtenu l’accès initial sans authentification via la CVE-2026-20079, les acteurs malveillants implantent des shells web furtifs dans les répertoires web de FMC et créent des tâches cron cachées, garantissant le maintien de leur accès même après un redémarrage de l’appliance.
Ces modes opératoires s’inscrivent dans la droite ligne des campagnes massives ciblant les technologies de passerelle, à l’image des attaques observées sur la CVE-2026-1281 dans Ivanti EPMM ou des compromissions d’infrastructures de sauvegarde via la CVE-2026-21669 dans Veeam Backup & Replication.
Conformément aux exigences de triage forensique de la CISA (BOD 26-04), les équipes de réponse à incident (CSIRT/DFIR) doivent auditer l’appliance FMC pour détecter tout signe d’exploitation antérieure.
Sur l’appliance Cisco Secure FMC, basculez en mode expert et lancez la recherche suivante dans les journaux système :
expertadmin@firepower:~$ sudo suroot@firepower:/home/admin# zgrep "package_info.*license" /var/log/messages*Si le journal contient une ligne d’exécution similaire à la trace suivante :
Jul 23 16:16:33 firepower sudo: www : PWD=/ ; USER=root ; COMMAND=/usr/local/sf/bin/package_info.pl /var/tmp/license.tmp --lsmle système présente un indicateur formel de compromission. L’attaquant a exploité la CVE-2026-20079 pour invoquer le script privilégié avec le fichier temporaire /var/tmp/license.tmp.
Artefacts sur le système de fichiers
/var/tmp/license.tmp ou de fichiers suspects dans /var/tmp/ et /tmp/./usr/local/sf/htdocs/ ou /var/www/./root/.ssh/authorized_keys ou /home/admin/.ssh/authorized_keys.Anomalies réseau et processus
/bin/sh, /bin/bash, nc, python).Pour intercepter les tentatives d’exploitation réseau ciblant la CVE-2026-20079, Cisco Talos a déployé les signatures Snort suivantes :
# Règles Snort 2 officielles Talos :66572, 66573, 66574, 66575, 66576, 66577, 66581, 66589, 66590, 66594, 66595, 66601, 66602, 66603, 66604
# Règles Snort 3 officielles Talos :301523, 301524, 301525, 301527, 301528, 301529, 301531, 301532Ces règles inspectent les requêtes HTTP dirigées vers les points de terminaison non authentifiés de l’interface de gestion et bloquent les payloads structurés pour déclencher le contournement d’authentification.
title: Exploitation potentielle de la CVE-2026-20079 sur Cisco Secure FMCid: b429815c-9d0a-4e87-a2f1-6cf5439a8204status: stabledescription: Détecte l'exécution suspecte de package_info.pl avec licence temporaire par l'utilisateur web www via sudo.references: - https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-onprem-fmc-authbypass-5JPp45V2author: Hermes Codex Cyber Threat Intelligencedate: 2026-09-09tags: - attack.initial_access - attack.t1190 - attack.privilege_escalation - attack.t1068 - cve.2026-20079logsource: product: linux service: syslogdetection: selection: process.command_line|contains: - 'package_info.pl' - 'license.tmp' user.name: 'root' condition: selectionfalsepositives: - Opérations de maintenance légitimes de mise à jour de licence Cisco (rares avec cet argument exact hors procédure officielle).level: critical// Recherche d'exécution suspecte du script de licence sur Cisco FMC via SyslogSyslog| where TimeGenerated >= ago(30d)| where SyslogMessage has "package_info.pl" and SyslogMessage has "license.tmp"| extend RawCommand = extract(@"COMMAND=(.*)", 1, SyslogMessage)| extend CallingUser = extract(@"USER=([^\s]+)", 1, SyslogMessage)| project TimeGenerated, Computer, ProcessName, CallingUser, RawCommand, SyslogMessage| sort by TimeGenerated descIsolation immédiate de l’interface de gestion : Vérifiez que l’interface web de Cisco Secure FMC n’est en aucun cas accessible depuis l’Internet public. Restreignez son accès aux seuls sous-réseaux d’administration hors bande (OOB) via des listes de contrôle d’accès strictes (ACL) ou un bastion d’administration dédié.
Audit forensique préalable :
Exécutez la commande zgrep "package_info.*license" /var/log/messages* sur le boîtier. Si des traces d’exploitation sont découvertes, l’application du correctif ne suffira pas à nettoyer une compromission existante. Déclenchez immédiatement le plan de réponse à incident et contactez le support Cisco TAC.
Application du correctif cumulatif (hotfix) : Téléchargez et installez sans délai le hotfix correspondant à votre version depuis le Cisco Software Center :
Cisco_Firepower_Mgmt_Center_Hotfix_GB-7.0.9.1-3.sh.REL.tar ;Cisco_Secure_FW_Mgmt_Center_Hotfix_HL-7.2.11.1-4.sh.REL.tar ;Cisco_Secure_FW_Mgmt_Center_Hotfix_HG-7.4.7.1-3.sh.REL.tar ;Cisco_Secure_FW_Mgmt_Center_Hotfix_CY-7.6.5.1-2.sh.REL.tar ;Cisco_Secure_FW_Mgmt_Center_Hotfix_AM-7.7.12.1-2.sh.REL.tar ;Cisco_Secure_FW_Mgmt_Center_Hotfix_P-10.0.1.1-2.sh.REL.tar.Mesures post-remédiation (si suspicion de compromission) : En cas de doute ou de signes d’intrusion confirmés, procédez à la rotation complète :