Cisco 警告 FMC 静态凭据漏洞已在零日攻击中被利用

Cisco 正在发出警告，一个高严重性的 Secure Firewall Management Center（FMC）静态凭据漏洞（编号 CVE-2026-20316）已在零日攻击中被积极利用，以获取对易受攻击设备的未授权访问。
该漏洞是由于 Cisco Secure FMC 软件中内置的一个低权限账户使用了静态凭据所致。
Cisco 表示，未经身份验证的远程攻击者可以使用这些凭据登录受影响系统，并访问该账户可用的敏感数据。
虽然 CVE-2026-20316 的 CVSS 评分为 5.3，但 Cisco 将其评为高严重性，因为该访问权限可与其他 FMC 漏洞结合使用以提升权限。
然而，该公司尚未确定其他漏洞，也未解释它们如何在攻击中被使用。
该漏洞影响所有设备配置下的 Cisco Secure FMC 软件，但不影响 Cloud-Delivered FMC、Firewall Device Manager、Secure Firewall ASA Software、Secure Firewall Threat Defense Software 或 Security Cloud Control。
Cisco 已为 Secure FMC 版本 7.0、7.2、7.4、7.6、7.7 和 10.0 发布了热修复。目前没有解决该漏洞的变通方案，强烈建议客户安装可用的修复程序。
Cisco 表示，其在 2026 年 7 月了解到该漏洞被积极利用，但未透露攻击何时开始、幕后黑手是谁，或哪些组织成为目标。Horizon3.ai 的 Jimi Sebree 报告了该漏洞。
该公司指出，当 FMC 管理接口未暴露于公共互联网时，攻击面会减少。
为检测 Cisco FMC 安装是否已被入侵，管理员应审查 messages 日志文件，查找可能表明该漏洞已被利用的迹象。
Cisco 表示，包含 license.tmp 的日志条目（如下所示）可能表明 FMC 设备已被入侵。
该日志条目显示，在 www 账户下运行的 FMC Web 进程以 root 身份调用 Cisco 的 package_info.pl 脚本，并提供了 license.tmp 文件。
如果设备包含此 IOC，管理员应轮换受影响 FMC 设备上的所有用户凭据、密钥和证书，因为利用活动一直在进行中。
认为已被入侵的组织还应联系 Cisco TAC 以获取恢复协助。
关键 FMC 身份验证绕过漏洞也已修复
Cisco 还更新了另一个独立的关键 FMC 身份验证绕过漏洞（编号 CVE-2026-20079）的公告，该漏洞的 CVSS 评分为最高分 10.0。
该漏洞允许未经身份验证的远程攻击者通过向受影响的 FMC 设备发送精心构造的 HTTP 请求来绕过身份验证，并以 root 身份执行脚本和命令。
Cisco 表示，该漏洞是由于系统启动时创建了不当的系统进程所致。
与 CVE-2026-20316 不同，CVE-2026-20079 不需要凭据或对设备的预先访问权限。
Cisco 最初于 2026 年 3 月披露了 CVE-2026-20079，并于 7 月 29 日更新了公告，添加了第二个漏洞 ID、热修复和入侵指标。
然而，Cisco 表示未发现该漏洞被恶意利用。
该公司在两个公告中发布了相同的 license.tmp 指标，但未解释这些漏洞是否相互关联。
此外，Cisco 对 CVE-2026-20079 的描述表明，它可以在不使用与 CVE-2026-20316 相关的静态凭据的情况下被利用，以实现 root 访问权限。
Cisco 已为 CVE-2026-20079 发布了相同的 Secure FMC 热修复，并表示没有完全解决该漏洞的变通方案。
BleepingComputer 已联系 Cisco，以澄清这些漏洞是否相互关联、CVE-2026-20079 是否也被利用，以及共享指标是否被有意添加到两个公告中。