Cisco: חשבון מובנה בניהול חומות האש Secure FMC מנוצל בתקיפות, ואין פתרון עוקף
בממשק האינטרנט של Cisco Secure Firewall Management Center יש חשבון עם פרטי כניסה קבועים. תוקפים מרחוק כבר מנצלים אותו, ו-CISA הוסיפה את החולשה לקטלוג KEV.
TL;DR בקצרה
- ב-29 ביולי 2026 פרסמה Cisco את CVE-2026-20316, חשבון עם פרטי כניסה קבועים בממשק האינטרנט של Secure FMC.
- תוקף מרחוק נכנס בלי אימות, ניגש למידע רגיש בהרשאות נמוכות, ועלול לשרשר חולשות כדי לעלות בהרשאות.
- Cisco למדה על ניצול בשטח ביולי 2026. אין פתרון עוקף, והעדכון הוא התיקון היחיד.
- ציון ה-CVSS הוא 5.3, אבל Cisco דירגה את הסיכון כגבוה, כי אפשר לשרשר את החולשה עם אחרות.
Cisco פרסמה ב-29 ביולי 2026 התראה על CVE-2026-20316 ב-Cisco FMC. זו מערכת הניהול המרכזית של חומות האש שלה. בממשק האינטרנט יש חשבון בהרשאות נמוכות עם פרטי כניסה קבועים. תוקף מרחוק יכול להיכנס אליו בלי אימות. לפי Cisco, תוקפים כבר מנצלים את הפרצה.
Cisco FMC: חשבון מובנה בממשק האינטרנט
Cisco Secure Firewall Management Center, או FMC, מרכזת את ההגדרות והמדיניות של חומות האש. מנהלי רשת נכנסים אליה דרך ממשק אינטרנט. לפי ההתראה של Cisco, המוצר מכיל פרטי כניסה קבועים לחשבון בהרשאות נמוכות. זה סוג של סיסמה שמוטמעת בקוד (CWE-259). הסיסמה הזאת קבועה מראש ומובנית במוצר עצמו.
תוקף בלי אימות יכול להשתמש בחשבון הזה. הוא מקבל גישה למידע רגיש, בגבולות ההרשאות של החשבון. Cisco מציינת שהחולשה חלה על FMC בכל תצורה.
המוצרים האחרים של Cisco לא מושפעים. ההתראה מונה כאן את Cloud-Delivered FMC ואת Firewall Device Manager. היא מונה גם את חומות האש עצמן, Secure Firewall ASA ו-Threat Defense, ואת Security Cloud Control. כלומר, הבעיה היא בשרת הניהול ולא בחומות האש שהוא מנהל.
לפי Cisco, אם לממשק הניהול אין גישה מהאינטרנט, שטח התקיפה קטן. הוא לא נעלם. תוקף שכבר יושב ברשת הפנימית, או במחשב שנפרץ, עדיין יכול לנסות את החשבון הזה.
למה ציון 5.3 הוא לא כל הסיפור
ציון ה-CVSS של החולשה הוא 5.3, רמה בינונית. Cisco דירגה את השפעת האבטחה שלה כגבוהה. הסיבה היא שאפשר לשרשר אותה עם חולשות אחרות ב-FMC. כך תוקף יכול לעלות בהרשאות, מעבר לחשבון הנמוך שקיבל.
המקרה מדגים מגבלה של הציון המספרי. הוא מודד את החולשה לבדה. תוקפים אמיתיים משלבים כמה חולשות, ושרת ניהול של חומות אש מחזיק מידע רגיש. בנוסף, CISA הוסיפה את חולשת Cisco FMC לקטלוג החולשות המנוצלות ב-29 ביולי. המועד לטיפול בגופים פדרליים בארה״ב היה 1 באוגוסט.
Cisco למדה על ניצול בשטח ביולי 2026. ההתראה לא מפרטת מי התוקפים ומה היקף הפגיעה. היא מציינת שאין פתרון עוקף.
איך בודקים אם תוקפים פרצו ל-Cisco FMC
Cisco פרסמה סימן פריצה פשוט. במצב expert, בהרשאות root, מריצים את הפקודה zgrep "package_info.*license" /var/log/messages*. אם בפלט מופיע הנתיב /var/tmp/license.tmp, המכשיר עלול להיות פרוץ.
Cisco מוסיפה אזהרה חשובה. תיקון (hot fix) מונע ניצול עתידי, אבל הוא לא בהכרח מסיר פריצה שכבר קרתה. במקרה של חשד צריך לפנות לצוות התמיכה של Cisco (TAC).
מה זה אומר עבורכם
- אתרו Secure FMC: בדקו אם הארגון מפעיל את המערכת. מכשירי Cloud-Delivered FMC ו-FTD עצמם אינם מושפעים.
- בדקו סימני פריצה: הריצו את הפקודה של Cisco ובדקו אם מופיע
/var/tmp/license.tmp. שמרו עותק של היומנים. - עדכנו: אין פתרון עוקף. התקינו את התיקון של Cisco לענף שלכם.
- סגרו חשיפה: הגבילו את ממשק הניהול לרשת ניהול פנימית, והוציאו אותו מהאינטרנט.
- הניחו פריצה אם יש סימן: פנו ל-TAC. כדאי להחליף סיסמאות, מפתחות ותעודות ששמורים במכשיר.
מה קרה מאז
ב-11 באוגוסט 2026 הוסיפה Cisco להתראה את שמות החוקרים שדיווחו עליה. אלה Jimi Sebree מ-Horizon3.ai ו-Andy Niu מ-TrendAI Research. ב-16 בספטמבר פרסמה Cisco טבלת גרסאות מתוקנות: 7.0.10, 7.2.12, 7.4.8, 7.6.6, 7.7.13, 10.0.2 ו-10.1.0. Cisco החליפה את תיקוני ה-hot fix הראשונים בשחרורי הקשחה של ספטמבר 2026.
מקורות והרחבה
- Cisco Secure Firewall Management Center Static Credential Vulnerability (cisco-sa-fmc-static-cred-BET3Cjh)Cisco
- Cisco Firewall Management Center 0-Day Actively Exploited to Access Sensitive DataCyber Security News
- Known Exploited Vulnerabilities Catalog (entry for CVE-2026-20316, added 2026-07-29)CISA
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
