Vai al contenuto

Cisco FMC: zero-day sfruttata, patch urgenti

Redazione Xion IT GroupCiscozero-dayfirewallcybersecurity

Una nuova vulnerabilità in Cisco Secure Firewall Management Center (FMC) è già stata sfruttata in attacchi reali, tanto da finire nel catalogo KEV di CISA il 30 luglio 2026. Per le aziende il punto non è solo tecnico: se usate Cisco FMC per amministrare i firewall, un accesso non autorizzato può esporre dati sensibili e diventare il primo passo verso compromissioni più gravi.

Cisco ha già pubblicato le correzioni, non esistono workaround completi e il rischio aumenta se l’interfaccia di gestione è raggiungibile da Internet. In pratica: serve verificare subito la versione in uso, applicare l’hotfix corretto e controllare gli indicatori di compromissione indicati dal produttore.

Che cosa è successo

Il problema riguarda Cisco Secure Firewall Management Center Software, la piattaforma usata per gestire in modo centralizzato i firewall Cisco. La vulnerabilità è identificata come CVE-2026-20316 e, secondo Cisco, dipende dalla presenza di credenziali statiche associate a un account a basso privilegio.

Questo significa che un attaccante remoto, senza autenticarsi in precedenza, potrebbe usare quelle credenziali per accedere al sistema vulnerabile e visualizzare i dati a cui quell’account ha accesso. Il punteggio CVSS è 5.3, ma Cisco ha classificato l’impatto come High, perché l’accesso iniziale potrebbe essere combinato con altre vulnerabilità della stessa piattaforma per ottenere privilegi più elevati.

Il 30 luglio 2026 la CISA ha inserito CVE-2026-20316 nel proprio catalogo Known Exploited Vulnerabilities (KEV), confermando che non si tratta di un rischio teorico: la falla è stata osservata in sfruttamento attivo. Cisco ha dichiarato di essere venuta a conoscenza degli attacchi nel luglio 2026, senza però indicare chi siano gli attori coinvolti, quando siano iniziati esattamente gli attacchi o quali organizzazioni siano state colpite.

Perché questa vulnerabilità merita attenzione anche se il punteggio non è altissimo

A prima vista il CVSS 5.3 potrebbe far pensare a una vulnerabilità importante ma non critica. In realtà il contesto conta più del numero.

Nel caso di FMC, stiamo parlando della console di gestione di un’infrastruttura di sicurezza. Anche un account con privilegi limitati può consentire a un attaccante di raccogliere informazioni sensibili sull’ambiente, sulla configurazione dei firewall o sugli asset protetti. Inoltre Cisco ha esplicitamente segnalato che la falla può essere usata in catena con altre vulnerabilità per alzare il livello di accesso.

In altre parole, il rischio reale non è solo “vedo qualche dato”, ma la possibilità che un attacco parta da un accesso apparentemente minore per arrivare più lontano. È questo il motivo per cui il produttore ha assegnato una severità pratica più alta del solo punteggio CVSS.

I prodotti coinvolti e quelli esclusi

Le informazioni pubblicate da Cisco indicano che la vulnerabilità interessa Cisco Secure FMC Software. È invece importante non fare confusione con altri prodotti del portafoglio Cisco che, secondo quanto riportato, non sono impattati:

Questo punto è utile soprattutto nelle aziende che hanno ambienti misti o gestiti da più fornitori: non basta dire “abbiamo firewall Cisco” per capire se si è esposti. Bisogna verificare se in uso c’è davvero la componente Secure Firewall Management Center nelle versioni interessate.

Le versioni corrette da installare

Cisco ha pubblicato hotfix specifici per diverse release di Secure FMC. Le correzioni indicate sono:

Cisco ha anche chiarito che non esistono workaround in grado di risolvere davvero il problema. Ridurre l’esposizione dell’interfaccia di management verso Internet abbassa la superficie d’attacco, ma non sostituisce l’aggiornamento.

Come verificare possibili segnali di compromissione

Oltre alle patch, Cisco ha indicato un controllo molto preciso da eseguire sui sistemi FMC. In modalità expert, l’amministratore può cercare nei log con il comando:

cat /var/log/messages | grep license

Se nell’output compare il riferimento a /var/tmp/license.tmp, esiste la possibilità che il dispositivo sia stato sfruttato. L’esempio di log condiviso dal produttore mostra il processo web che richiama uno script con privilegi root utilizzando proprio quel file temporaneo.

Questo non equivale automaticamente a una compromissione certa in ogni scenario, ma è un segnale da trattare come prioritario. Se l’indicatore è presente, Cisco raccomanda di procedere con attività di recovery e di considerare la rotazione di credenziali, chiavi e certificati presenti sul dispositivo interessato.

Il collegamento con un’altra falla critica

Nello stesso aggiornamento Cisco ha rivisto anche l’advisory relativo a CVE-2026-20079, una vulnerabilità distinta con CVSS 10.0 che riguarda sempre Secure FMC. Questa seconda falla era stata resa pubblica a marzo 2026 e consente, secondo la descrizione del produttore, di aggirare l’autenticazione ed eseguire script o comandi come root attraverso richieste HTTP appositamente costruite.

Cisco ha dichiarato di non essere a conoscenza di sfruttamenti malevoli di CVE-2026-20079, ma il fatto che nei due advisory compaia lo stesso indicatore di compromissione ha attirato attenzione. Le fonti evidenziano che il produttore non ha spiegato nel dettaglio il rapporto tra le due vulnerabilità, ma ha confermato hotfix e indicatori aggiornati anche per questo secondo caso.

Per chi gestisce l’infrastruttura, il messaggio è semplice: quando un fornitore segnala che una vulnerabilità può essere concatenata con altre, conviene affrontare l’intero perimetro del prodotto, non il singolo CVE isolato.

Cosa significa per la tua azienda

Se la tua azienda usa Cisco FMC, questa notizia richiede un controllo immediato ma ordinato.

1. Verifica se il prodotto è davvero presente in azienda
Non fermarti alla dicitura generica “firewall Cisco”. Chiedi al reparto IT o al fornitore se è installato Cisco Secure Firewall Management Center e quale release è in uso.

2. Controlla l’esposizione dell’interfaccia di management
Se la console è raggiungibile da Internet, il rischio operativo è più alto. L’accesso di amministrazione dovrebbe essere limitato a reti autorizzate, VPN o segmenti dedicati.

3. Applica subito l’hotfix corretto
Non ci sono mitigazioni equivalenti alla patch. Se avete un contratto di assistenza, fate pianificare l’aggiornamento in priorità. Se la console è centrale per la gestione dei firewall, l’intervento va preparato con backup e finestra di manutenzione adeguata.

4. Cerca l’indicatore di compromissione nei log
Il controllo sul file /var/tmp/license.tmp va eseguito prima possibile. Se emerge il segnale, non limitarti all’aggiornamento: considera il sistema potenzialmente compromesso e apri un’analisi più ampia.

5. Ruota credenziali, chiavi e certificati se c’è sospetto di accesso
È una misura spesso rimandata perché scomoda, ma in casi come questo è fondamentale. Un accesso ottenuto ieri può restare utile all’attaccante anche dopo la patch se non vengono cambiati gli elementi di autenticazione.

6. Rivedi il piano di sicurezza dei sistemi di gestione
Le console di amministrazione, i pannelli dei firewall, i sistemi di monitoraggio e i backup sono obiettivi ad alto valore. Vale la pena trattarli come asset critici, con segmentazione, accessi limitati, monitoraggio e procedure di verifica periodica. Su questo fronte possono aiutare servizi di sicurezza informatica e una gestione strutturata dei client e delle postazioni con desktop IT management.

7. Assicurati che backup e procedure di ripristino siano aggiornati
Se una console di sicurezza va ricostruita o bonificata, avere copie affidabili e procedure testate riduce tempi di fermo ed errori. Una strategia di remote backup diventa utile proprio quando serve recuperare rapidamente configurazioni e continuità operativa.

Per una PMI il punto chiave è questo: non serve gestire internamente ogni dettaglio tecnico, ma serve sapere quali apparati sono critici, chi li controlla, con quali tempi vengono patchati e cosa succede se emerge un indizio di compromissione.

Un promemoria operativo per direzione e responsabili d’ufficio

Anche se la gestione è affidata a un MSP o a un fornitore esterno, conviene fare oggi stesso tre domande molto concrete:

Queste domande hanno un valore manageriale, non solo tecnico. Aiutano a capire se il fornitore sta operando con la priorità corretta e se l’azienda ha visibilità minima su un rischio già sfruttato in attacchi reali.

Domande frequenti

Se abbiamo firewall Cisco, siamo sicuramente vulnerabili?

No. Le fonti indicano che il problema riguarda Cisco Secure FMC Software, non tutti i prodotti firewall Cisco. Va verificata la presenza effettiva di FMC.

Basta non esporre FMC su Internet per essere al sicuro?

No. Ridurre l’esposizione aiuta, ma Cisco ha precisato che non esistono workaround completi. La misura corretta è installare l’hotfix.

Se troviamo l’indicatore nei log, è sufficiente patchare?

No. In presenza del segnale indicato da Cisco bisogna trattare il caso come possibile compromissione, ruotare credenziali e materiali crittografici e valutare il supporto del TAC o del proprio partner IT.

Vuoi proteggere e far crescere l'IT della tua azienda?

Parliamone: un consulente Xion analizza gratuitamente la tua situazione.

Contattaci+39 02 40709414