Cisco confirme l'exploitation active de CVE-2026-20079, faille critique dans Secure FMC

🔍 Contexte

Source : BleepingComputer, publié le 9 septembre 2026. Cisco a officiellement confirmé l’exploitation active de CVE-2026-20079, une vulnérabilité d’authentification bypass de sévérité maximale (CVSS 10.0) affectant son logiciel Cisco Secure Firewall Management Center (FMC).

🚨 Nature de la vulnérabilité

• Type : Contournement d’authentification (Authentication Bypass)
• Cause : Processus système impropre créé au démarrage (boot time)
• Vecteur d’exploitation : Envoi de requêtes HTTP craftées vers l’interface web du dispositif
• Impact : Exécution de scripts et commandes avec privilèges root par un attaquant non authentifié à distance
• Produits affectés : Cisco Secure FMC Software et Cisco Security Cloud Control Firewall Management

📅 Chronologie

• Mars 2026 : Divulgation initiale de CVE-2026-20079 par Cisco, sans preuve d’exploitation
• 23 juillet 2026 : Entrée de log suspecte identifiée comme IOC potentiel d’exploitation
• 29 juillet 2026 : Cisco divulgue CVE-2026-20316 (credentials statiques, compte faible privilège), confirme son exploitation active, et met à jour l’advisory CVE-2026-20079 avec les mêmes IOCs
• Août 2026 : Le Cisco PSIRT prend connaissance de l’exploitation active de CVE-2026-20079
• 9 septembre 2026 : Cisco confirme officiellement l’exploitation ; la CISA ajoute CVE-2026-20079 au catalogue KEV avec deadline au 12 septembre 2026 pour les agences FCEB

🔗 Lien entre CVE-2026-20079 et CVE-2026-20316

Les deux vulnérabilités partagent :

• Les mêmes IOCs
• Les mêmes hot fixes publiés le 29 juillet 2026
• Une possible utilisation combinée : CVE-2026-20316 (accès faible privilège) + CVE-2026-20079 (bypass auth root) dans les mêmes attaques

🧩 Indicateur de compromission clé

Cisco recommande de rechercher dans /var/log/messages l’activité liée à /var/tmp/license.tmp :

⚠️ Points importants

• Cisco n’a pas divulgué l’identité des attaquants ni les activités post-exploitation observées
• Aucun workaround disponible ; mise à jour vers la dernière version requise
• L’installation des hot fixes ne remédie pas aux dispositifs déjà compromis
• Le service cloud Security Cloud Control a déjà été patché par Cisco

📌 Type d’article

Article de presse spécialisée combinant alerte de sécurité et analyse chronologique, visant à informer les administrateurs Cisco de l’exploitation confirmée et des IOCs disponibles.

🧠 TTPs et IOCs détectés

TTP

• T1190 — Exploit Public-Facing Application (Initial Access)
• T1078 — Valid Accounts (Defense Evasion)
• T1068 — Exploitation for Privilege Escalation (Privilege Escalation)
• T1059 — Command and Scripting Interpreter (Execution)

IOC

• CVEs : CVE-2026-20079 — NVD · CIRCL
• CVEs : CVE-2026-20316 — NVD · CIRCL
• Fichiers : license.tmp
• Fichiers : package_info.pl
• Chemins : /var/log/messages
• Chemins : /var/tmp/license.tmp
• Chemins : /usr/local/sf/bin/package_info.pl

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 10 septembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

🟢 Indice de vérification factuelle : 65/100 (haute)

• ✅ bleepingcomputer.com — source reconnue (liste interne) (20pts)
• ✅ 4722 chars — texte complet (15pts)
• ✅ 7 IOCs (IPs/domaines/CVEs) (10pts)
• ⬜ pas d’IOC vérifié (0pts)
• ✅ 4 TTPs MITRE identifiées (15pts)
• ⬜ date RSS ou approximée (0pts)
• ⬜ aucun acteur de menace nommé (0pts)
• ✅ 2/2 CVE(s) confirmée(s) (CIRCL) (5pts)

🔗 Source originale : https://www.bleepingcomputer.com/news/security/cisco-confirms-cve-2026-20079-secure-fmc-flaw-exploited-in-attacks/

🖴 Archive : https://web.archive.org/web/20260910033944/https://www.bleepingcomputer.com/news/security/cisco-confirms-cve-2026-20079-secure-fmc-flaw-exploited-in-attacks/