Cosa è successo?
Cisco avverte di vulnerabilità di sicurezza attivamente sfruttate in prodotti centrali per la sicurezza di rete: il Secure Firewall Management Center (FMC) e l'Identity Services Engine (ISE). In totale, cinque vulnerabilità raggiungono il punteggio CVSS massimo di 10 su 10 – la classificazione più alta possibile. Sono interessati CVE-2026-20079 (FMC) nonché CVE-2026-20130, CVE-2026-20192, CVE-2026-76460 e CVE-2026-76423 (ISE). Secondo il produttore, gli aggressori stanno già sfruttando attivamente queste falle. Chi non ha ancora installato le patch dovrebbe agire immediatamente.
I dettagli
La vulnerabilità FMC CVE-2026-20079 è nota già da marzo, ma a quanto pare le patch di sicurezza disponibili non sono state installate su larga scala. Particolarmente critico: gli aggressori remoti non necessitano di alcuna autenticazione. È sufficiente inviare una richiesta HTTP appositamente creata a un dispositivo vulnerabile per ottenere privilegi di root. Con questi privilegi è poi possibile modificare le policy di sicurezza o disattivare completamente le funzioni di sicurezza – uno scenario da incubo per qualsiasi infrastruttura firewall.
Secondo Cisco, le seguenti versioni di FMC sono protette da questa falla: 7.0.10, 7.2.12, 7.4.8, 7.6.6, 7.7.13, 10.0.2 e 10.1.0.
Nell'Identity Services Engine, responsabile del controllo degli accessi alla rete, gli aggressori possono tra l'altro aggirare l'autenticazione o persino eseguire codice dannoso. Per le versioni ISE fino alla 3.0 inclusa il supporto è già scaduto – gli amministratori interessati devono obbligatoriamente eseguire l'upgrade a una versione ancora supportata. Le patch rilevanti sono: 3.1 Patch 12, 3.2 Patch 11, 3.3 Patch 12, 3.4 Patch 7 e 3.5 Patch 4.
Oltre alle vulnerabilità critiche, Cisco elenca nella sua area dedicata alla sicurezza ulteriori falle, tra cui indicazioni di hardening per ISE e FMC, nonché problemi aggiuntivi come un'esecuzione di codice root tramite sftunnel, vulnerabilità di deserializzazione Java e falle di command injection in ISE.
Analisi
Il fatto che ben cinque vulnerabilità siano valutate con il punteggio CVSS massimo di 10 sottolinea la gravità di queste falle di sicurezza. FMC e ISE sono componenti di gestione centrali nelle reti aziendali – chi ottiene accesso root o aggira l'autenticazione può, nel peggiore dei casi, mettere fuori gioco l'intera architettura di sicurezza di una rete. Particolarmente allarmante è il fatto che la falla FMC sia nota già da marzo, ma gli aggressori la stiano sfruttando attivamente solo ora. Questo evidenzia uno schema ricorrente nella sicurezza informatica: tra la pubblicazione di una patch e la sua installazione su larga scala passa spesso tempo prezioso, che gli aggressori sfruttano in modo mirato.
Per i gestori di infrastrutture di sicurezza – dai firewall di rete fino ai sistemi di protezione fisica come cassette di sicurezza o controlli degli accessi – vale lo stesso principio fondamentale: una misura di protezione è valida solo quanto la sua manutenzione aggiornata. Un FMC non patchato è, in senso figurato, paragonabile a una cassetta delle offerte la cui serratura è nota da mesi come manomettibile, ma non è mai stata sostituita.
Consigli pratici
- Verificate immediatamente quali versioni di FMC e ISE sono in uso nella vostra infrastruttura.
- Installate senza ritardi le patch fornite da Cisco – in particolare per CVE-2026-20079, poiché questa falla è nota già da marzo e viene ora attivamente sfruttata.
- Migrate obbligatoriamente le installazioni ISE fino alla versione 3.0 a una versione supportata, poiché per queste non esiste più alcun supporto.
- Controllate l'elenco completo delle vulnerabilità risolte nell'area di sicurezza del sito Cisco, poiché oltre alle falle critiche possono essere rilevanti ulteriori patch.
- Dopo l'installazione delle patch, verificate che le policy e le funzioni di sicurezza siano rimaste invariate e attive, nel caso si sia già verificato un attacco.
Prospettive
Poiché prodotti Cisco come FMC e ISE fungono da istanze di sicurezza centrali in molte reti aziendali, lo sfruttamento attivo di queste vulnerabilità dovrebbe attirare ulteriore attenzione sia da parte dei ricercatori di sicurezza che degli aggressori. Le aziende che non applicano tempestivamente le patch rischiano di diventare bersaglio di ondate di attacchi automatizzati non appena il codice exploit diventerà più ampiamente disponibile. Gli incidenti sottolineano ancora una volta quanto sia importante una gestione coerente delle patch, soprattutto per le infrastrutture critiche per la sicurezza – indipendentemente dal fatto che si tratti di firewall digitali o di meccanismi di protezione fisica come i sistemi di controllo degli accessi.
