Co się stało?
Cisco ostrzega przed aktywnie wykorzystywanymi lukami bezpieczeństwa w kluczowych produktach bezpieczeństwa sieciowego: Secure Firewall Management Center (FMC) oraz Identity Services Engine (ISE). Łącznie pięć luk osiąga maksymalny wynik CVSS wynoszący 10 na 10 – najwyższą możliwą klasyfikację. Dotyczy to CVE-2026-20079 (FMC) oraz CVE-2026-20130, CVE-2026-20192, CVE-2026-76460 i CVE-2026-76423 (ISE). Według producenta, napastnicy już aktywnie wykorzystują te luki. Kto jeszcze nie zainstalował łatek, powinien działać natychmiast.
Szczegóły
Luka FMC CVE-2026-20079 jest znana już od marca, jednak najwyraźniej dostępne łatki bezpieczeństwa nie zostały powszechnie zainstalowane. Szczególnie krytyczne jest to, że zdalni napastnicy nie potrzebują uwierzytelnienia. Wystarczy wysłać spreparowane żądanie HTTP do podatnego urządzenia, aby uzyskać uprawnienia root. Dzięki tym uprawnieniom można następnie zmieniać zasady bezpieczeństwa lub całkowicie dezaktywować funkcje ochronne – koszmarny scenariusz dla każdej infrastruktury firewall.
Według Cisco przed tą luką chronione są następujące wersje FMC: 7.0.10, 7.2.12, 7.4.8, 7.6.6, 7.7.13, 10.0.2 i 10.1.0.
W przypadku Identity Services Engine, odpowiedzialnego za kontrolę dostępu do sieci, napastnicy mogą między innymi obejść logowanie, a nawet doprowadzić do wykonania złośliwego kodu. Dla wersji ISE do 3.0 włącznie wsparcie już wygasło – dotknięci administratorzy muszą koniecznie zaktualizować system do wersji nadal wspieranej. Odpowiednie łatki to: 3.1 Patch 12, 3.2 Patch 11, 3.3 Patch 12, 3.4 Patch 7 i 3.5 Patch 4.
Oprócz krytycznych luk, Cisco wymienia w swojej sekcji bezpieczeństwa dodatkowe podatności, w tym wskazówki dotyczące hardeningu dla ISE i FMC, a także dodatkowe problemy, takie jak wykonanie kodu root przez sftunnel, luki deserializacji Java oraz luki typu command injection w ISE.
Ocena sytuacji
Fakt, że aż pięć luk otrzymało najwyższą ocenę CVSS wynoszącą 10, podkreśla wagę tych problemów bezpieczeństwa. FMC i ISE są kluczowymi komponentami zarządzającymi w sieciach korporacyjnych – kto uzyska tutaj dostęp root lub obejdzie uwierzytelnienie, może w najgorszym przypadku sparaliżować całą architekturę bezpieczeństwa sieci. Szczególnie niepokojące jest to, że luka FMC jest znana już od marca, a napastnicy dopiero teraz zaczęli ją aktywnie wykorzystywać. Pokazuje to powtarzający się wzorzec w bezpieczeństwie IT: między publikacją łatki a jej powszechnym wdrożeniem często upływa cenny czas, który napastnicy celowo wykorzystują.
Dla operatorów infrastruktury bezpieczeństwa – od firewalli sieciowych po fizyczne systemy ochronne, takie jak sejfy wrzutowe czy systemy kontroli dostępu – obowiązuje ta sama zasada: środek ochronny jest tak dobry, jak jego bieżąca konserwacja. Niezałatany FMC jest w przenośni porównywalny do skarbony kościelnej, której zamek jest od miesięcy znany jako podatny na manipulację, ale nie został wymieniony.
Wskazówki praktyczne
- Sprawdźcie natychmiast, jakie wersje FMC i ISE są stosowane w waszej infrastrukturze.
- Zainstalujcie bez zwłoki łatki udostępnione przez Cisco – szczególnie w przypadku CVE-2026-20079, ponieważ ta luka jest znana już od marca i jest obecnie aktywnie wykorzystywana.
- Koniecznie zmigrujcie instalacje ISE do wersji 3.0 na wersję wspieraną, ponieważ dla tej nie istnieje już żadne wsparcie.
- Sprawdźcie pełną listę usuniętych luk w sekcji bezpieczeństwa strony internetowej Cisco, ponieważ oprócz krytycznych luk mogą być istotne dodatkowe łatki.
- Po załataniu sprawdźcie, czy zasady i funkcje bezpieczeństwa pozostają niezmienione i aktywne, na wypadek gdyby atak już miał miejsce.
Perspektywy
Ponieważ produkty Cisco takie jak FMC i ISE pełnią w wielu sieciach korporacyjnych funkcję centralnych instancji bezpieczeństwa, aktywne wykorzystywanie tych luk prawdopodobnie przyciągnie dalszą uwagę zarówno badaczy bezpieczeństwa, jak i napastników. Firmy, które nie załatają swoich systemów w odpowiednim czasie, ryzykują stanie się celem zautomatyzowanych fal ataków, gdy kod exploita stanie się szerzej dostępny. Te incydenty po raz kolejny podkreślają, jak ważne jest konsekwentne zarządzanie łatkami, zwłaszcza w przypadku infrastruktury krytycznej dla bezpieczeństwa – niezależnie od tego, czy chodzi o cyfrowe firewalle, czy fizyczne mechanizmy ochronne, takie jak systemy kontroli dostępu.
