Ciscoは2026年7月29日、Secure Firewall Management Center(FMC)に組み込まれた低権限アカウント向けの静的認証情報の脆弱性(CVE-2026-20316、CVSSスコア5.3)について、実際のゼロデイ攻撃で悪用されていたと公式に警告した。
「消せないパスワード」が生んだ侵入口
FMCソフトウェアには、デバイスの設定内容にかかわらず、低権限アカウント用の認証情報が固定値として組み込まれていた。認証を経ていない遠隔の攻撃者でも、このアカウントでログインし、アカウントがアクセスできる範囲の情報を取得できる状態になっていたことになる。CVSSスコア自体は5.3と中程度だが、Ciscoはこの脆弱性単体でも他のFMCの欠陥と組み合わせることで権限昇格に利用され得るとして、深刻度を「High」に引き上げた。ただし、組み合わされる具体的な欠陥がどれなのか、攻撃者がどのように連携させているのかは、Ciscoからまだ明らかにされていない。
対象はオンプレミスで動作するSecure FMC Softwareで、Cloud-Delivered FMC、Firewall Device Manager、Secure Firewall ASA/Threat Defense Software、Security Cloud Controlは影響を受けない。バージョン7.0、7.2、7.4、7.6、7.7、10.0向けにホットフィックスが提供されているが、回避策(ワークアラウンド)は存在せず、パッチ適用が唯一の対応となる。
Ciscoは2026年7月に悪用を把握したとしているが、攻撃の開始時期や攻撃者の身元、被害組織については公表していない。報告者はHorizon3.aiのJimi Sebree氏。FMCの管理インターフェースをインターネットに公開していない環境では、攻撃対象領域が縮小するとCiscoは補足している。
同時に更新されたCVSS満点の認証バイパス
同日、Ciscoは別の重大な脆弱性CVE-2026-20079(CVSSスコア10.0)のアドバイザリも更新した。こちらは起動時に生成される内部プロセスの不備が原因で、認証情報なしに特別に細工したHTTPリクエストを送るだけで認証をバイパスし、root権限でスクリプトやコマンドを実行できるというものだ。CVE-2026-20316とは異なり事前の認証情報や既存アクセスを必要としない点で、より深刻な侵入口になり得る。この脆弱性自体は2026年3月に公開済みだったが、7月29日付けでバグID追加・ホットフィックス・侵害痕跡(IOC)情報が追記された。Ciscoは現時点でこちらの悪用は確認していないとしている。両アドバイザリには同一のIOC(/var/tmp/license.tmp)が記載されているが、2つの脆弱性が実際に関連しているかどうかは明言されていない。
侵害の痕跡を確認する方法
管理者は/var/log/messagesログファイルを確認し、以下のコマンドで疑わしい形跡を探すことができる。
cat /var/log/messages | grep license
/var/tmp/license.tmpを含むログ(www権限で動くFMCのWebプロセスが、package_info.plをroot権限で呼び出している記録)が見つかった場合、侵害の兆候とみなされる。該当する痕跡があれば、そのFMCデバイス上の全ユーザー認証情報・鍵・証明書をローテーションし、Cisco TACに連絡して復旧支援を仰ぐべきだとされている。
実務への影響
FMCはCisco Secure Firewallの集中管理基盤であり、侵害されれば管理下にある複数のファイアウォールの設定・ポリシー・証明書がまとめて危険にさらされる。日本国内でもCisco Secure Firewallを導入している企業・データセンターは多く、まず優先すべきはFMCの管理インターフェースをインターネットに直接公開していないかの棚卸しだ。
今回の欠陥は、そもそも「消せない・変更できない認証情報」がソフトウェアに埋め込まれていたことが根本原因である。常時有効なアカウントや資格情報は、それ自体が攻撃対象になり得るリスクであり、必要な時だけ権限を発行する運用や、外部に公開する管理面を最小化する設計が、この種の脆弱性の影響範囲を減らす基本的な備えになる。パッチ適用と合わせて、IOCの確認、認証情報のローテーションまでを一連の対応として速やかに完了させたい。
出典: この記事は Cisco warns of FMC static credential flaw exploited in zero-day attacks の内容をもとに、筆者の見解を加えて独自に執筆したものです。