Aanvallers maken actief misbruik van een kritieke kwetsbaarheid in Cisco Secure Firewall Management Center (FMC), software voor het beheren van firewalls. Via het beveiligingslek (CVE-2026-20079) kan een aanvaller de authenticatie omzeilen en root-toegang tot het onderliggende besturingssysteem krijgen. De CVSS-impactscore bedraagt 10.0 op een schaal van 1 tot en met 10. Cisco kwam op 4 maart van dit jaar met updates voor het probleem.

Via het Firewall Management Center kunnen organisaties hun Cisco-firewalls beheren. Cisco noemt het zelf het "administratieve zenuwcentrum" voor het beheer van netwerkbeveiligingsapparatuur. De kwetsbaarheid is aanwezig in de webinterface van het FMC. Volgens Cisco wordt het probleem veroorzaakt door een "onjuist systeemproces" dat tijdens het opstarten wordt gestart.

Een aanvaller kan misbruik van dit proces maken door speciaal geprepareerde HTTP requests naar het systeem te sturen. Vervolgens kan een aanvaller de authenticatie omzeilen en scripts en commando's op het systeem uitvoeren, om zo root-toegang tot het onderliggende besturingssysteem te krijgen. Toen Cisco het beveiligingsbulletin op 4 maart publiceerde was het netwerkbedrijf niet bekend met misbruik van de kwetsbaarheid. Gisteren werd het bulletin van een update voorzien, waarin Cisco meldde dat het sinds augustus bekend is met misbruik van CVE-2026-20079.

Opvallend aan het beveiligingsbulletin is dat het op 31 juli door Cisco werd voorzien van Indicators of Compromise (IoC's), waarmee organisaties kunnen controleren of hun FMC-systemen zijn gehackt. Volgens Cisco wordt de kwetsbaarheid misbruikt door statelijke actoren. Zo installeren de aanvallers webshells om toegang tot het FMC-systeem te behouden. Ook wordt er malware geïnstalleerd voor het stelen van credentials, het uitvoeren van netwerkscans en packet sniffing. Bij het uitkomen van de beveiligingsupdate waarschuwde het Nationaal Cyber Security Centrum (NCSC) dat het op korte termijn grootschalig misbruik verwachtte.