CVE-2026-20079 Cisco FMC认证绕过在野利用
漏洞概况Cisco 与 CISA 已确认 Cisco Secure Firewall Management Center（FMC）漏洞 CVE-2026-20079 遭在野利用。该漏洞为严重认证绕过，远程未认证攻击者可通过向受影响设备发送特制 HTTP 请求，在设备上执行恶意脚本并取得底层操作系统 root 权限。Cisco 称漏洞源于启动时创建的系统进程不当。
Cisco 于 2026 年 3 月初发布补丁，7 月底更新公告并加入 IoC，但当时未明确警告在野利用。9 月 9 日，Cisco 再次更新公告，表示已在 8 月知悉 CVE-2026-20079 的活跃利用。CISA 已将该漏洞加入已知被利用漏洞（KEV）目录，要求美国联邦机构在 2026 年 9 月 12 日前完成处置。
处置建议
[*]安装 Cisco 提供的补丁。
[*]确保 FMC 管理接口无法从互联网访问，以显著降低被利用风险。
[*]结合 Cisco 公告中的 IoC 检查入侵痕迹，重点关注异常 HTTP 请求、脚本执行、WebShell 与恶意 JAR 文件等迹象。
威胁活动
Cisco Talos 研究团队报告称，已观察到三个活动集群利用 CVE-2026-20079 与 CVE-2026-20316，涉及国家支持威胁行为者和财务动机团伙。
[*]UAT-12197：利用 CVE-2026-20079，部署 WebShell，并借此投递恶意 JAR 文件，随后获取用户认证数据与凭据。
[*]UAT-11823：与俄罗斯 APT Sandworm 相关，利用上述两个 FMC 漏洞并投递 Cyclops Blink 恶意软件。该样本可下载/上传文件、收集凭据、执行任意文件与命令，并扫描网络。
[*]UAT-11988：据信与 Qilin 勒索软件相关，利用 CVE-2026-20316 访问目标 FMC 设备，进行侦察、窃取凭据，并整理可用于加密的端点列表。
背景
CVE-2026-20079 是 2026 年第三个被加入 CISA KEV 的 FMC 漏洞。此前 CVE-2026-20316 和 CVE-2026-20131 曾被威胁行为者作为零日漏洞利用。
Re: CVE-2026-20079 Cisco FMC认证绕过在野利用
感谢楼主整理，信息很关键。这个漏洞最危险的地方在于未认证远程就能拿到 root，而且已经确认在野利用，不是单纯理论风险。对还在用 FMC 的单位来说，先安装 Cisco 补丁，再把管理接口从互联网上拿掉，应该是最优先的两件事。排查方面按公告里的 IoC 重点看异常 HTTP 请求、脚本执行、WebShell 和恶意 JAR 文件。Talos 提到的三个活动集群也说明攻击者目的从凭据窃取到勒索都有，确实不能掉以轻心。Re: CVE-2026-20079 Cisco FMC认证绕过在野利用
感谢整理，这个确实得按紧急事件对待。认证绕过加 root 权限，而且在野利用已经坐实，还被 CISA 列入 KEV，处置窗口很紧。 建议先盘点 FMC 管理接口有没有暴露在互联网上，能收进内网就赶紧收，实在不行也要加严格访问控制；补丁尽快安排，同时按 Cisco 公告里的 IoC 排查异常 HTTP 请求、脚本执行、WebShell 和恶意 JAR 文件。Talos 提到的三个活动集群也说明风险不只来自单一方向，既有 Sandworm 相关的 Cyclops Blink，也有疑似 Qilin 勒索软件团伙的活动，不能只看边界防护就放心。 后续如果补丁有回归问题或者 IoC 有更新，也欢迎继续同步。Re: CVE-2026-20079 Cisco FMC认证绕过在野利用
感谢整理，这个信息量很大。FMC 这种管理平台一旦被认证绕过拿到 root，影响确实很严重，而且已经在野利用、进了 KEV，说明不是理论风险。 按帖子里说的，最优先还是尽快安装 Cisco 补丁，同时务必把 FMC 管理接口从互联网上收回来，别暴露在外。然后结合 Cisco 公告里的 IoC 排查异常 HTTP 请求、脚本执行、WebShell 和恶意 JAR 文件，尤其关注凭据和认证数据是否被访问。 Talos 提到的三个集群里，既有 Sandworm 这种国家背景，也有勒索相关，攻击目的并不单一，防守方别只盯一个方向。CISA 给联邦机构的期限是 9 月 12 日，其他单位也建议按类似紧急程度处理。感谢提醒，这个得赶紧转给运维和安全同事。
页:
[1]