Lưu ý: Dữ liệu này chỉ có tính chất tham khảo, phục vụ nghiên cứu an ninh mạng.CyStack khuyến nghị người dùng không sử dụng các thông tin này nhằm các mục đích bất hợp pháp
Lỗ hổng CVE-2026-20079 là lỗ hổng Authentication Bypass Using an Alternate Path or Channel ảnh hưởng tới Cisco Secure Firewall Management Center (FMC) (phiên bản bị ảnh hưởng: 7.0.0, 7.0.0.1 và các phiên bản bị ảnh hưởng khác). Lỗ hổng này được xếp hạng ở mức Nghiêm trọng, với điểm CVSS 10. Lỗ hổng này đã được ghi nhận khai thác trong thực tế.
Một lỗ hổng trong giao diện web của Cisco Secure Firewall Management Center (FMC) Software có thể cho phép kẻ tấn công từ xa không cần xác thực vượt qua cơ chế xác thực và thực thi các tệp script trên thiết bị bị ảnh hưởng để đạt quyền root trên hệ điều hành underlying. Lỗ hổng này xuất phát từ một system process không phù hợp được tạo khi khởi động. Kẻ tấn công có thể khai thác lỗ hổng bằng cách gửi các HTTP request được tạo đặc biệt tới thiết bị bị ảnh hưởng. Khai thác thành công có thể cho phép kẻ tấn công thực thi nhiều script và command khác nhau để đạt quyền root trên thiết bị.
7.0.0, 7.0.0.1, 7.0.1, 7.0.1.1, 7.0.2, 7.0.2.1, 7.0.3, 7.0.4, 7.0.5, 7.1.0, 7.1.0.1, 7.1.0.2, 7.1.0.3, 7.2.0, 7.2.0.1, 7.2.1, 7.2.2, 7.2.3, 7.3.0 và 7.3.1.7.0 and earlier, 7.2, 7.4, 7.6, 7.7, 10.0 và 10.1, với first fixed release tương ứng lần lượt là 7.0.10, 7.2.12, 7.4.8, 7.6.6, 7.7.13, 10.0.2 và 10.1.0.Lỗ hổng nằm trong web interface của Cisco Secure Firewall Management Center (FMC) Software và thuộc nhóm Authentication Bypass Using an Alternate Path or Channel. Cisco cho biết nguyên nhân là một system process không phù hợp được tạo khi thiết bị khởi động. Kẻ tấn công không cần xác thực có thể gửi HTTP request được tạo специально tới thiết bị có thể truy cập qua mạng, vượt qua cơ chế xác thực rồi chạy các script và command trên underlying operating system với quyền root. Chi tiết triển khai còn thiếu, bao gồm tên process, endpoint HTTP, định dạng request và lỗi kiểm tra cụ thể. Cisco cho biết attack surface giảm nếu FMC management interface không có kết nối Internet công khai, nhưng đây không phải là bản sửa lỗi.
Lỗ hổng có thể bị khai thác từ xa qua web interface bằng các HTTP request được tạo специально. Theo dữ liệu CVE và advisory của Cisco, attacker không cần tài khoản, không cần user interaction và không cần điều kiện khai thác phức tạp. Cisco PSIRT cho biết đã nhận biết việc khai thác thực tế từ August 2026, còn Cisco Talos đang theo dõi hoạt động khai thác đối với các FMC chưa được vá. Một public PoC và technical write-up cũng đã được công bố, vì vậy trạng thái public exploit đã được xác nhận. Việc không công khai management interface chỉ làm giảm attack surface, không chứng minh thiết bị an toàn.
Kết quả kỹ thuật của exploit là bypass authentication trên web interface, sau đó thực thi script và command với quyền root trên underlying operating system. Điều này vượt qua ranh giới kiểm soát truy cập của FMC và có thể cho phép attacker thay đổi trạng thái hệ thống, đọc dữ liệu nhạy cảm hoặc làm gián đoạn dịch vụ quản trị. Tác động thực tế phụ thuộc vào khả năng truy cập đến management interface, các quyền và dữ liệu mà thiết bị nắm giữ, cũng như việc tổ chức có cơ chế phân đoạn và giám sát bổ sung hay không. Nếu thiết bị đã bị compromise, chỉ nâng cấp phần mềm không đủ để chứng minh rằng các thay đổi hoặc persistence do attacker tạo ra đã được loại bỏ.
Khai thác thành công có thể trao cho attacker quyền root trên thiết bị quản lý firewall. Quyền này có thể cho phép đọc hoặc thay đổi dữ liệu và cấu hình trên hệ thống, chạy command tùy ý, làm gián đoạn hoạt động quản trị hoặc sử dụng FMC làm điểm xuất phát cho các hành động tiếp theo trong môi trường. Việc đạt quyền trên underlying operating system có thể ảnh hưởng đồng thời đến confidentiality, integrity và availability của thiết bị. Entry này không xác nhận rằng một tổ chức cụ thể đã bị xâm phạm hoặc dữ liệu cụ thể đã bị đánh cắp.
7.0 and earlier lên 7.0.10, nhánh 7.2 lên 7.2.12, nhánh 7.4 lên 7.4.8, nhánh 7.6 lên 7.6.6, nhánh 7.7 lên 7.7.13, nhánh 10.0 lên 10.0.2 hoặc nhánh 10.1 lên 10.1.0. Đây là các first fixed release được Cisco nêu trong advisory hiện tại, không phải lời khẳng định mở rộng rằng mọi release later hoặc parallel đều an toàn.zgrep "package_info.*license" /var/log/messages*. Nếu kết quả có tham chiếu đến /var/tmp/license.tmp, Cisco xác định đây là dấu hiệu cho thấy thiết bị có thể đã bị khai thác.66075-66080 nếu môi trường có hỗ trợ để phát hiện traffic liên quan. Việc không thấy rule match hoặc không có log phù hợp không chứng minh rằng thiết bị chưa bị xâm nhập.Giải pháp CyStack VulnScan liên tục phát hiện tài sản, xác minh lỗ hổng và giúp đội ngũ bảo mật ưu tiên khắc phục cho toàn bộ doanh nghiệp.
vi
