シスコは、セキュア・ファイアウォール・マネジメント・センター（FMC）ソフトウェアに存在する2つの最大深刻度の脆弱性を修正するセキュリティ・アップデートをリリースした。
Secure FMC は、管理者が Cisco ファイアウォールを管理し、アプリケーション制御、侵入防御、URL フィルタリング、および高度なマルウェア防御を設定するための Web または SSH ベースのインターフェイスです。
認証バイパスの脆弱性（CVE-2026-20079）により、攻撃者は基礎となるオペレーティングシステムへのルートアクセスを得ることができ、リモートコード実行（RCE）の脆弱性（CVE-2026-20131）により、パッチを適用していないデバイス上でルートとして任意のJavaコードを実行することができます。
「攻撃者は、影響を受けるデバイスに細工した HTTP リクエストを送信することで、この脆弱性を悪用することができます。この脆弱性の悪用に成功すると、攻撃者はデバイスへの root アクセスを許可する様々なスクリプトやコマンドを実行できるようになります。
「攻撃者は、影響を受けるデバイスのウェブベースの管理インターフェイスに、細工されたシリアライズされたJavaオブジェクトを送信することで、この脆弱性を悪用することができます。悪用に成功すると、攻撃者はデバイス上で任意のコードを実行し、権限をrootに昇格させることができます」と、CiscoはCVE-2026-20079について付け加えている。
どちらも Cisco Secure FMC Software に影響を及ぼすが、CVE-2026-20131 は Cisco Security Cloud Control (SCC) Firewall Management にも影響を及ぼす。Cisco Security Cloud Control (SCC) Firewall Management は、Cisco ファイアウォールやその他のデバイスのポリシーを簡素化するクラウドベースのセキュリティポリシーマネージャである。
現時点では、同社の製品セキュリティインシデント対応チーム（PSIRT）は、この2つのセキュリティ欠陥が攻撃に悪用されているという証拠や、概念実証（PoC）の悪用コードがオンラインで公開されているという証拠をつかんでいない。
本日、シスコは、Secure FMC、Secure Firewall Adaptive Security Appliance、Secure Firewall Threat Defense ソフトウェアの15の重大度の高いセキュリティ欠陥を含む、他の数十のセキュリティ脆弱性にもパッチを適用した。
シスコは8月にも、Secure FMC の最大重大度の欠陥を修正し、認証されていないリモートの攻撃者が、パッチの適用されていないデバイス上で実行される任意のシェルコマンドを注入できるようにすることを警告した。
さらに最近では、1月に、11月以降セキュアな電子メールアプライアンスに対する攻撃に悪用されている最大深刻度のCisco AsyncOSのゼロデイに対するパッチをリリースし、同じくゼロデイ攻撃に使用されているユニファイド・コミュニケーション（Unified Communications）の重大なRCEに対処した。
また先月には、ゼロデイとして悪用されたCatalyst SD-WAN 認証バイパスの最大レベルの欠陥にもパッチを適用し、リモート攻撃者がコントローラを侵害し、悪意のある不正ピアを標的のネットワークに追加できるようにした。
.ia_ad { background-color：#width: 95%; max-width: 800px; margin: 15px auto; border-radius: 8px; border：1px solid #d6ddee; display: flex; align-items: stretch; padding: 0; overflow: hidden; }：0; overflow: hidden; } .ia_lef { flex: 1; max-width: 200px; height: auto; display: flex; align-items: stretch; } .ia_lef a { display: flex; width: 100%; height: 100%; } .ia_lef a img { width: 100%; height: 100%; border-radius: 8px 0 0 8px; margin: 0; display: block; } .ia_rig { flex: 2; padding：display: flex; flex-direction: column; justify-content: center; } .ia_rig h2 { font-size: 17px !important; font-weight: 700; color：#line-height: 1.4; font-family：margin: 0 0 14px 0; } .ia_rig p { font-weight: bold; font-size: 14px; margin: 0 0 clamp(6px, 2vw, 14px) 0; } .ia_button { background-color：#border：1px solid #3b59aa; color: black; text-align: center; text-decoration: none; border-radius: 8px; display: inline-block; font-size: 16px; font-weight: bold; cursor: pointer; padding：width: fit-content; } .ia_button a { text-decoration: none; color: inherit; display: block; } @media (max-width: 600px) { .ia_ad { flex-direction: column; align-items: center; } .ia_lef { max-width: 100%; } .ia_lef a img { border-radius: 8px 8px 0 0; } .ia_rig { padding：15px;
width: 100%;
}
.ia_button {
width: 100%;
margin: 0px auto;
}
}
レッドレポート2026：ランサムウェアの暗号化が38％減少した理由
マルウェアはますます賢くなっています。レッドレポート2026では、新しい脅威がどのように数学を使ってサンドボックスを検出し、目に見えないところに隠れているかを明らかにしています。
110万件の悪意のあるサンプルの分析結果をダウンロードして、トップ10のテクニックを明らかにし、セキュリティ・スタックが盲点になっていないか確認してください。
Comments