Cisco FMC contient des identifiants codés en dur — deux zero-days exploités activement, un CVSS 10.0

29 juillet 2026, Cisco publie deux avis de sécurité pour Secure Firewall Management Center (FMC). Le premier, CVE-2026-20316, révèle des identifiants statiques codés en dur dans le logiciel — exploités en zero-day par des attaquants. Le second, CVE-2026-20079, affiche un CVSS 10.0 : bypass d’authentification complet, exécution de code en root sans credentials. Les deux vulnérabilités partagent le même indicateur de compromission (/var/tmp/license.tmp), et Cisco refuse de dire si elles sont liées.

Le message est brutal. Si votre interface FMC est accessible depuis Internet, vous êtes probablement déjà compromis. Si elle ne l’est pas, vérifiez vos logs maintenant — l’exploitation est en cours depuis juillet 2026 et les attaquants ne laissent pas de traces évidentes.

CVE-2026-20316 : le mot de passe que Cisco a oublié d’enlever

La première vulnérabilité est une erreur de conception élémentaire. Cisco Secure FMC Software embarque des identifiants statiques pour un compte à faibles privilèges — un mot de passe unique compilé dans le binaire et identique sur toutes les instances déployées dans le monde.

Un attaquant non authentifié peut utiliser ces credentials pour se connecter à distance et accéder aux données sensibles accessibles au compte compromis. Cisco attribue à CVE-2026-20316 un score CVSS 5.3 mais un niveau de sévérité High — le score brut sous-estime le risque parce que l’accès initial peut être combiné avec d’autres vulnérabilités pour monter en privilèges.

La vulnérabilité a été découverte et signalée par Jimi Sebree de Horizon3.ai. Cisco reconnaît une exploitation active depuis juillet 2026 mais refuse de préciser depuis quand les attaques ont commencé, qui est derrière, et quelles organisations ont été ciblées. Le périmètre réel de la compromission est inconnu.

Toutes les versions de Cisco Secure FMC Software sont concernées, quelle que soit la configuration. Les déclinaisons cloud (Cloud-Delivered FMC, Security Cloud Control) et les appliances autonomes (Firewall Device Manager, Secure Firewall ASA, Secure Firewall Threat Defense) ne sont pas impactées.

CVE-2026-20079 : le 10.0 qui rend la static credential presque anecdotique

Publiée initialement en mars 2026 et mise à jour le 29 juillet, CVE-2026-20079 est une vulnérabilité d’authentication bypass qui permet à un attaquant non authentifié d’exécuter des scripts et commandes en tant que root en envoyant des requêtes HTTP forgées au dispositif FMC.

Contrairement à CVE-2026-20316, cette faille ne nécessite aucun credentials préalable, aucun accès initial. Le processus système défectueux est créé au démarrage de l’appliance et reste exploitable tant que FMC fonctionne. CVSS 10.0 — le score maximal — signifie que l’impact sur la confidentialité, l’intégrité et la disponibilité est total.

Cisco affirme ne pas avoir connaissance d’exploitation malveillante de CVE-2026-20079, mais a néanmoins ajouté le même indicateur de compromission (/var/tmp/license.tmp) dans les deux avis le 29 juillet. La coïncidence est troublante. BleepingComputer a contacté Cisco pour clarifier si les deux vulnérabilités sont liées et si l’indicateur partagé l’est intentionnellement — aucune réponse au moment de la publication.

Un détail technique rend la situation plus opaque encore : la description de CVE-2026-20079 indique qu’elle peut être exploitée sans utiliser les identifiants statiques de CVE-2026-20316 pour obtenir un accès root. Deux chemins indépendants mènent au même résultat, vers la même cible.

Un seul IOC pour deux CVE : /var/tmp/license.tmp

L’indicateur de compromission communiqué par Cisco est identique dans les deux avis. Les administrateurs doivent rechercher dans /var/log/messages une entrée où le processus web FMC, exécuté sous le compte www, invoque le script package_info.pl en tant que root avec le fichier /var/tmp/license.tmp :

# En mode expert sur l'appliance FMC :
grep "license.tmp" /var/log/messages

Si cette entrée est présente, Cisco recommande de considérer le dispositif comme compromis et d’appliquer immédiatement les actions suivantes :

• Rotation complète des credentials : tous les mots de passe utilisateurs, clés API, certificats et secrets stockés sur le FMC.
• Vérification des appliances gérées : un FMC compromis peut avoir déployé des configurations malveillantes vers les firewalls qu’il administre.
• Contact avec le TAC Cisco pour assistance au recovery.

Cisco précise que la surface d’attaque est réduite lorsque l’interface de gestion FMC n’est pas exposée à Internet. Mais « réduite » ne veut pas dire « nulle » : un attaquant déjà présent sur le réseau interne — via une compromission initiale, un accès VPN ou un poste de travail infecté — peut exploiter ces vulnérabilités depuis l’intérieur.

Hotfixes disponibles, pas de workaround

Cisco a publié des correctifs pour les branches 7.0, 7.2, 7.4, 7.6, 7.7 et 10.0 de Secure FMC. Il n’existe aucune mesure de contournement qui neutralise complètement les vulnérabilités. La seule option est l’application des hotfixes.

Les numéros de build corrigés sont listés dans les avis de sécurité cisco-sa-fmc-static-cred et cisco-sa-fmc-auth-bypass. Cisco recommande de mettre à jour toutes les instances immédiatement, sans attendre la prochaine fenêtre de maintenance planifiée.

Pour les organisations qui ne peuvent pas appliquer les correctifs dans l’immédiat, la seule mitigation efficace est le désaccouplage réseau complet de l’interface de gestion FMC : la placer derrière un jump host dédié, sans routage depuis Internet ni depuis le réseau utilisateur général, avec une authentification multi-facteurs obligatoire et une journalisation exhaustive des sessions.

FMC, angle mort de la sécurité périmétrique

Cisco Secure Firewall Management Center est la console centrale qui gère les politiques de sécurité, les règles de pare-feu, les signatures IPS, les mises à jour de threat intelligence et les corrélations d’événements pour des dizaines, parfois des centaines de firewalls. C’est la clé de voûte de la posture de sécurité réseau de l’organisation.

Le paradoxe est connu mais rarement corrigé : on durcit les firewalls qu’il gère, mais on laisse le FMC avec des identifiants par défaut, des interfaces exposées et des cycles de mise à jour trimestriels. Une compromission du FMC donne à l’attaquant la capacité de :

• Modifier les règles de pare-feu pour ouvrir des accès vers l’intérieur du réseau.
• Désactiver les signatures IPS/IDS qui détecteraient les mouvements latéraux.
• Exfiltrer les logs de sécurité qui contiennent la topologie réseau complète, les adresses IP internes, les politiques de filtrage et les informations de segmentation.
• Déployer des configurations malveillantes vers les appliances gérées, transformant les firewalls en relais ou en pivots pour l’attaquant.

L’architecture même de FMC en fait une cible de choix. Une seule appliance compromet toute la chaîne de défense.

Pourquoi la CVSS 5.3 est trompeuse

Le score CVSS 5.3 de CVE-2026-20316 peut donner un faux sentiment de sécurité. Cisco lui-même l’a classée High et non Medium, reconnaissant que le score calculé ne reflète pas le risque réel. La raison est simple : la CVSS mesure l’impact d’une vulnérabilité isolée, pas son potentiel de chaînage.

CVE-2026-20316 fournit un accès initial à un compte, certes à faibles privilèges, mais à l’intérieur de la zone de gestion. Cet accès initial peut être combiné avec :

• Des escalades de privilèges non divulguées que Cisco mentionne sans les identifier.
• CVE-2026-20079 (CVSS 10.0) si l’attaquant pivote depuis le compte compromis.
• Des vulnérabilités locales dans les scripts Perl, Python ou shell utilisés par FMC pour les tâches administratives.

C’est le principe du CVSS composé : une faille Medium devient Critical quand elle est le premier maillon d’une chaîne d’exploitation. Les attaquants ne raisonnent pas en scores isolés.

Que faire maintenant

Le plan d’action dépend de votre exposition :

Si votre FMC est ou a été accessible depuis Internet — appliquez les hotfixes immédiatement, vérifiez l’IOC dans les logs, et traitez l’appliance comme potentiellement compromise. Faites un audit complet des règles de pare-feu déployées depuis juillet 2026 et comparez-les avec votre baseline de configuration connue. Si l’IOC est présent, engagez votre processus de réponse à incident sans délai — l’attaquant a pu pivoter vers les firewalls gérés.

Si votre FMC n’est accessible que depuis le réseau interne — vous n’êtes pas à l’abri. Appliquez les correctifs, vérifiez les logs, et profitez de cette fenêtre pour segmenter l’interface de gestion derrière un VLAN dédié avec un contrôle d’accès strict. Un poste de travail compromis sur le même réseau que FMC peut servir de point d’entrée à un attaquant.

Dans tous les cas — vérifiez les logs avec la commande ci-dessus. L’IOC est simple, la vérification prend 30 secondes. Ne reportez pas.

Verdict

CVE-2026-20316 est un rappel cinglant que les appliances de sécurité ne sont pas intrinsèquement sécurisées. Des identifiants codés en dur dans un produit de gestion de pare-feux, en 2026, sont une faute de conception que l’industrie aurait dû éliminer il y a dix ans.

Le vrai risque n’est pas la faille elle-même — c’est la surface d’attaque invisible que représentent les interfaces de gestion exposées. FMC, vCenter, iDRAC, iLO, IPMI : ces consoles sont la cible prioritaire des attaquants parce qu’elles contrôlent tout ce qui se trouve en dessous.

Si votre FMC est accessible depuis Internet, vous avez un problème. Si vous ne savez pas s’il l’est, vous en avez deux. Vérifiez vos logs, appliquez les hotfixes, et déconnectez l’interface de gestion du réseau public. Aujourd’hui.

Références

• Cisco Security Advisory: Cisco Secure Firewall Management Center Static Credential Vulnerability (cisco-sa-fmc-static-cred) — consulté le 30 juillet 2026
• Cisco Security Advisory: Cisco Secure Firewall Management Center Authentication Bypass Vulnerability (cisco-sa-fmc-auth-bypass) — consulté le 30 juillet 2026
• BleepingComputer — Cisco warns of FMC static credential flaw exploited in zero-day attacks — 29 juillet 2026
• NVD — CVE-2026-20316 — consulté le 30 juillet 2026
• NVD — CVE-2026-20079 — consulté le 30 juillet 2026