Nach Ciscos Darstellung ist CVE-2026-20316 unabhängig von der Gerätekonfiguration in Cisco Secure FMC Software vorhanden. Nicht betroffen sind dagegen Cloud-Delivered FMC, Firewall Device Manager, Secure Firewall ASA Software, Secure Firewall Threat Defense Software und Security Cloud Control.
Die Schwachstelle erlaubt laut Cisco einem nicht authentifizierten Angreifer aus der Ferne den Zugriff über die fest eingebauten Zugangsdaten eines Kontos mit niedrigen Rechten. Dass Cisco die Lücke trotz des CVSS-Werts von 5,3 als schwerwiegend einstuft, begründet der Hersteller damit, dass sich dieser Erstzugang mit anderen, nicht näher benannten FMC-Schwachstellen zur Rechteausweitung kombinieren lasse.
Cisco gibt an, seit Juli 2026 von aktiver Ausnutzung zu wissen. Wann die Angriffe begonnen haben, wer sie ausführt und welche Ziele angegriffen wurden, ließ das Unternehmen offen. Die Angriffsfläche ist laut Cisco kleiner, wenn die Management-Schnittstelle von FMC nicht öffentlich aus dem Internet erreichbar ist.
Für betroffene Installationen empfiehlt Cisco eine Prüfung der Datei /var/log/messages auf Hinweise auf eine Ausnutzung. Als möglicher Indikator für eine Kompromittierung nennt der Hersteller einen Log-Eintrag mit /var/tmp/license.tmp. Dieser Eintrag zeige, dass der FMC-Webprozess, der unter dem Konto www läuft, Ciscos Skript package_info.pl mit Root-Rechten aufruft und dabei die Datei /var/tmp/license.tmp übergibt.
Findet sich dieser Indikator auf einem Gerät, sollten Administratoren laut Cisco sämtliche Benutzerzugangsdaten, Schlüssel und Zertifikate auf dem betroffenen FMC-System austauschen, weil die Ausnutzung bereits andauere. Organisationen, die von einer Kompromittierung ausgehen, sollen sich zudem für Unterstützung bei der Wiederherstellung an den Cisco TAC wenden.
Parallel dazu hat Cisco auch einen Hinweis zu einer separaten kritischen FMC-Schwachstelle aktualisiert: CVE-2026-20079. Diese Authentifizierungsumgehung erreicht den maximalen CVSS-Wert 10,0 und erlaubt einem nicht authentifizierten Angreifer aus der Ferne, durch speziell gestaltete HTTP-Anfragen die Authentifizierung zu umgehen und Skripte sowie Befehle mit Root-Rechten auf einem betroffenen FMC-Gerät auszuführen. Laut Cisco wird die Schwachstelle durch einen fehlerhaften Systemprozess verursacht, der beim Start des Systems erzeugt wird.
Im Unterschied zu CVE-2026-20316 sind für CVE-2026-20079 weder Zugangsdaten noch ein vorheriger Zugriff auf das Gerät erforderlich. Cisco hatte diese Schwachstelle ursprünglich im März 2026 offengelegt und den Hinweis am 29. Juli um eine zweite Bug-ID, Hotfixes und Kompromittierungsindikatoren ergänzt. Nach Angaben des Unternehmens gibt es bislang keine Hinweise auf eine bösartige Ausnutzung von CVE-2026-20079.
Auffällig ist, dass Cisco in beiden Hinweisen denselben Indikator /var/tmp/license.tmp veröffentlicht hat, ohne zu erläutern, ob die beiden Schwachstellen miteinander zusammenhängen. Cisco erklärte außerdem nicht, warum derselbe Indikator in beide Hinweise aufgenommen wurde. BleepingComputer bat das Unternehmen um Klarstellung zu einem möglichen Zusammenhang und dazu, ob CVE-2026-20079 ebenfalls ausgenutzt wurde.
Für CVE-2026-20079 stellt Cisco dieselben Secure-FMC-Hotfixes bereit wie für CVE-2026-20316. Auch hier gibt es laut Hersteller keine Umgehungslösungen, die die Schwachstelle vollständig beseitigen.