Nach Angaben von Cisco beruht CVE-2026-20316 auf statischen Benutzerzugangsdaten für ein Konto mit niedrigen Rechten. Ein Angreifer kann diese Schwachstelle ausnutzen, indem er sich mit diesem Konto an einem betroffenen System anmeldet. Gelingt das, ist laut Hersteller ein Zugriff auf sensible Daten mit den Rechten dieses Benutzers möglich.
Cisco weist darauf hin, dass die Angriffsfläche geringer ist, wenn die FMC-Management-Schnittstelle nicht aus dem öffentlichen Internet erreichbar ist. Trotzdem bewertet das Unternehmen die Schwachstelle mit einem Security Impact Rating von „Hoch“ statt „Mittel“. Als Begründung nennt Cisco die Möglichkeit, den Fehler mit anderen Schwachstellen in Cisco Secure FMC Software zu kombinieren, um Rechte zu erhöhen.
CISA nahm die Lücke am Mittwoch in den Known Exploited Vulnerabilities Catalog auf. Wegen der aktiven Ausnutzung empfiehlt die Behörde den Federal Civilian Executive Branch (FCEB)-Behörden, die bereitgestellten Korrekturen bis zum 1. August 2026 einzuspielen.
Behoben wurde das Problem laut Cisco in Hotfix-Versionen für Cisco Secure FMC Software. Konkrete Hinweise auf eine mögliche Kompromittierung liefert der Hersteller ebenfalls: Kunden sollen im Expertenmodus den CLI-Befehl „cat /var/log/messages | grep license“ ausführen. Taucht in der Ausgabe „/var/tmp/license.tmp“ auf, besteht laut Cisco die Möglichkeit, dass die Schwachstelle auf dem Cisco-Secure-FMC-Gerät ausgenutzt wurde.
Parallel dazu hat Cisco auch seine Warnmeldung zu CVE-2026-20079 mit einem CVSS-Wert von 10,0 aktualisiert. Dabei handelt es sich um eine kritische Schwachstelle zur Umgehung der Authentifizierung in Cisco Secure FMC Software. Neu ergänzt wurden nach Angaben des Unternehmens eine zweite Bug-ID mit der Bezeichnung „CSCwt95974“, dieselben Kompromittierungsindikatoren sowie Hotfixes.
Für CVE-2026-20079 sagte Cisco allerdings, dass dem Unternehmen keine bösartige Ausnutzung bekannt sei. Da diese Schwachstelle die Ausführung beliebiger ausführbarer Skriptdateien ermöglicht, um Root-Zugriff zu erlangen, deutet der identische Indikator „/var/tmp/license.tmp“ nach Einschätzung im Hinweistext darauf hin, dass Angreifer beide Fehler möglicherweise zu einer Codeausführung verketten könnten.