Die Ursache der Schwachstelle liegt laut Cisco in einem fehlerhaft angelegten Systemprozess, der beim Systemstart erzeugt wird. Angreifer können den Fehler über präparierte HTTP-Anfragen an die Weboberfläche eines betroffenen Geräts ausnutzen und anschließend ohne Anmeldung Skripte und Befehle mit Root-Rechten ausführen.
Cisco nennt keinen Zeitpunkt für den Beginn der Angriffe. Die im Advisory veröffentlichten Kompromittierungsindikatoren legen jedoch nahe, dass die Lücke früher missbraucht wurde, als der Hersteller angibt. Bereits eine Aktualisierung aus dem Juli enthielt dieselben Indikatoren, die Cisco für eine zweite FMC-Schwachstelle veröffentlicht hatte.
Diese zweite Lücke, CVE-2026-20316, hatte Cisco am 29. Juli offengelegt. Sie geht auf statisch hinterlegte Zugangsdaten für ein Konto mit geringen Rechten zurück. Cisco stufte sie als hoch ein und erklärte damals, sie werde aktiv angegriffen; der so erlangte Zugang lasse sich mit weiteren FMC-Schwachstellen kombinieren, um Rechte auszuweiten. Wie BleepingComputer damals berichtete, übernahm Cisco die identischen Indikatoren in das Advisory zu CVE-2026-20079, bestätigte eine Ausnutzung dieser Lücke aber nicht.
Administratoren empfahl Cisco, die Datei /var/log/messages nach Aktivitäten im Zusammenhang mit /var/tmp/license.tmp zu durchsuchen, und stellte dazu einen Beispiel-Logeintrag bereit. Findet sich ein solcher Eintrag, sei die Schwachstelle auf dem untersuchten Secure-FMC-Gerät „möglicherweise ausgenutzt worden“. Der Beispieleintrag trägt das Datum 23. Juli – also Wochen vor dem August, in dem das PSIRT nach eigener Darstellung von der Ausnutzung erfuhr.
Für beide Schwachstellen veröffentlichte Cisco dieselben Hotfixes. Auf Nachfrage von BleepingComputer, ob die beiden Lücken zusammenhängen, ob auch CVE-2026-20079 angegriffen wurde und ob der gemeinsame Indikator absichtlich in beide Advisories aufgenommen wurde, antwortete Cisco nicht direkt. Ein Sprecher erklärte lediglich: „Am 29. Juli 2026 hat Cisco Software-Fixes für Schwachstellen im Cisco Secure Firewall Management Center (FMC) veröffentlicht. Die Details sind in den Sicherheitshinweisen beschrieben (Schwachstelle durch statische Zugangsdaten, Schwachstelle zur Umgehung der Authentifizierung), und Cisco empfiehlt Kunden dringend, die verfügbaren Fixes umgehend einzuspielen.“ Kunden, die Unterstützung benötigten, sollten sich an das Cisco Technical Assistance Center (TAC) wenden.
Die jüngste Aktualisierung bestätigt nun die Ausnutzung von CVE-2026-20079, klärt aber nicht, ob bei den Aktivitäten vom 23. Juli beide Schwachstellen zum Einsatz kamen. Die übereinstimmenden Indikatoren, die identischen Hotfixes vom Juli und der Logeintrag deuten darauf hin, dass beide Lücken in denselben Angriffen genutzt worden sein könnten.
Wer Kompromittierungsindikatoren auf seinen Systemen findet, soll sich laut Cisco an das TAC wenden. Der Hersteller weist ausdrücklich darauf hin, dass die Hotfixes zwar künftige Ausnutzung verhindern, bereits kompromittierte Geräte damit aber nicht bereinigt werden.