CVE-2026-20242: Kritisk fejl i Cisco Secure Firewall Management Center
Kritisk sårbarhed i Cisco Secure Firewall Management Center giver angribere fjernadgang med root uden login. Begræns adgangslisten til ekstern database nu.
Hvad er det?
CVE-2026-20242 er en sårbarhed i funktionen External Database Access i Cisco Secure Firewall Management Center (FMC), det system, mange virksomheder bruger til at styre deres Cisco-firewalls centralt. Fejlen ligger i deserialisering, den proces hvor et program omdanner en modtaget datastrøm til objekter, det kan arbejde med. FMC omdanner usikkert en Java-datastrøm fra en vært, der er sat op i adgangslisten til ekstern database, uden at kontrollere indholdet. En angriber kan sende en forfalsket datastrøm til en bestemt TCP-port og få systemet til at afvikle egne kommandoer med de højeste rettigheder, root.
Hvem rammer det?
Sårbarheden rammer virksomheder og kommuner, der driver Cisco Secure Firewall Management Center med funktionen External Database Access konfigureret og med mindst én vært opsat i adgangslisten. Det gælder typisk it-afdelinger og MSSP’er, der styrer firewallpolitikker for flere kunder eller lokationer fra én central FMC-installation. NVD-oplysningerne angiver ikke specifikke versionsnumre, så I bør tjekke Cisco’s egen sikkerhedsbulletin for at afklare, om jeres konkrete version er ramt.
Hvad kan ske?
Får en angriber adgang til en vært, der står på adgangslisten til ekstern database, kan vedkommende sende forfalskede data og få root-adgang til jeres FMC. FMC styrer firewallregler for hele organisationen, så en kompromitteret FMC kan bruges til at åbne huller i firewallen, slukke for beskyttelse eller skabe et springbræt videre ind i netværket. For en dansk virksomhed betyder det i praksis, at selve det system, der skal beskytte netværket, bliver angriberens indgang.
Hvor alvorligt er det?
CVSS-scoren er 9,8 af 10, kritisk. Angrebet kræver ingen login og ingen handling fra en bruger, og det kan udføres over netværket med lav kompleksitet. Cisco oplyser dog en vigtig begrænsning: angrebet kan kun udføres af en angriber, der allerede har kontrol over en vært, som står på adgangslisten til ekstern database. Har FMC’s administrationsgrænseflade ikke offentlig internetadgang, er den samlede angrebsflade mindre. Der er ingen oplysninger om aktiv udnyttelse i naturen på offentliggørelsesdatoen.
Hvad gør jeg nu?
Følgende trin lukker hullet og begrænser eksponeringen, mens I afventer en officiel opdatering fra Cisco.
- Gennemgå adgangslisten til ekstern database i jeres FMC og fjern alle værter, I ikke er sikre på er nødvendige og betroede.
- Sørg for, at kun betroede, interne systemer kan stå i adgangslisten, og at disse systemer selv er opdaterede og overvågede.
- Kontrollér, at FMC’s administrationsgrænseflade ikke er tilgængelig fra internettet, og afskærm den om muligt bag VPN eller et lukket administrationsnetværk.
- Følg Cisco’s sikkerhedsbulletin for CVE-2026-20242 og installer den rettede softwareversion, så snart den er tilgængelig for jeres FMC-model.
- Overvåg logs for usædvanlig trafik mod den TCP-port, der bruges til ekstern databaseadgang.
- Kontakt os, hvis I ikke selv kan afklare, om jeres FMC-opsætning er eksponeret, eller hvis I skal have hjælp til at hærde adgangslisten.
Gennemgå adgangslisten inden for 24 timer
Vi anbefaler, at I straks gennemgår og strammer adgangslisten til ekstern database i jeres FMC, og at I sikrer, at administrationsgrænsefladen ikke kan nås fra internettet. Det er den mest effektive beskyttelse, indtil Cisco udgiver en rettet version. Det er acceptabelt at afvente selve softwareopdateringen, hvis I allerede har lukket adgangslisten ned og isoleret administrationsadgangen, men vent ikke med at gennemgå konfigurationen.
Tidslinje
Konkrete eksempler
MSSP med central FMC-styring
En dansk it-driftspartner styrer firewallpolitikker for flere mindre kunder fra en fælles Cisco Secure Firewall Management Center. En af de eksterne værter, der er sat op til databaseadgang, bliver kompromitteret gennem en anden svaghed. Angriberen bruger derefter denne vært til at sende en forfalsket datastrøm til FMC og får root-adgang, hvorfra firewallreglerne for alle kundernes netværk kan ændres.
Ofte stillede spørgsmål
Er vores virksomhed ramt af CVE-2026-20242?
I er kun ramt, hvis I bruger Cisco Secure Firewall Management Center med funktionen External Database Access aktiveret og med mindst én vært i adgangslisten. Bruger I ikke denne funktion, er der ingen umiddelbar risiko fra netop denne sårbarhed.
Kan vi vente til weekenden med at rette det?
Ja, hvis I allerede har begrænset adgangslisten til betroede værter og sikret, at administrationsgrænsefladen ikke er tilgængelig fra internettet. Er det ikke tilfældet, bør I gennemgå konfigurationen samme dag, da angrebet ikke kræver login.
Kræver angrebet, at brugeren klikker på noget?
Nej. Angrebet foregår ved, at en angriber sender en forfalsket datastrøm direkte til en TCP-port på FMC. Der er ikke behov for brugerhandling eller login.
Hvordan tjekker vi, om vores FMC er eksponeret?
Kontrollér i FMC’s konfiguration, om External Database Access er aktiveret, og gennemgå listen over godkendte værter. Undersøg desuden, om administrationsgrænsefladen er tilgængelig fra internettet, hvilket i sig selv øger risikoen.
Er sårbarheden udnyttet i praksis?
Der er ingen oplysninger om aktiv udnyttelse på offentliggørelsesdatoen. Det betyder ikke, at risikoen kan ignoreres, da sårbarheden er let at udnytte, hvis forudsætningerne er opfyldt.
Skal vi anmelde dette som et sikkerhedsbrud?
Kun hvis I finder tegn på, at sårbarheden faktisk er blevet udnyttet mod jeres FMC. Selve tilstedeværelsen af sårbarheden udløser ikke i sig selv en anmeldelsespligt, men et konstateret angreb med adgang til persondata kan gøre det.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A vulnerability in the External Database Access feature of Cisco Secure Firewall Management Center (FMC) Software could allow an unauthenticated, remote attacker to execute arbitrary commands as root on an affected device.
This vulnerability is due to insecure deserialization of a user-supplied Java byte stream from a host that is configured in the external database access list. An attacker could exploit this vulnerability by sending a crafted, serialized Java byte stream to a specific TCP port of an affected device. A successful exploit could allow the attacker to execute arbitrary commands on the device and elevate privileges to root.
Notes:
This vulnerability can be exploited only by an attacker who has control of a host in the external database access list.
If the FMC management interface does not have public internet access, the attack surface that is associated with this vulnerability is reduced.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.