CVE-2026-20341: Kritisk sårbarhed i Cisco Secure FMC
Kritisk fejl i Cisco Secure FMC Software (CVE-2026-20341) kan give en administrator root-adgang til FMC og dets HA-par. Opdatér FMC.
Hvad er det?
CVE-2026-20341 er en fejl i sftunnel, det protokol som Cisco Secure FMC Software bruger til at kommunikere med de Cisco FTD-firewalle (Firewall Threat Defense), det administrerer. Fejlen skyldes usikker deserialisering, altså at systemet omdanner modtagne data til programkode uden at kontrollere, om dataene er tillid værd. En angriber kan sende specialfremstillede RPC-kald (fjernprocedurekald, en måde at bede et andet system om at udføre en funktion) over sftunnel-forbindelsen og på den måde få root-rettigheder, den højeste adgang på systemet, på selve FMC-serveren og dens backup-partner.
Hvem rammer det?
Sårbarheden rammer virksomheder og kommuner, der bruger Cisco Secure FMC Software til at administrere Cisco Firepower/FTD-firewalle. Det gælder typisk organisationer med en centraliseret firewallinfrastruktur, hvor FMC styrer flere FTD-enheder samtidig, herunder opsætninger med high-availability, hvor to FMC-enheder kører som par. NVD-data angiver ikke specifikke versionsnumre, så alle installationer af Cisco Secure FMC Software bør undersøges.
Hvad kan ske?
En angriber, der allerede har gyldige administratorlogin på en administreret FTD-enhed, kan udnytte fejlen til at få root-adgang til den overordnede FMC-server og dens HA-par. Det giver fuld kontrol over firewallreglerne for hele organisationens netværk, mulighed for at slette logs, oprette bagdøre eller lukke sikkerhedsfunktioner ned. Da FMC ofte styrer den samlede netværkssegmentering, kan et kompromitteret FMC bruges som springbræt til andre dele af netværket.
Hvor alvorligt er det?
CVSS-scoren er 9,1 ud af 10, kritisk. Angrebet kræver ikke brugerhandling og kan udføres over netværket med lav teknisk kompleksitet, men det kræver, at angriberen allerede har gyldige administratorrettigheder på en FTD-enhed, der er koblet til FMC. Det betyder, at truslen primært kommer fra en kompromitteret administratorkonto eller en insider, ikke fra en tilfældig ekstern angriber. Der er ingen offentlige oplysninger om, at sårbarheden aktivt udnyttes.
Hvad gør jeg nu?
Følgende trin lukker hullet og reducerer risikoen for jeres Cisco-infrastruktur.
- Opdatér Cisco Secure FMC Software til den version, hvor Cisco har rettet CVE-2026-20341, og gennemfør opdateringen på begge enheder i et high-availability-par.
- Gennemgå, hvem der har administratorrettigheder på jeres FTD-enheder, og fjern adgang, der ikke er nødvendig.
- Skift adgangskoder for alle FTD-administratorkonti og indfør to-faktor-godkendelse, hvis det ikke allerede er på plads.
- Begræns netværksadgang til sftunnel-forbindelsen, så kun kendte og betroede enheder kan kommunikere med FMC.
- Overvåg logs for uventede RPC-kald eller ændringer i firewallregler efter opdateringen.
- Kontakt Cisco eller en sikkerhedsrådgiver, hvis I ikke selv kan verificere, at opdateringen er korrekt installeret på alle FMC- og FTD-enheder.
Opdatér FMC inden for få dage
Vi anbefaler, at I opdaterer Cisco Secure FMC Software til den rettede version hurtigst muligt og samtidig strammer op på, hvem der har administratoradgang til jeres FTD-enheder. Det er kun forsvarligt at vente, hvis I kan dokumentere, at ingen udenfor en meget lille, betroet gruppe har administratorlogin til FTD-enhederne, og at sftunnel-forbindelsen allerede er isoleret fra andre netværk.
Tidslinje
Konkrete eksempler
Kompromitteret administratorkonto giver fuld firewallkontrol
En dansk mellemstor virksomhed opdager, at en tidligere IT-medarbejders administratorkonto til en Cisco FTD-firewall ikke er blevet deaktiveret efter fratrædelse. Kontoen bruges til at sende specialfremstillede RPC-kald over sftunnel til FMC, som giver root-adgang til både FMC og dets backup-enhed. Herfra ændrer angriberen firewallregler, så trafik fra en bestemt server kan passere uden logning, og dækker sine spor ved at slette hændelseslogs.
Ofte stillede spørgsmål
Er vi ramt af CVE-2026-20341?
I er ramt, hvis I bruger Cisco Secure FMC Software til at administrere en eller flere Cisco FTD-firewalle. Kontrollér jeres FMC-version og sammenhold den med Ciscos sikkerhedsbulletin for CVE-2026-20341.
Kræver angrebet, at nogen udenfor virksomheden får adgang?
Nej. Angriberen skal allerede have gyldige administratorrettigheder på en FTD-enhed, der er koblet til FMC. Risikoen kommer derfor primært fra kompromitterede interne konti eller insidere, ikke fra en helt udenforstående angriber uden login.
Kan vi vente til den næste planlagte vedligeholdelse?
Det afhænger af, hvor mange der har administratoradgang til jeres FTD-enheder. Har I mange administratorkonti eller delte adgangskoder, bør I ikke vente, da en enkelt kompromitteret konto kan give fuld root-adgang til hele firewallinfrastrukturen.
Hvordan tjekker vi, om vores FMC er opdateret?
Log ind på FMC-administrationskonsollen og se den installerede softwareversion under system- eller om-siden. Sammenhold versionen med den, Cisco angiver som rettet i deres sikkerhedsbulletin for CVE-2026-20341.
Skal vi anmelde dette til myndigheder?
Der er ikke krav om anmeldelse alene fordi en sårbarhed findes. Har I derimod tegn på, at sårbarheden er udnyttet og persondata eller kritisk infrastruktur er berørt, kan I være forpligtet til at anmelde det til Datatilsynet efter databeskyttelsesreglerne.
Påvirker opdateringen driften af vores firewalle?
Opdatering af FMC kan kræve en kort nedetid for administrationskonsollen, mens selve firewalltrafikken på FTD-enhederne typisk fortsætter uafbrudt. Planlæg opdateringen i et vindue, hvor administrativ adgang til FMC ikke er kritisk.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A vulnerability in the sftunnel inter-device communication protocol of Cisco Secure FMC Software could allow an authenticated, remote attacker to obtain root privileges.
This vulnerability is due to unsecured deserialization of untrusted data over the sftunnel management connection. An attacker could exploit this vulnerability by sending crafted sftunnel remote procedure calls (RPCs). A successful exploit could allow the attacker to gain root privileges on a device that is running Cisco Secure FMC Software and its high-availability peer.
To exploit this vulnerability, the attacker must have valid administrative credentials on a managed Cisco FTD device.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.