Cisco Peringatkan Zero-Day Cisco Secure FMC yang Sudah Dieksploitasi Penyerang

Cisco mengeluarkan peringatan mengenai kerentanan zero-day pada Cisco Secure Firewall Management Center (FMC) yang diketahui telah dieksploitasi secara aktif untuk memperoleh akses tidak sah ke perangkat yang rentan.

Kerentanan tersebut dilacak sebagai CVE-2026-20316 dan berasal dari penggunaan kredensial statis yang tertanam di dalam perangkat lunak Cisco Secure FMC.

Meski memiliki skor CVSS 5.3, Cisco mengategorikan kerentanan ini sebagai High Severity karena dapat digabungkan dengan kerentanan lain untuk memperoleh hak akses yang lebih tinggi.

Kredensial Bawaan Dapat Disalahgunakan

Menurut Cisco, perangkat lunak Cisco Secure FMC memiliki akun dengan hak akses rendah yang menggunakan kredensial statis.

Penyerang dari jarak jauh tidak memerlukan autentikasi sebelumnya untuk memanfaatkan kredensial tersebut dan masuk ke sistem yang terdampak.

Setelah berhasil login, pelaku dapat mengakses berbagai informasi sensitif yang tersedia untuk akun tersebut.

Cisco menjelaskan bahwa akses awal ini dapat dikombinasikan dengan kerentanan lain guna meningkatkan hak akses hingga tingkat administrator, meski perusahaan belum mengungkap detail teknik eksploitasi maupun kerentanan tambahan yang digunakan.

Sudah Dieksploitasi di Dunia Nyata

Cisco mengonfirmasi bahwa CVE-2026-20316 telah digunakan dalam serangan sejak Juli 2026.

Namun, perusahaan belum mengungkap:

• Identitas pelaku serangan.
• Kapan eksploitasi pertama kali dimulai.
• Jenis organisasi yang menjadi korban.

Kerentanan ini ditemukan oleh Jimi Sebree dari Horizon3.ai.

Produk yang Terdampak

Kerentanan memengaruhi seluruh instalasi Cisco Secure Firewall Management Center (FMC) tanpa bergantung pada konfigurasi perangkat.

Sementara itu, beberapa produk Cisco dipastikan tidak terdampak, antara lain:

• Cloud-Delivered FMC.
• Firewall Device Manager.
• Secure Firewall ASA Software.
• Secure Firewall Threat Defense Software.
• Security Cloud Control.

Cisco Rilis Hotfix

Cisco telah merilis pembaruan keamanan untuk sejumlah versi Secure FMC, meliputi:

• 7.0
• 7.2
• 7.4
• 7.6
• 7.7
• 10.0

Perusahaan menegaskan bahwa tidak tersedia workaround yang dapat menghilangkan risiko eksploitasi, sehingga pelanggan sangat dianjurkan segera memasang hotfix yang telah disediakan.

Cisco juga mengingatkan bahwa risiko akan jauh lebih rendah apabila antarmuka manajemen FMC tidak diekspos langsung ke internet.

Cara Mendeteksi Kompromi

Administrator dapat memeriksa file log sistem untuk mengetahui apakah perangkat pernah menjadi sasaran eksploitasi.

Cisco menyarankan pemeriksaan terhadap file:

/var/log/messages

Salah satu indikator kompromi (IOC) yang perlu diperhatikan adalah kemunculan referensi ke file:

/var/tmp/license.tmp

Apabila indikator tersebut ditemukan, administrator disarankan segera:

• Mengganti seluruh kata sandi pengguna.
• Merotasi seluruh kunci keamanan dan sertifikat digital.
• Menghubungi Cisco Technical Assistance Center (TAC) untuk proses investigasi dan pemulihan.

Cisco Juga Perbarui Informasi Kerentanan Kritis Lain

Selain CVE-2026-20316, Cisco juga memperbarui advisori untuk CVE-2026-20079, kerentanan bypass autentikasi dengan skor CVSS 10.0.

Celah ini memungkinkan penyerang menjalankan skrip maupun perintah sebagai root hanya dengan mengirimkan permintaan HTTP yang telah dirancang secara khusus ke perangkat FMC yang rentan.

Berbeda dengan CVE-2026-20316, eksploitasi CVE-2026-20079 tidak memerlukan kredensial maupun akses awal ke perangkat.

Cisco pertama kali mengungkap kerentanan tersebut pada Maret 2026 dan kini memperbarui advisori dengan tambahan hotfix serta indikator kompromi.

Meski demikian, hingga saat ini Cisco menyatakan belum mengetahui adanya eksploitasi aktif terhadap CVE-2026-20079.

Hubungan Kedua Kerentanan Masih Belum Jelas

Menariknya, kedua advisori tersebut sama-sama menggunakan indikator kompromi berupa file /var/tmp/license.tmp.

Namun, Cisco belum menjelaskan apakah kedua kerentanan tersebut memang digunakan secara bersamaan dalam satu rantai serangan atau hanya memiliki indikator yang serupa.

Perusahaan juga belum memberikan informasi tambahan mengenai kemungkinan hubungan antara kedua celah keamanan tersebut.

Dengan adanya konfirmasi eksploitasi terhadap CVE-2026-20316, administrator Cisco Secure FMC disarankan segera memasang hotfix terbaru, memeriksa indikator kompromi pada sistem, serta mengganti seluruh kredensial apabila ditemukan tanda-tanda bahwa perangkat telah berhasil diakses oleh pihak yang tidak berwenang.