Cisco Konfirmasi Celah Secure FMC CVE-2026-20079 Dieksploitasi dalam Serangan

Cisco mengonfirmasi bahwa kerentanan CVE-2026-20079 pada perangkat lunak Cisco Secure Firewall Management Center (FMC) telah aktif dieksploitasi dalam serangan. Celah keamanan dengan tingkat keparahan maksimum ini memiliki skor CVSS 10.0 dan memungkinkan penyerang jarak jauh yang tidak terautentikasi melewati mekanisme autentikasi hingga menjalankan script dan command dengan hak akses root.

Cisco memperbarui advisory keamanan CVE-2026-20079 pada Rabu, 9 September 2026, setelah tim Cisco Product Security Incident Response Team (PSIRT) mengetahui adanya eksploitasi aktif pada Agustus 2026.

“In August 2026, the Cisco PSIRT became aware of active exploitation of this vulnerability.”

Cisco belum mengungkap kapan serangan pertama dimulai, siapa pelakunya, maupun aktivitas apa yang dilakukan penyerang setelah berhasil mendapatkan akses.

Kerentanan Memungkinkan Akses Root Tanpa Autentikasi

CVE-2026-20079 disebabkan oleh improper system process yang dibuat ketika perangkat melakukan booting. Celah tersebut dapat dieksploitasi dengan mengirimkan HTTP request yang telah dibuat khusus ke web interface perangkat Secure FMC yang rentan.

Karena serangan tidak membutuhkan autentikasi, penyerang dari jarak jauh dapat memanfaatkan kelemahan tersebut untuk melewati mekanisme autentikasi dan menjalankan script maupun command dengan hak akses root.

Dampaknya cukup serius karena akses root memberikan kendali tingkat tinggi terhadap sistem yang menjalankan perangkat lunak manajemen firewall.

Kerentanan ini memengaruhi:

• Cisco Secure Firewall Management Center Software
• Cisco Security Cloud Control Firewall Management

Untuk layanan Security Cloud Control yang di-host di cloud, Cisco mengatakan perbaikannya telah diterapkan.

Cisco menegaskan tidak tersedia workaround untuk CVE-2026-20079. Pelanggan disarankan segera melakukan upgrade ke software release terbaru.

CISA Masukkan CVE-2026-20079 ke Daftar KEV

Pada hari yang sama, U.S. Cybersecurity and Infrastructure Security Agency (CISA) memasukkan CVE-2026-20079 ke dalam katalog Known Exploited Vulnerabilities (KEV).

Dengan masuknya kerentanan ini ke KEV, lembaga Federal Civilian Executive Branch di Amerika Serikat diwajibkan mengamankan sistem yang terdampak paling lambat 12 September 2026.

Status tersebut juga menjadi indikator penting bagi administrator karena eksploitasi terhadap kerentanan bukan lagi sekadar kemungkinan, melainkan telah dikonfirmasi terjadi di dunia nyata.

Indikasi Eksploitasi Diduga Sudah Muncul Sejak Juli

Meski Cisco mengatakan PSIRT baru mengetahui eksploitasi aktif pada Agustus, sejumlah Indicators of Compromise (IOC) yang dipublikasikan dalam pembaruan advisory pada Juli menunjukkan bahwa serangan kemungkinan telah berlangsung lebih awal.

Pada 29 Juli 2026, Cisco mengungkap kerentanan lain pada Secure FMC, yaitu CVE-2026-20316. Celah tersebut disebabkan oleh penggunaan static credentials untuk sebuah akun dengan hak akses rendah.

CVE-2026-20316 dinilai memiliki tingkat keparahan High dan juga telah dieksploitasi dalam serangan. Meskipun akses awal yang diperoleh terbatas, Cisco menyatakan kelemahan tersebut dapat dikombinasikan dengan kerentanan lain pada Secure FMC untuk melakukan privilege escalation.

Menariknya, Cisco kemudian menambahkan IOC yang sama ke advisory CVE-2026-20079, meskipun saat itu belum secara resmi mengonfirmasi bahwa CVE-2026-20079 telah dieksploitasi.

Log license.tmp Bisa Menjadi Indikator Penting

Cisco meminta administrator memeriksa file /var/log/messages untuk mencari aktivitas yang berkaitan dengan /var/tmp/license.tmp.

Salah satu contoh log yang diberikan Cisco adalah:

Jul 23 16:16:33 firepower sudo: www : PWD=/ ; USER=root ; COMMAND=/usr/local/sf/bin/package_info.pl /var/tmp/license.tmp --lsm

Jika aktivitas tersebut ditemukan, Cisco mengatakan perangkat Secure FMC yang diperiksa mungkin telah dieksploitasi.

Tanggal pada contoh log tersebut juga menarik perhatian karena menunjukkan aktivitas pada 23 Juli 2026, beberapa minggu sebelum Cisco menyatakan PSIRT mengetahui eksploitasi CVE-2026-20079 pada Agustus.

Cisco merilis hotfix yang sama untuk CVE-2026-20316 dan CVE-2026-20079.

Kesamaan IOC, hotfix, serta aktivitas yang tercatat pada 23 Juli menimbulkan dugaan bahwa kedua kerentanan mungkin telah digunakan dalam rangkaian serangan yang sama. Namun, Cisco belum memberikan konfirmasi apakah aktivitas tersebut memang melibatkan eksploitasi kedua CVE secara bersamaan.

Hotfix Tidak Membersihkan Perangkat yang Sudah Dibobol

Cisco mengingatkan bahwa memasang hotfix akan mencegah eksploitasi lebih lanjut, tetapi tidak otomatis memulihkan perangkat yang sudah berhasil dikompromikan.

Administrator yang menemukan indikator kompromi pada perangkatnya disarankan menghubungi Cisco Technical Assistance Center (TAC) untuk mendapatkan bantuan dalam menangani kemungkinan kompromi.

Hal ini menjadi sangat penting karena penyerang yang telah memperoleh hak akses root mungkin telah melakukan perubahan atau memasang komponen tambahan pada sistem sebelum patch diterapkan.

Dengan status CVE-2026-20079 yang kini telah dikonfirmasi aktif dieksploitasi dan masuk ke katalog CISA KEV, pengguna Cisco Secure FMC sebaiknya tidak menunda proses pembaruan. Selain melakukan upgrade, administrator juga perlu memeriksa log dan IOC yang diberikan Cisco untuk memastikan perangkat tidak telah disusupi sebelum patch dipasang.

Sumber: Cisco