思科公司于2026年7月29日發(fā)布緊急安全通告，針對其Secure Firewall Management Center（FMC）軟件中一個正在被實際利用的零日漏洞（CVE-2026-20316）提供熱修復(fù)補丁。該漏洞源于FMC管理界面中存在硬編碼的低權(quán)限賬戶憑證，攻擊者無需任何合法認證即可遠程登錄受影響設(shè)備，獲取敏感配置信息與管理數(shù)據(jù)。盡管該漏洞的CVSS評分為5.3（中等），但思科因其可與其他FMC產(chǎn)品漏洞組合使用以實現(xiàn)權(quán)限提升，將其定為高安全影響等級，并已將其列入美國網(wǎng)絡(luò)安全和基礎(chǔ)設(shè)施安全局（CISA）已知被利用漏洞清單。

根據(jù)思科官方說明，該漏洞影響所有運行特定版本的Cisco Secure FMC Software的物理或虛擬設(shè)備，無論其網(wǎng)絡(luò)配置如何——即使管理接口未暴露在公網(wǎng)，仍存在風(fēng)險。這意味著企業(yè)不能僅依賴網(wǎng)絡(luò)隔離來規(guī)避威脅，必須立即開展版本評估并部署熱修復(fù)。美國聯(lián)邦民用行政機構(gòu)被要求在2026年8月1日前完成補丁安裝，凸顯該漏洞對關(guān)鍵基礎(chǔ)設(shè)施的潛在威脅。

漏洞的技術(shù)根源在于FMC Web界面中嵌入的靜態(tài)賬戶憑據(jù)。攻擊者一旦知曉該賬戶名及密碼，即可繞過正常身份驗證流程，建立一個具有有限權(quán)限的會話。雖然初始訪問權(quán)限較低，但足以讀取存儲在管理環(huán)境中的策略配置、防火墻規(guī)則、用戶賬戶信息等敏感內(nèi)容。更嚴重的是，該漏洞可作為攻擊鏈的起點，結(jié)合其他已知缺陷（如CVE-2026-20079）實現(xiàn)權(quán)限提升至系統(tǒng)級控制，甚至可能觸發(fā)任意代碼執(zhí)行。

值得注意的是，思科在更新其安全通告時，將同一組熱修復(fù)補丁和取證指標（IOCs）應(yīng)用于另一項獨立的高危漏洞CVE-2026-20079。后者涉及身份認證繞過，可能導(dǎo)致根權(quán)限訪問。盡管思科尚未確認該漏洞已被惡意利用，但兩者共用修復(fù)方案表明攻擊者可能已構(gòu)建復(fù)合型攻擊路徑，進一步加劇了整體風(fēng)險。

CVE-2026-20316影響范圍與關(guān)鍵補丁列表

思科明確指出，受影響的產(chǎn)品僅為Cisco Secure FMC Software，不包括Cloud-Delivered FMC、Firewall Device Manager、Secure Firewall ASA Software、Secure Firewall Threat Defense Software以及Security Cloud Control等衍生產(chǎn)品。因此，企業(yè)在排查時需準確識別自身部署的FMC版本類型，避免誤判。

針對不同主版本分支，思科發(fā)布了六組專用熱修復(fù)文件，均以.sh.REL.tar格式打包，適用于支持的7.0、7.2、7.4、7.6、7.7及10.0系列。具體補丁名稱如下：7.0版本對應(yīng)文件為Cisco_Firepower_Mgmt_Center_Hotfix_GB-7.0.9.1-3.sh.REL.tar；7.2版本為Cisco_Secure_FW_Mgmt_Center_Hotfix_HL-7.2.11.1-4.sh.REL.tar；7.4版本為Cisco_Secure_FW_Mgmt_Center_Hotfix_HG-7.4.7.1-3.sh.REL.tar；7.6版本為Cisco_Secure_FW_Mgmt_Center_Hotfix_CY-7.6.5.1-2.sh.REL.tar；7.7版本為Cisco_Secure_FW_Mgmt_Center_Hotfix_AM-7.7.12.1-2.sh.REL.tar；10.0版本為Cisco_Secure_FW_Mgmt_Center_Hotfix_P-10.0.1.1-2.sh.REL.tar。各版本管理員應(yīng)根據(jù)自身系統(tǒng)版本精準匹配下載。

檢測方法與應(yīng)急響應(yīng)建議

思科提供了具體的日志檢測手段：管理員需進入專家模式，執(zhí)行命令 cat /var/log/messages | grep license。若輸出中出現(xiàn)/var/tmp/license.tmp路徑，表明設(shè)備可能已被入侵。該臨時文件是攻擊者用于提權(quán)操作的關(guān)鍵痕跡，其調(diào)用方式為Web服務(wù)賬戶以root權(quán)限運行package_info.pl腳本，屬于典型的漏洞利用行為。

除日志檢查外，防御方還應(yīng)結(jié)合以下措施進行綜合研判：審查是否存在異常的低權(quán)限登錄記錄、檢查管理界面是否發(fā)生非預(yù)期配置變更、監(jiān)控與管理接口相關(guān)的非常規(guī)網(wǎng)絡(luò)活動。同時，強烈建議將FMC管理接口從公共互聯(lián)網(wǎng)完全斷開，或通過嚴格訪問控制策略限制僅允許來自可信網(wǎng)絡(luò)的連接。然而，這些措施僅為緩解手段，無法替代熱修復(fù)補丁的部署。

若懷疑系統(tǒng)已遭入侵，思科建議立即聯(lián)系其技術(shù)援助中心（TAC）獲取恢復(fù)指導(dǎo)。此外，必須對受影響設(shè)備上所有用戶憑證、加密密鑰和數(shù)字證書執(zhí)行強制輪換。因為補丁本身不會清除已被泄露的敏感信息，只有通過完整的事件響應(yīng)流程才能確保系統(tǒng)安全狀態(tài)回歸。

對于中國境內(nèi)的IT運維團隊、網(wǎng)絡(luò)安全集成商及跨國企業(yè)本地化部署的FMC管理者而言，此次事件提示必須建立快速響應(yīng)機制。尤其在金融、能源、制造等行業(yè)中，F(xiàn)MC常作為核心安全管控平臺，一旦失守將導(dǎo)致全網(wǎng)策略被篡改或數(shù)據(jù)外泄。建議企業(yè)立即核查現(xiàn)有FMC版本，優(yōu)先處理公開可訪問的管理接口，并將熱修復(fù)納入常規(guī)安全更新流程。同時，應(yīng)關(guān)注思科后續(xù)發(fā)布的完整攻擊特征分析報告，以便在內(nèi)部SIEM系統(tǒng)中添加相關(guān)告警規(guī)則。

從供應(yīng)鏈角度，該事件也反映出硬件/軟件一體化安全設(shè)備在設(shè)計階段對默認憑證管理的脆弱性。中國廠商在開發(fā)類似管理平臺時，應(yīng)避免使用硬編碼賬戶，采用動態(tài)生成或基于證書的身份驗證機制，提升系統(tǒng)出廠安全性。此外，定期進行滲透測試和第三方審計，有助于提前發(fā)現(xiàn)此類隱蔽風(fēng)險。