Cisco PSIRT-advisory — voor kmo’s en MSP’s met on-prem Cisco Secure Firewall Management Center
KMO-IMPACT: DRINGEND
Beheert u of uw IT-partner firewalls via Cisco Secure Firewall Management Center (FMC) on-premises? Installeer meteen de hotfixes voor CVE-2026-20079. Cisco bevestigde op 9 september 2026 actief misbruik sinds augustus. Een aanvaller zonder login kan via de webinterface rootrechten op de FMC-server krijgen (CVSS 10.0). CISA zette de CVE op de KEV-lijst; Amerikaanse federale diensten moeten tegen zaterdag 12 september 2026 patchen én forensisch triageren.
Wat er speelt
Het lek zit in de webinterface van Cisco Secure FMC Software. Door een foutief systeemproces bij boot kan een remote aanvaller authenticatie omzeilen en scripts uitvoeren tot root-niveau. Cisco publiceerde het advisory eerst op 4 maart 2026; op 9 september verscheen versie 2.5 met de mededeling dat er actief misbruik is vastgesteld.
Getroffen: Cisco Secure FMC Software (releases 7.0, 7.2, 7.4, 7.6, 7.7 en 10.0 volgens de hotfixtabel). Cisco Security Cloud Control Firewall Management (hosted) is door Cisco zelf al gepatcht — daar hoeft u niets te doen. Niet getroffen volgens Cisco: Firewall Device Manager (FDM), Secure Firewall ASA, Secure Firewall Threat Defense (FTD) en Security Cloud Control (vroeger Defense Orchestrator) buiten de FMC-SaaS-lijn hierboven.
Wat u nu moet doen
Er is geen workaround. Download de hotfix die bij uw FMC-release past uit het Cisco Software Center (onder meer Hotfix-GB 7.0.9.1-3, HL 7.2.11.1-4, HG 7.4.7.1-3, CY 7.6.5.1-2, AM 7.7.12.1-2 of P 10.0.1.1-2) en installeer die volgens de Cisco Firepower Hot Fix Release Notes.
Beperk daarnaast internettoegang tot de FMC-managementinterface: zonder publieke exposure is het aanvalsoppervlak kleiner, maar dat vervangt de hotfix niet. Controleer op compromise met het IoC-commando uit het advisory (zgrep "package_info.*license" /var/log/messages* in expert mode). Staat /var/tmp/license.tmp in de output: contacteer meteen Cisco TAC — de hotfix voorkomt nieuw misbruik, maar herstelt geen bestaande inbraak.
Laat een MSP uw FMC beheren: eis schriftelijk de geïnstalleerde hotfixversie en de installatiedatum.
Wat betekent dit voor uw onderneming?
Voor wie: Vlaamse kmo’s en MSP’s met on-prem Cisco Secure FMC; klanten van MSP’s die firewalls via die console sturen.
Vanaf wanneer: meteen — actief misbruik sinds augustus 2026; Cisco-update 9 september; CISA-deadline zaterdag 12 september 2026.
Financiële impact: geen vast bedrag in de bron; risico zit in overname van de firewallbeheerconsole en daarmee van gekoppelde netwerken.
Wat moet u doen: juiste hotfix installeren, managementinterface niet publiek houden, IoC checken, bij verdenking TAC bellen, MSP schriftelijk laten bevestigen.
Deadline: vóór zaterdag 12 september 2026 als harde prioriteit.
Nog niet duidelijk: of uw specifieke FMC al gecompromitteerd is (alleen IoC + TAC-onderzoek).
Bewaar hotfixnaam, build en bevestigingsmail van uw partner bij het netwerkdossier. Zonder die check weet u niet of iemand anders vandaag al root op uw firewallbeheer heeft.
