Cisco Secure FMC の認証バイパスで root 奪取（CVSS 10.0・KEV・是正期限 2026-09-12）

Critical（CVSS 10.0）に分類されるCisco Cisco Secure Firewall Management Center (FMC) Software の Web インターフェース。FMC は ASA / FTD の**ファイアウォールを束ねて管理する側**の装置である。Cisco は「デバイスの設定に関係なく影響を受ける（regardless of device configuration）」と明記している。の脆弱性です。**CVSS は 10.0。**このサイトが扱ってきた中でも最大値である。ベクタは **AV:N / AC:L / PR:N / UI:N / S:C / C:H / I:H / A:H** で、**ネットワーク越しに・低い難易度で・権限も利用者の操作もいっさい要らず・スコープが変わる**という、悪い条件がすべて揃っている。 Cisco のアドバイザリの記述はこうである。「Cisco Secure Firewall Management Center (FMC) Software の Web インターフェースの脆弱性により、**認証されていないリモートの攻撃者が認証をバイパスし、影響を受ける装置上でスクリプトファイルを実行して、基盤 OS の root 権限を取得できる**可能性がある」。 **原因は「起動時に作られるシステムプロセスが適切でない」ことにある。**攻撃者は細工した HTTP リクエストを送るだけでこれを突ける。CWE-288（代替パス・代替チャネルを使った認証バイパス）が示すとおり、**正面の認証を破るのではなく、認証を通らずに済む別の入口がある**という形の欠陥である。 **この CVE の本当の重さは、FMC が何をする装置かにある。** FMC は個々のファイアウォールではなく、**それらを束ねて管理する側**である。ここで root を取られるということは、配下のファイアウォール群のポリシーを書き換えられる・ログを消せる・新しい経路を通せる、ということを意味する。境界防御の中身を守る話ではなく、**境界防御そのものの管理権限を渡す**話である。 **公開は 2026-03-04 だが、CISA が KEV へ収載したのは 2026-09-09 で、是正期限は 2026-09-12（3日後）である。**アドバイザリも同じ 2026-09-09 に Version 2.5 へ更新されている。Cisco Talos は継続的な悪用について記事を出しており、NVD の参照には Full Disclosure の投稿（2026年8月）も **Exploit** タグ付きで並んでいる。**半年前に公開された脆弱性が、いま実際に使われている**という状況である。

**回避策は無い。**Cisco は「There are no workarounds that address this vulnerability」と明記している。**ホットフィックスを当てる以外の対応は存在しない。** Cisco が公開しているホットフィックス（Software Center からダウンロード）: - FMC **7.0** … `Cisco_Firepower_Mgmt_Center_Hotfix_GB-7.0.9.1-3.sh.REL.tar` - FMC **7.2** … `Cisco_Secure_FW_Mgmt_Center_Hotfix_HL-7.2.11.1-4.sh.REL.tar` - FMC **7.4** … `Cisco_Secure_FW_Mgmt_Center_Hotfix_HG-7.4.7.1-3.sh.REL.tar` - FMC **7.6** … `Cisco_Secure_FW_Mgmt_Center_Hotfix_CY-7.6.5.1-2.sh.REL.tar` - FMC **7.7** … `Cisco_Secure_FW_Mgmt_Center_Hotfix_AM-7.7.12.1-2.sh.REL.tar` - FMC **10.0** … `Cisco_Secure_FW_Mgmt_Center_Hotfix_P-10.0.1.1-2.sh.REL.tar` **Security Cloud Control (SCC) Firewall Management は SaaS で、Cisco 側が既に修正を展開済みである。利用者の操作は要らない。**同名でも **SCC（旧 Defense Orchestrator）本体・FDM・ASA・FTD は影響を受けない**と Cisco が明言している。混同しないこと。 **当てる前に、まず侵害されていないかを確認する。**Cisco は指標を具体的に出している。expert モードで次を実行する。 ``` > expert admin@firepower:~$ sudo su root@firepower:/home/admin# zgrep "package_info.*license" /var/log/messages* ``` 出力に **`/var/tmp/license.tmp`** を含む行（`sudo: www : ... COMMAND=/usr/local/sf/bin/package_info.pl /var/tmp/license.tmp --lsm`）があれば、**この脆弱性が悪用された可能性がある**。 **ここが重要な点である。**Cisco は「**ホットフィックスは今後の悪用を防ぐためのものであり、既に成立している侵害には対処しない**」と書いている。指標が見つかった場合はパッチを当てて終わりにせず、**ただちに Cisco TAC に連絡して復旧手順の指示を仰ぐ**こと。 **当てるまでの間にできることは、露出を減らすことだけである。**Cisco は「FMC の管理インターフェースがインターネットから到達できなければ、この脆弱性に関わる攻撃面は縮小する」と注記している。**管理インターフェースが公開されている構成なら、まずそこを閉じる。**これは修正ではなく、ホットフィックスを当てるまでの時間を稼ぐ措置である。

Cisco Cisco Secure Firewall Management Center (FMC) Software の Web インターフェース。FMC は ASA / FTD の**ファイアウォールを束ねて管理する側**の装置である。Cisco は「デバイスの設定に関係なく影響を受ける（regardless of device configuration）」と明記している。 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-onprem-fmc-authbypass-5JPp45V2）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/09/12 です。早急な対応が推奨されます。