Cisco FMC のデシリアライズで未認証 root RCE（ランサムウェア悪用）

Critical（CVSS 10.0）に分類されるCisco Secure Firewall Management Center (FMC)の脆弱性です。Cisco Secure Firewall Management Center（FMC）ソフトウェアの Web 管理インターフェースに、利用者が送った Java のバイトストリームを安全でない方法でデシリアライズする欠陥がある。未認証のリモート攻撃者が細工したシリアライズ済み Java オブジェクトを管理インターフェースへ送ると、任意の Java コードを実行し root へ昇格できる。FMC は配下のファイアウォール群を一元管理する装置なので、ここを取られると全機器の設定を操作される。Cisco は、管理インターフェースがインターネットから到達できなければ攻撃面は縮小すると注記している。影響版は NVD の CPE に 6.4.0.13 以降の 6.4 系や 7.0 系、7.1 系を含む 71 件が個別に列挙されている。修正版の番号はここでは特定できないため、アドバイザリ cisco-sa-fmc-rce-NKhnULJh の Fixed Software 節で確認する。CVSS は Cisco（CNA）による CVSS 3.1 の 10.0 Critical（AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H）のみで、NVD の Primary スコアは付与されていない。CISA KEV には 2026-03-19 に収載され、是正期限は 2026-03-22。ランサムウェアでの利用は Known で、参照情報には Amazon の脅威インテリジェンスチームによる Interlock ランサムウェアの企業ファイアウォール標的化の報告が含まれる。KEV の対象名には Cisco Security Cloud Control のファイアウォール管理機能も含まれる。NVD の vulnStatus は Analyzed。

まず FMC の版を管理画面のヘルプまたは CLI の show version で確認し、アドバイザリ cisco-sa-fmc-rce-NKhnULJh の Fixed Software 節にある修正版と突き合わせる。影響版が 6.4 系から 7.x 系まで個別に列挙されているため、版番号の大小で当たりを付けず公式の一覧で引く。次に管理インターフェースの露出を確認する。Cisco 自身が、管理面が到達不能なら攻撃面は縮小すると書いているとおり、露出の有無が被害の分かれ目になる。外部から Web UI に到達できる経路（グローバルアドレスの直付け、ポートフォワード、リバースプロキシ、VPN を介さない運用者向け公開）が無いかを外側から確認する。見落としやすいのは、待機側や災対サイトの FMC、検証用 FMC、クラウド上の FMCv である。すぐ更新できない場合の緩和は、管理インターフェースへの到達を管理セグメントと踏み台からのみに限定することである。これは Cisco の注記に沿った緩和で、認証前に成立する欠陥に対して唯一効く手当てになる。本件はランサムウェアでの利用が確認されている（Known）ため、更新で終わらせてはいけない。露出していた期間がある FMC は侵害済みの前提で扱い、root 権限を取られた場合を想定して、機器上の不明なアカウント、追加されたスケジュール実行やスクリプト、設定の差分、配下ファイアウォールへ配布されたポリシーの想定外の変更、外向き通信の痕跡を確認する。そのうえで管理者資格情報、API トークン、配下機器との登録キー、証明書と鍵を再発行し、バックアップから復旧する場合は侵害前の世代を選ぶ。Amazon の報告にある Interlock の活動は企業のファイアウォール群を狙っており、FMC を足がかりに内部へ広がる流れを想定して、管理端末と隣接サーバの調査も行う。完了条件は、全 FMC が修正版以上であること、管理面の露出を閉じたこと、痕跡調査と資格情報の再発行が済んでいることの3点。是正期限 2026-03-22 は経過しているため、未更新機が残っていれば期限超過として最優先で扱う。

Cisco Secure Firewall Management Center (FMC) を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-20131）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/03/22 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。