Cisco FMC 脆弱性 2 件が KEV 登録｜期限 3 日と対処手順

はじめに

Cisco は 2026 年 7 月 29 日、Cisco Secure Firewall Management Center（FMC）に関する 2 件のセキュリティアドバイザリを公開・更新しました。1 件は新規公開の静的認証情報の脆弱性（CVE-2026-20316）、もう 1 件は 3 月に公開された認証バイパスの脆弱性（CVE-2026-20079）の改訂版です。

FMC は配下の Secure Firewall Threat Defense（FTD）のポリシーを集中管理する管理プレーンにあたるため、FMC 自体が侵害されると影響が配下機器にも波及します。今回判断が難しいのは、新規公開された CVE-2026-20316 の CVSS 基本値が 5.3（Medium）でありながら、CISA が同日に KEV カタログへ登録し、修正期限を 3 日後の 2026 年 8 月 1 日に設定している点です。CVSS を優先度の基準としている環境では、対応の緊急度を見誤る可能性があります。

両脆弱性に回避策はなく、対処はホットフィックスの適用に限られます。両アドバイザリが案内するホットフィックスは 6 リリース分すべてが同一で、1 回の適用で 2 件に対処できます。 侵害指標（IoC）も 2 件で共通しているため、適用前の痕跡確認は同じ手順で済みます。

公開された 2 件の脆弱性の概要

まず 2 件の位置づけを整理します。以下は両アドバイザリの記載を突き合わせた比較です（2026 年 7 月 30 日時点）。

CVE-2026-20316: 低権限アカウントの静的認証情報

FMC の Web インターフェイスに、低権限アカウント用の静的な認証情報が存在するという内容です。未認証のリモート攻撃者がこのアカウントを使ってログインし、システム内の情報を参照できる可能性があります。CWE-259（ハードコードされたパスワードの使用）に分類されています。

CVSS ベクターは CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N で、影響は機密性への Low のみです。単体では設定変更やコード実行に至らないため、基本値は 5.3 に留まっています。

Cisco は Exploitation and Public Announcements セクションで、2026 年 7 月に本脆弱性の悪用を認識したと明記しています。報告者は Horizon3.ai の Jimi Sebree 氏です。

なお Cisco は、FMC の管理インターフェイスがインターネットに公開されていない場合、本脆弱性に関連する攻撃面は縮小されるとしています。管理プレーンの公開範囲を絞る設計が、そのまま緩和策として機能する構図です。

CVE-2026-20079: 起動時プロセスに起因する認証バイパス

CVSS 基本値 10.0 の Critical で、3 月の Cisco Secure Firewall 半期バンドル公開に含まれていた脆弱性です。起動時に作成される不適切なシステムプロセスに起因し、細工した HTTP リクエストによって認証を回避し、スクリプトを実行して基盤 OS の root 権限を取得できるとされています。

参考: Cisco Security Advisory（cisco-sa-onprem-fmc-authbypass-5JPp45V2）
“due to an improper system process that is created at boot time”
（起動時に作成される不適切なシステムプロセスに起因します）
https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-onprem-fmc-authbypass-5JPp45V2

CVSS ベクターには S:C（Scope: Changed）が含まれます。これは FMC 上での侵害が、FMC 自体の権限境界を越えて配下の FTD などにも影響し得ることを示しています。

7 月 29 日の Version 2.0 での変更点は、Cisco Bug ID の CSCwt95974 の追加、侵害指標（IoC）の追加、ホットフィックスの追加の 3 点です。一方で Exploitation and Public Announcements セクションの記述は改訂されておらず、PSIRT は悪用を認識していないという内容のままです。 悪用状況の記述と IoC の追加が同時に噛み合っていない状態であり、この点は後述の「侵害の有無を確認する手順」であらためて取り上げます。

補足として、第三者による検証では本脆弱性の成立条件は限定的とされています。VulnCheck の検証によれば、FMC の起動時に生成される csm_processes の部分的なセッションがデータベース上に残存している状態でのみ悪用が成立し、認証済みユーザーが Web UI を操作するとそのセッションはクリアされるとのことです。つまり日常的に運用されている FMC よりも、起動直後の FMC や、Web UI にほとんどログインされていない FMC のほうが悪用されやすいという構図になります。これは Cisco 公式の記載ではないため、自環境の評価に用いる際は参考情報として扱うことをおすすめします。

2 件が連鎖する構造と SIR が High とされた理由

CVE-2026-20316 の CVSS 基本値は 5.3 ですが、Cisco は SIR をスコアが示す Medium ではなく High に設定しています。その理由はアドバイザリ内に明記されています。

参考: Cisco Security Advisory（cisco-sa-fmc-static-cred-BET3Cjh）
“can be used with other Cisco Secure FMC Software vulnerabilities to elevate privileges”
（他の Cisco Secure FMC ソフトウェアの脆弱性と組み合わせて権限昇格に利用され得ます）
https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-fmc-static-cred-BET3Cjh

Cisco が「他の脆弱性」を具体的に名指ししていないため、この一文だけでは実際のリスクが把握しにくくなっています。 ただし前述の CVE-2026-20079 の成立条件と照らすと、両者が補完関係にあることが見えてきます。CVE-2026-20079 は Web UI にログインされていない状態を前提とするため、攻撃者にとっては「認証済みセッションを自力で作れる手段」が組み合わされたほうが確実です。CVE-2026-20316 の静的認証情報は、まさにその手段を提供します。

以下は両脆弱性から root 権限に至る 2 つの経路を整理した図です。

重要なのは、この 2 件が同一のホットフィックスで修正され、同一の侵害指標を共有しているという点です。Cisco が両アドバイザリに同じ IoC を掲載したことは、実際に観測された攻撃活動が 2 件にまたがっていた可能性を示唆します。運用側の対応としては、2 件を別個のタスクとして扱うのではなく、1 つの対処として進めるのが実務的です。

影響を受ける製品と対象バージョン

両脆弱性は、いずれもオンプレミス版の Cisco Secure FMC を対象としています。Cisco は「デバイスの設定内容にかかわらず影響を受ける」としており、特定の機能を有効化しているかどうかは条件になりません。

対象バージョンについて、Cisco のアドバイザリはホットフィックスの提供リリースのみを列挙する形式のため、影響範囲そのものは読み取りにくくなっています。NVD が付与した CPE 情報では、CVE-2026-20316 の影響範囲は以下のとおりです。

なお 7.1 系は NVD の影響範囲に含まれていません。7.1 系は 2025 年 12 月 31 日に End of support を迎えており、Cisco のダウンロードサイトからも削除されています。

現行の suggested release（推奨リリース）は FMC が 7.6.5、FTD が 7.6.4 です。7.6 系向けのホットフィックスは 7.6.5.1-2 として提供されており、推奨リリース以降のバージョンが前提となります。

影響を受けない製品の切り分け

FMC 以外の製品が対象かどうかは、2 件のアドバイザリで記載が異なります。両者を並べると以下のようになります。

注意が必要なのは SCC の扱いです。 CVE-2026-20079 のアドバイザリでは、Vulnerable Products に「Cisco Security Cloud Control（SCC）Firewall Management」が挙げられている一方、Products Confirmed Not Vulnerable には「Security Cloud Control（SCC）、旧 Defense Orchestrator」が挙げられています。同じ SCC という名称でも、ファイアウォール管理機能の部分だけが対象という整理です。ただし SaaS 提供のため Cisco 側で修正が適用済みで、利用者側の作業は不要とされています。

配下の FTD や ASA 自体は対象外ですが、FMC が侵害されればポリシー配布経路を通じて影響が及びます。CVE-2026-20079 の CVSS ベクターに S:C（Scope: Changed）が含まれているのは、この構造を反映したものです。「FTD が対象外だから急がなくてよい」という判断にはならない点に留意することをおすすめします。

7.3 系の扱いと確認方法

7.3 系は NVD の影響範囲に含まれているにもかかわらず、Cisco のホットフィックス表に記載がありません。この理由は Cisco Secure Firewall Management Center Compatibility Guide の End-of-life announcements セクションから確認できます。

参考: Cisco Secure Firewall Management Center Compatibility Guide
“These major software versions have reached end of sale and/or end of support.”
（これらのメジャーソフトウェアバージョンは、販売終了またはサポート終了に達しています）
https://www.cisco.com/c/en/us/td/docs/security/secure-firewall/compatibility/management-center-compatibility.html

同ガイドの EOL 一覧では、7.3 系の各マイルストーンは以下のとおりです。

7.3 系は 2026 年 5 月 18 日に End of updates を通過しており、この時点でセキュリティ更新の提供対象から外れています。 ホットフィックス表に記載がないのはこのためです。End of support は 2027 年 11 月 30 日で TAC サポートは継続しますが、今回の脆弱性に対する修正は提供されないという状態になります。

比較として、ホットフィックスが提供されている 7.0 系と 7.2 系はいずれも End of updates が 2026 年 11 月 18 日で、まだ更新提供期間内にあります。ホットフィックスの提供有無は、リリースの新旧ではなく End of updates を通過しているかどうかで決まるという整理になります。自環境のバージョンが表に見当たらない場合は、まず EOL 一覧で End of updates の日付を確認する流れが実務的です。

7.3 系を運用している場合、対処はホットフィックスの適用ではなく、更新提供期間内のリリースへのアップグレードになります。アップグレード先の選定にあたっては、FMC が配下のデバイスと同じかそれより新しいバージョンを実行する必要があり、FMC を先にアップグレードする順序が前提となります。7.3 系の FMC は FMC 1600 / 2600 / 4600 でのみサポートされるため、ハードウェアモデルによってはアップグレード可否の確認も必要です。

侵害の有無を確認する手順

CVE-2026-20316 については 2026 年 7 月に悪用が認識されているため、ホットフィックスを適用する前に痕跡を確認しておくことをおすすめします。適用後では確認が難しくなる情報もあるため、順序としては確認を先に置く形が実務的です。

expert モードでのログ確認

Cisco は両アドバイザリの Indicators of Compromise セクションで、同一の確認手順を案内しています。FMC の CLI から expert モードに入り、Linux シェル上で sudo ログを検索する流れです。

> expert
admin@firepower:~$ sudo su
Password:
root@firepower:/home/admin# cat /var/log/messages | grep license

出力に以下のような行が含まれる場合、当該 FMC で脆弱性が悪用された可能性があるとされています。

Jul 23 16:16:33 firepower sudo:      www : PWD=/ ; USER=root ; COMMAND=/usr/local/sf/bin/package_info.pl /var/tmp/license.tmp --lsm

着目点は 3 つです。実行ユーザーが Web インターフェイスのプロセスである www であること、sudo 経由で root として実行されていること、そして処理対象のファイルが /var/tmp/license.tmp であることです。通常のライセンス処理では /var/tmp/license.tmp というパスは現れないため、このパスの出現が判定の鍵になります。

なお expert は FMC の CLI から Linux シェルへ移行するためのコマンドです。実行には対応する権限が必要で、環境によっては利用が制限されている場合があります。

2 件で IoC が共通していることの意味

ここで整理しておきたいのが、この確認手順が 2 件のアドバイザリでまったく同一であるという点です。CVE-2026-20079 のアドバイザリは 2026 年 7 月 29 日の Version 2.0 で、この IoC を新規に追加しています。3 月の初版には IoC の記載はありませんでした。

一方で、CVE-2026-20079 の Exploitation and Public Announcements セクションは Version 2.0 でも更新されておらず、PSIRT は悪用を認識していないという記述のままです。以下のように整理できます。

悪用が認識されていないとされる脆弱性のアドバイザリに、悪用済みの脆弱性と同一の IoC が後から追加されたという構図です。Cisco はこの経緯について説明していないため、以下は解釈になります。7 月に観測された攻撃活動の調査過程で、CVE-2026-20316 の悪用と同じログ痕跡が CVE-2026-20079 の悪用でも生じ得ると判断され、判定材料として両方に掲載された、という読み方が自然です。CVE-2026-20079 に追加された Bug ID の CSCwt95974 が、CVE-2026-20316 の CSCwt95997 と近い番号帯であることも、同時期の調査に由来する可能性を示しています。

運用側にとっての実務的な結論は単純です。確認手順が共通しているため、1 回のログ確認で 2 件分の痕跡確認が済みます。 また CVE-2026-20079 について「悪用は認識されていない」という記述を根拠に優先度を下げる判断は、この IoC 追加の経緯を踏まえると慎重に扱うほうが無難です。

悪用が疑われる場合の対応

痕跡が見つかった場合、Cisco は復旧方法について Cisco Technical Assistance Center（TAC）への連絡を案内しています。

加えて CVE-2026-20316 のアドバイザリでは、悪用が疑われる場合の最低限の対応として、当該 FMC 上のすべてのユーザー認証情報、鍵、証明書のローテーションを推奨しています。この記述は、悪用の継続が確認されていることを理由に挙げています。 CVE-2026-20079 のアドバイザリでも、悪用の兆候がある場合には同様のローテーションを推奨する記載が Workarounds セクションに置かれています。

ローテーションの対象は FMC 単体に留まらない点に注意が必要です。FMC は配下の FTD との通信に証明書を用いるほか、外部連携（ISE、SNMP、syslog、REST API 用のアカウントなど）の認証情報を保持しています。侵害が疑われる場合は、FMC 上に保存されている認証情報の棚卸しから着手する流れが現実的です。

なお、ホットフィックスの適用は脆弱性そのものを解消しますが、すでに侵入されていた場合の攻撃者の排除にはつながりません。CISA も BOD 26-04 の実装ガイダンスで、パッチ適用が攻撃者の排除にならないことを明示し、フォレンジックトリアージを求めています。この点は最後のセクションで改めて取り上げます。

ホットフィックスの適用

両脆弱性に回避策はなく、対処はホットフィックスの適用に限られます。Cisco はホットフィックスを一時的な措置ではなく修正そのものとして位置づけており、修正済みリリースへのアップグレードを推奨しています。

リリース別ホットフィックス一覧

Cisco が公開したホットフィックスは以下の 6 件です。両アドバイザリで完全に同一の内容が案内されています。

7.0 系のみ Cisco_Firepower_Mgmt_Center という旧名称のプレフィックスが使われています。7.2 以降は Cisco_Secure_FW_Mgmt_Center で、製品名の変更が反映された形です。

ホットフィックスの命名規則は Hotfix Release Notes に記載があり、プラットフォーム_Hotfix_識別文字-バージョン-ビルド.sh.REL.tar という構成です。上記の識別文字（GB、HL、HG、CY、AM、P）がホットフィックスの識別子にあたります。

ここで注目したいのは、ファイル名に含まれるバージョン番号です。 7.0 系は 7.0.9.1、7.2 系は 7.2.11.1 となっており、それぞれの数値は NVD が示す影響範囲の上限（7.0.9、7.2.11）と一致します。同じ関係は 7.4.7、7.6.5、7.7.12、10.0.1 でも成立します。このことから、各ホットフィックスは当該リリースの最新パッチレベルを前提としている可能性があります。 古いパッチレベルで運用している場合、ホットフィックスの適用前にパッチの適用が必要になる可能性が高いという読み方です。

ただしこれは番号の対応関係からの推測であり、Cisco が明示している内容ではありません。Hotfix Release Notes には、自環境のパッチレベルのダウンロードページにホットフィックスが見つからない場合、同じホットフィックスが適用される他のパッチのページも確認するよう案内があるため、1 つのホットフィックスが複数のパッチレベルに適用されるケースも存在します。確実な判断が必要な場合は、ダウンロードページの適用バージョン表記を確認するか、Cisco TAC への確認をおすすめします。

なおホットフィックスの入手先は Software Center です。Hotfix Release Notes によれば、多くの場合システムが直接ダウンロードすることはできず、Cisco Support & Download サイトから取得する形になります。オンプレミス版の 7.2.6 以降および 7.4.1 以降では、取得したファイルを手動でアップロードする運用です。署名付きの .tar ファイルは展開せずにそのままアップロードする点にも注意が必要です。

現時点で、Hotfix Release Notes 本体には今回の 6 件が掲載されていません（同ドキュメントの最終更新は 2026 年 4 月 23 日）ホットフィックス名はアドバイザリの Fixed Software セクションを参照することになります。

1 回の適用で 2 件に対処できる理由

前述のとおり、ホットフィックス名は 2 件のアドバイザリで 6 リリース分すべてが一致しています。つまり CVE-2026-20316 と CVE-2026-20079 は、同一のホットフィックスで同時に修正されます。 2 件を別々の作業として計画する必要はなく、適用は 1 回で済みます。

これは対応計画上、無視できない差になります。FMC は配下のデバイスへポリシーを配布する管理プレーンであり、適用中は設定変更と展開を止める必要があります。作業機会の確保が難しい環境では、1 回で済むかどうかが調整工数に直結します。

一方で注意点もあります。CVE-2026-20079 は 2026 年 3 月に公開された脆弱性であり、当時のホットフィックスを既に適用している環境も存在します。Hotfix Release Notes には、同一のホットフィックスを同一機器に 2 回以上適用しないよう明記されています。 3 月時点で適用したホットフィックスと今回のホットフィックスは識別文字とビルド番号が異なる別のパッケージですが、適用履歴の確認を先に行う流れが安全です。確認方法は後述します。

適用手順: スタンドアロン構成

ホットフィックスの適用手順は、パッチの適用手順と共通です。以下は Upgrade Guide の記載に基づく流れです。Web インターフェイスのメニュー名はバージョンによって異なるため、まず自環境の該当箇所を確認してから作業に入る形をおすすめします。

cat /etc/sf/patch_history

適用手順: HA 構成

FMC を HA 構成で運用している場合、同期を停止したうえでスタンバイ側から適用します。

適用前後に確認しておきたい点

手順以外に、実務上おさえておきたい点を整理します。

参照するガイドの選び方

参照するガイドは、FTD ではなく現在稼働している FMC のバージョンに対応するものを使う点が指定されています。7.2 以降であれば Cisco Secure Firewall Threat Defense Upgrade Guide for Management Center の「Upgrade the Management Center」の章が該当します。目標バージョンではなく現在のバージョンのガイドを参照する点が、間違えやすいポイントです。

トラフィックへの影響

今回のホットフィックスは FMC 向けであり、配下の FTD へ適用するものではありません。ただし Hotfix Release Notes では、デバイス側のホットフィックスがトラフィックの転送と検査に影響し得るとされており、影響の内容はデバイスの種別、構成（スタンドアロン、HA、クラスター）、インターフェイス設定によって変わるとされています。FMC 側の適用中は設定の展開が止まるため、緊急のポリシー変更が発生し得る時間帯を避ける形をおすすめします。

Readiness Checks の適用範囲

FMC には適用前の準備状況を確認する Readiness Checks の機能がありますが、Upgrade Guide ではメジャーアップグレードとメンテナンスアップグレードに対する準備状況を評価する機能と説明されています。ホットフィックスの前提手順として案内されているものではありません。

アンインストールの扱い

ホットフィックスとパッチのアンインストールは、適用した順序の逆順（後入れ先出し）で行う必要があります。ただし Cisco はホットフィックスのアンインストール自体を推奨しておらず、必要な場合は TAC への相談を案内しています。適用を前提とした計画を立て、切り戻しはバックアップからの復旧で考えるほうが現実的です。

CVSS では測れない優先度: KEV 登録と BOD 26-04

ここまでが技術的な対処です。最後に、今回の一件が示している優先度判断の変化について整理します。CVSS 基本値 5.3 の脆弱性が、公開当日に 3 日の修正期限を課されたという事実が、この記事で最も伝えたい点です。

SSVC の評価が同日中に反転した経緯

CISA は 2026 年 7 月 29 日、CVE-2026-20316 を KEV カタログに登録しました。NVD に記録された変更履歴から、当日の動きは以下のように追えます。

SSVC の exploitation が none から active へ、約 2 時間半で反転しています。 automatable は当初から yes、technicalImpact は partial のままです。KEV への登録名は「Cisco Secure Firewall Management Center Use of Hard-coded Password Vulnerability」で、CWE-259 の分類に沿った命名になっています。

KEV エントリの Required Action には、ベンダーの指示に従った対処に加えて、BOD 26-04 とその実装ガイダンスに定められたフォレンジックトリアージ要件への準拠が求められています。

参考: CISA Known Exploited Vulnerabilities Catalog（CVE-2026-20316）
“Apply mitigations in accordance with vendor instructions”
（ベンダーの指示に従って緩和策を適用してください）
https://www.cisa.gov/known-exploited-vulnerabilities-catalog

CVSS ベースの優先度付けからの転換

BOD 26-04 は 2026 年 6 月 10 日に発出された CISA の拘束的運用指令で、BOD 19-02 と BOD 22-01 を廃止しています。この指令の要点は、CVSS を優先度付けの基準から外したことです。 代わりに以下の 4 つの変数で修正期限を決定します。

1. 資産がパブリックに公開されているか
2. KEV カタログに登録されているか
3. 悪用を自動化できるか（automatable）
4. 悪用によって部分的な制御か完全な制御が得られるか（technical impact）

期限は 3 日、14 日、60 日、次回のシステムアップグレード時の 4 段階に分かれ、最も緊急度の高い区分ではフォレンジックトリアージが追加で求められます。日数は営業日ではなく暦日である点も、実務上は見落としやすい条件です。4 つの変数のうち KEV・automatable・technical impact は CISA が Vulnrichment プログラムを通じて提供し、資産の公開状況の判定は各機関が担う設計になっています。

CVE-2026-20316 の SSVC 値は automatable が yes、technicalImpact が partial です。一般に、最短の 3 日区分は KEV 登録と完全な制御の組み合わせに適用されると解説されており、partial との組み合わせで 3 日が設定された理由は、CISA の判定表を直接確認できていないため断定できません。ただし期限が 3 日に設定され、Required Action にフォレンジックトリアージ要件が明示されているという事実は、KEV エントリから確認できます。

BOD 26-04 が拘束力を持つのは米国連邦政府の民間機関のみで、日本国内の組織に直接の義務は生じません。それでも次の 2 点は参考になります。

第一に、KEV カタログは事実上の国際的な参照基準として機能しており、CVSS が低い脆弱性でも KEV 登録によって優先度が跳ね上がるという構図です。今回のように CVSS 5.3 で SIR High、KEV で 3 日期限という組み合わせが起こり得るため、CVSS を単独の判断基準にしている運用では取り逃がす可能性があります。社内の脆弱性管理基準に KEV 登録の有無を組み込んでおく設計は、この種の取り逃がしを減らす方向に働きます。

第二に、パッチ適用が攻撃者の排除にならないという前提です。BOD 26-04 は、修正の適用だけでは侵入済みの攻撃者を排除できないという認識から、最短区分にフォレンジックトリアージを組み込んでいます。今回の一件では Cisco 自身が IoC を提示しているため、この確認は現実的に実行できます。ホットフィックスの適用と侵害確認をセットで計画することが、指令の対象外の組織にとっても妥当なアプローチになります。

まとめ

Cisco Secure FMC の 2 件の脆弱性は、公開のタイミングもホットフィックスも侵害指標も共通しています。CVSS 基本値 5.3 の CVE-2026-20316 が KEV に登録され、3 日の修正期限を課された点は、CVSS を単独の判断基準とすることの限界を示しています。対処はホットフィックスの適用に限られるため、適用前の侵害確認とあわせて計画することをおすすめします。

• CVE-2026-20316 は CVSS 5.3 ながら SIR は High
• 2 件は同一のホットフィックスで同時に修正される。
• 侵害指標は両アドバイザリで共通し、確認は 1 回で足りる。
• 7.3 系は更新提供終了によりホットフィックスの提供対象外
• 適用後もバージョン表示は変わらず、patch_history で確認
• CVE-2026-20316 の KEV 修正期限は 2026 年 8 月 1 日
• BOD 26-04 は CVSS を優先度付けの基準から除外

以上、最後までお読みいただきありがとうございました。