הרשומה ב-NVD פורסמה ב-4 במרץ 2026, וחצי שנה אחר כך, ב-9 בספטמבר, נכנסה החולשה לקטלוג החולשות המנוצלות בפועל. מדובר בממשק הניהול של Cisco Secure Firewall Management Center, המערכת שממנה מנהלים את חומות האש של הארגון. תוקף שאינו מזוהה כלל שולח אליה בקשות HTTP מעוצבות, עוקף את ההזדהות ומריץ סקריפטים בהרשאות root על מערכת ההפעלה שמתחת. הציון 10.0.
מה החולשה?
בקשה שמגיעה לממשק ניהול אמורה לעבור קודם דרך שער שבודק מי שלח אותה, ורק אחר כך להגיע לקוד שעושה את העבודה. כאן קיים נתיב שני שאינו עובר בשער הזה. לפי הרשומה, המקור הוא תהליך מערכת שנוצר בזמן עליית המכשיר בצורה לא תקינה, ובקשות שמגיעות אליו מטופלות בלי שנשאלה שאלת הזהות. בסיווג הרשמי זה נקרא עקיפת אימות דרך נתיב חלופי.
מה שקורה אחרי העקיפה הוא מה שמייצר את הציון. התוקף אינו קורא מידע אלא מריץ סקריפטים ופקודות, והם רצים בהרשאות root, כלומר בהרשאות הגבוהות ביותר במערכת ההפעלה שמתחת למוצר.
הווקטור בנוי כולו מהערכים הקיצוניים: הגישה מרחוק, מורכבות התקיפה נמוכה, אין דרישת הרשאות ואין צורך בפעולה של משתמש, ושלושת מדדי הנזק גבוהים. מסומן גם Scope: Changed, כלומר הנזק חורג מהרכיב הפגיע עצמו אל מערכת ההפעלה שמתחתיו. הצירוף הזה הוא מה שמגיע ל-10.0 ולא לפחות מזה.
הרשומה עצמה אינה מפרטת אילו סקריפטים נגישים דרך הנתיב הזה. היא אומרת שמדובר במגוון סקריפטים ופקודות, ולא יותר מזה.
מי מושפע?
ארגונים שמפעילים את Cisco Secure Firewall Management Center. רשימת הגרסאות שברשומה מתחילה ב-7.0.0 ונמשכת דרך קו 7.0 כולו, ורשימת המזהים שמצורפת לה מגיעה עד 7.2.10.2. כלומר גם קו 7.1 וגם קו 7.2 נמצאים בתמונה, ולא רק 7.0.
זה מוצר ארגוני ולא ציוד ביתי. בישראל הוא נמצא אצל ארגונים גדולים, אצל ספקיות תקשורת ובמגזר הציבורי, בדרך כלל בידי צוות אבטחה ייעודי ולא בידי איש IT יחיד.
יש כאן גם היבט שאינו טכני. FMC אינה מכונה שמריצה שירות אחד. היא הנקודה שממנה נגזרת המדיניות של כל שאר המכשירים.
האם מנוצלת בפועל?
כן. ב-9 בספטמבר 2026 צירפה סוכנות הסייבר האמריקאית CISA את החולשה לקטלוג ה-KEV, הרשימה שמרכזת חולשות שיש עליהן ראיה לניצול בשטח ולא רק הערכת חומרה. המועד שנקבע לגופים הפדרליים בארצות הברית הוא ה-12 בספטמבר, שלושה ימים אחר כך.
בין המקורות ברשומה מופיע ניתוח של Cisco Talos שכותרתו עוסקת בניצול מתמשך של FMC, וכן פרסום ברשימת ה-full disclosure מאוגוסט 2026, חודש לפני הכניסה לקטלוג.
מה עושים?
עדכנו לפי הודעת האבטחה של Cisco. שם מופיעה הגרסה המתקנת לכל קו גרסאות, וזו הפעולה היחידה שסוגרת את הנתיב עצמו.
בדקו מהיכן ממשק הניהול נגיש. החולשה נפתחת בבקשת HTTP ואינה דורשת שום פרטי התחברות, ולכן כל כתובת שממנה אפשר להגיע לממשק היא כתובת שממנה אפשר לנסות. ממשק ניהול של חומות אש אינו צריך להיות זמין מהאינטרנט בשום תצורה.
מכיוון שיש דיווח על ניצול, אל תסתפקו בעדכון. הניתוח של Talos הוא המקום להתחיל בו כדי לדעת מה לחפש במכשיר שכבר היה חשוף.