Trusted Design

CVE-2026-20131 の詳細

CVEの情報

説明:
A vulnerability in the web-based management interface of Cisco Secure Firewall Management Center (FMC) Software could allow an unauthenticated, remote attacker to execute arbitrary Java code as root on an affected device. This vulnerability is due to insecure deserialization of a user-supplied Java byte stream. An attacker could exploit this vulnerability by sending a crafted serialized Java object to the web-based management interface of an affected device. A successful exploit could allow the attacker to execute arbitrary code on the device and elevate privileges to root. Note: If the FMC management interface does not have public internet access, the attack surface that is associated with this vulnerability is reduced.

CVE更新日: 2026-03-04 18:16:27.153000

CVSSバージョン: 3.1

CVSSスコア: 10.0

KEVの情報

KEV更新日: 2026-03-19

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.431660000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2026-20131は、Cisco Secure Firewall Management Center (FMC) ソフトウェアのWebベース管理インターフェースにおける深刻なリモートコード実行 (RCE) の脆弱性です。この脆弱性は、ユーザーが提供するJavaバイトストリームの安全でないデシリアライゼーションに起因します。

1. 脆弱性の概要

1.1 影響

認証されていないリモートの攻撃者が、影響を受けるデバイス上でroot権限で任意のJavaコードを実行できる可能性があります。これにより、完全なシステム侵害が発生し、ネットワークセキュリティインフラ全体に影響を及ぼす可能性があります。 この脆弱性は、Interlockランサムウェアグループによるランサムウェアキャンペーンを含む、実際の攻撃で悪用されたことが確認されています。 攻撃者はFMCを制御することで、ファイアウォールルールの変更、アラートの隠蔽、またはネットワークへのより深い侵入のための足がかりとしてFMCを使用する可能性があります。

1.2 深刻度

CVSSv3.1の基本スコアは10.0（Critical）であり、最も高いリスクレベルを示しています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

Cisco Secure Firewall Management Center (FMC) ソフトウェアが影響を受けます。具体的には、以下のバージョンが影響を受けるとされています。 * Cisco Secure Firewall Management Center (FMC) Software バージョン 6.4系、7.0系、7.1系、7.2系、7.3系、7.4系、7.6系、7.7系 * Cisco Security Cloud Control Firewall Management

2.2 影響を受ける設定

Cisco Secure Firewall Management CenterのWebベース管理インターフェースにおける安全でないデシリアライゼーション（CWE-502: Deserialization of Untrusted Data）が原因です。 脆弱性は特定の製品設定に依存せず存在しますが、FMC管理インターフェースがパブリックインターネットに公開されていない場合、攻撃対象領域は減少します。 認証やユーザー操作は必要ありません。

3. 影響を受けた時の兆候

以下のような兆候が確認される可能性があります。

  • システムログにおける不正なrootレベルのアクセス
  • 通常とは異なるJavaプロセスの生成
  • 管理インターフェースに向けられた、シリアル化されたJavaオブジェクトを含む可能性のある不審なHTTP POSTリクエスト
  • ユーザー提供データを処理するエンドポイントや、一般的なデシリアライゼーションガジェットチェーンのシグネチャを含むHTTP POSTリクエストの大量発生
  • WebサーバーまたはJavaランタイムから発信される予期せぬ子プロセス、特にrootレベルのシェルや不正なファイル変更につながるもの

4. 推奨対策

4.1 本対策

Ciscoは本脆弱性に対応するソフトウェアアップデートとパッチをリリースしています。 影響を受けるCisco FMCソフトウェアを、Ciscoのセキュリティアドバイザリで特定されている修正済みバージョンにアップグレードすることを強く推奨します。具体的には、6.4系、7.0系、7.1系、7.2系、7.3系、7.4系、7.6系、および7.7系のすべての脆弱なバージョンをパッチ適用するか、サポートされている安全なバージョンに移行する必要があります。

4.2 暫定回避策（緩和策）

Ciscoは本脆弱性に対する完全な回避策はないと述べています。 しかし、攻撃対象領域を減らすための緩和策として、以下の実施が推奨されます。

  • FMCのWebベース管理インターフェースへのパブリックインターネットからのアクセスを制限する。
  • VPN、ジャンプホスト、またはアクセス制御リスト（ACL）を使用して、信頼できる内部IPアドレスのみがインターフェースにアクセスできるようにする。

他に解説すべき観点

  • 公開日: 2026年3月4日にCiscoがセキュリティアドバイザリを公開し、同日にNVDに公開されました。
  • 実世界での悪用: 2026年1月26日にはすでに悪用が開始されていたと報告されており、CISAのKnown Exploited Vulnerabilities (KEV) カタログに追加されています。
  • 攻撃手法: 攻撃者は、不正なシリアル化されたJavaオブジェクトを含むHTTPリクエストを、影響を受けるCisco FMCデバイスのWebベース管理インターフェースに送信することで、この脆弱性を悪用します。 この攻撃は、管理インターフェースへのネットワークアクセスを必要としますが、認証は不要です。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る