Ve správě firewallů Cisco je zabudované heslo. Útoky podle firmy už běží

Secure Firewall Management Center je nástroj, ve kterém správci nastavují pravidla pro firewally Cisco a sledují, co se v síti děje. Sám o sobě provoz nefiltruje – řídí zařízení, která to dělají. O to nepříjemnější je chyba, kterou firma popsala ve varování z 29. července: ve webovém rozhraní je účet se statickým, tedy pevně daným heslem.

Účet, který tam byl od začátku

Chyba má označení CVE-2026-20316 a spadá do kategorie CWE-259, tedy použití pevně zapsaného hesla. Útočník nepotřebuje žádné přihlašovací údaje ani přístup do vnitřní sítě: stačí mu, aby se dostal na webové rozhraní, a přihlásí se pod účtem s nízkými oprávněními. Pak si může přečíst citlivá data v systému.

Cisco k tomu dodává jednu úlevu a jednu přitěžující okolnost. Úleva: když správcovské rozhraní není vystavené do internetu, je plocha útoku menší. Přitěžující okolnost je vážnější – firma sama píše, že chybu lze použít ve spojení s dalšími zranitelnostmi téhož produktu k získání vyšších oprávnění. Účet s nízkými právy tak nemusí být konečná stanice.

Skóre říká středně, výrobce vysoce

Tady stojí za povšimnutí rozpor, který není mezi dvěma zdroji, ale uvnitř jednoho. Standardizované skóre CVSS vyšlo na 5,3 z deseti, což je střední závažnost. Cisco přesto zařadilo varování do stupně High a v textu vysvětluje proč: skóre nezachytí to, že se chyba dá řetězit s dalšími.

Databáze NVD, kterou vede americký úřad NIST, má záznam ve stavu „analyzováno“, ale vlastní skóre k němu nepřidala – jediné hodnocení v ní pochází od bezpečnostního týmu Cisca. Kdo se tedy řídí číslem, dostane jinou představu o naléhavosti než ten, kdo si přečte celý text. Podle nás je to dobrý důvod nespoléhat na skóre jako na jediné vodítko.

Útoky nejsou hypotéza

V oddílu o zneužívání stojí věta, kvůli které je celá věc naléhavá: bezpečnostní tým Cisca se v červenci 2026 dozvěděl o aktivním zneužívání této chyby. Firma nepíše, kolik zařízení je zasažených ani kdo za útoky stojí.

Americká agentura CISA zařadila chybu do katalogu zneužívaných zranitelností týž den, kdy varování vyšlo. Federálním úřadům dala lhůtu do 1. srpna, tedy tři dny. U kolonky, jestli chybu používají skupiny provozující vyděračský software, je v katalogu uvedeno „není známo“.

Jak poznat, že už bylo pozdě

Cisco na rozdíl od mnoha jiných varování popsalo konkrétní stopu, kterou si správce ověří sám. V protokolu /var/log/messages se hledá řádek se slovem license; když v něm je cesta /var/tmp/license.tmp, mohlo k zneužití dojít. Příklad, který firma ve varování ukazuje, nese datum 23. července – tedy téměř týden před zveřejněním.

Pokud správce takovou stopu najde, doporučení zní obrátit se na technickou podporu. A ještě jedno, které platí bez ohledu na nález: vyměnit všechny přihlašovací údaje, klíče a certifikáty na daném zařízení. Cisco to zdůvodňuje právě tím, že zneužívání probíhá.

Opravy jsou, náhradní řešení ne

Žádné dočasné opatření, kterým by šlo chybu obejít, neexistuje – ve varování to stojí výslovně. Jediná cesta je záplata a Cisco vydalo opravné balíčky pro šest řad: 7.0, 7.2, 7.4, 7.6, 7.7 a 10.0. Rozsah verzí naznačuje, že účet v systému nebyl krátkou dobu.

Chybu nahlásil Jimi Sebree ze společnosti Horizon3.ai. Varování má u Cisca interní číslo CSCwt95997 a bylo vydáno jako konečná verze, takže se zatím nečeká na doplnění.

Co z toho neplyne

Popsaná chyba sama o sobě neznamená převzetí zařízení – dává útočníkovi účet s nízkými oprávněními a přístup k datům, ne správcovská práva. Nebezpečná je až v kombinaci s dalšími zranitelnostmi, o kterých Cisco mluví obecně, aniž by je jmenovalo.

Stejně tak z veřejných zdrojů nevyplývá, kolik zařízení útočníci skutečně napadli. Cisco potvrzuje, že zneužívání probíhá, ale žádné číslo neuvádí, a CISA v katalogu vede jen samotný záznam. Kdo hledá rozsah škod, ve zdrojích ho nenajde.

Zdroje: bezpečnostní varování Cisco, záznam CVE-2026-20316 v databázi NVD a katalog zneužívaných zranitelností CISA.