Il 30 luglio Cisco ha pubblicato un avviso di sicurezza su una falla che ha una caratteristica sgradevole: non è un errore di programmazione difficile da sfruttare, è una password lasciata dentro il software.
Si chiama CVE-2026-20316 e riguarda il Secure Firewall Management Center, cioè la console da cui si amministrano i firewall Cisco di un’azienda. Il giorno prima, il 29 luglio, l’agenzia di cybersicurezza statunitense CISA l’aveva già inserita nel proprio catalogo delle vulnerabilità sfruttate in attacchi reali. Non è una previsione: sta succedendo.
Cosa vuol dire «credenziale statica»
Una credenziale statica è un nome utente e una password incorporati nel software dal produttore, identici su ogni installazione nel mondo. Servono a far dialogare fra loro componenti interne del prodotto e nessuno le cambia, perché quasi nessuno sa che esistono. Nel momento in cui diventano di dominio pubblico, chiunque le possiede: non c'è nulla da indovinare, si entra scrivendole.
È esattamente ciò che è accaduto. L’account interessato è a bassi privilegi: chi entra non diventa amministratore del firewall. Ma entra senza autenticarsi, da remoto, e legge i dati accessibili a quell’account.
Perché un punteggio 5,3 viene comunque classificato «alto»
Il punteggio tecnico assegnato alla falla è 5,3 su 10, che a colpo d’occhio sembra roba media. Cisco però la classifica ad alta severità, e la ragione va capita perché è il cuore della notizia: quell’accesso si concatena con altre vulnerabilità già note del prodotto per salire di privilegi.
Tradotto: la porta di servizio da sola porta in uno stanzino. Ma dallo stanzino, con un secondo problema noto, si arriva alla sala di regia — cioè alle regole del firewall, alle configurazioni VPN, all’inventario dei dispositivi collegati. Che è la mappa di come è fatta la rete di un’azienda, e il punto di partenza ideale per un attacco ransomware.
Il punto che quasi tutti si perdono: la patch non basta
Qui c’è la differenza rispetto a un normale «aggiorna e stai tranquillo». Poiché lo sfruttamento è già in corso, Cisco raccomanda di ruotare tutte le credenziali, le chiavi e i certificati presenti sul dispositivo.
Il motivo è semplice, e vale la pena dirlo in italiano corrente: se qualcuno è già entrato e ha letto, l’aggiornamento chiude la porta ma non annulla ciò che è stato copiato. Una chiave o un certificato letto ieri continua a funzionare domani, patch o non patch, finché non lo si sostituisce. È la differenza tra chiudere la porta e cambiare la serratura dopo che qualcuno ha duplicato la chiave.
Cosa fare, concretamente
Non sei tu a dover mettere le mani sul firewall. Sei tu a dover fare in modo che qualcuno ci metta le mani, e a farti dire quando.
- Manda una mail, non una telefonata. Serve una risposta scritta e datata. Le domande sono tre: «Il nostro firewall è Cisco e usiamo il Firewall Management Center? Se sì, quale versione, ed è tra quelle indicate nell’advisory cisco-sa-fmc-static-cred?»
- Se la risposta è sì, chiedi due cose separate, perché sono davvero due: l’aggiornamento del software, e la rotazione di credenziali, chiavi e certificati sul dispositivo. Se il fornitore ti conferma solo la prima, la richiesta non è completa.
- Chiedi se la console di gestione è raggiungibile da internet. Se lo è senza un motivo forte, quella va chiusa a prescindere da questa vicenda: è la porta su cui bussano per prima.
- Fatti dare una data. «Ci pensiamo noi» non è una data.
Applicare la patch elimina la credenziale di fabbrica e impedisce nuovi accessi: è la porta chiusa. Ruotare credenziali, chiavi e certificati invalida quello che un attaccante può aver già copiato mentre la porta era aperta: è la serratura cambiata. Cisco chiede entrambe le cose proprio perché gli attacchi sono in corso da prima dell'avviso, e non si può sapere a priori se la propria installazione sia stata visitata.
In breve
CVE-2026-20316 è una credenziale fissa incorporata nel Cisco Secure Firewall Management Center: consente a un attaccante remoto e non autenticato di accedere con un account a bassi privilegi e leggere dati sensibili. Il punteggio è 5,3, ma Cisco la classifica ad alta severità perché l’accesso si concatena con altre falle note per elevare i privilegi. È sfruttata in attacchi reali ed è entrata nel catalogo CISA il 29 luglio 2026. Non ci sono workaround.
Se in azienda c’è un firewall Cisco amministrato da una console centrale, la cosa da fare oggi è una mail al fornitore IT con tre domande precise — e la richiesta esplicita di aggiornare e ruotare le chiavi, non solo di aggiornare.