前言

前两天在整理CISA的KEV目录时看到了CVE-2026-20316，点进去一看，好家伙，又是一个硬编码凭证。说实话这种洞放在2026年真的有点说不过去，但思科把这个洞评为"高"风险等级，而且已经有在野利用，所以还是值得好好扒一扒。

这个洞到底是个什么情况

一句话总结：Cisco FMC的Web界面里藏了一个永远改不了密码的"后门账号"。

不用绕弯子，思科开发人员在FMC的代码里直接把一个低权限账号的用户名和密码写死（Hard-coded）。这就意味着不管你FMC管理员怎么改密码、怎么做安全加固，这个账号始终存在，凭证始终有效，像一颗定时炸弹埋在系统里。

攻击者要做的就只有一件事：用这个固定凭证登录FMC的Web界面。

就这么简单，不需要绕WAF，不需要打内存破坏，不需要提权，一个HTTP POST请求搞定。CVE描述里写的"无需认证即可访问"就是这个意思。

具体参数如下：

漏洞原理拆解

硬编码凭证是怎么来的

很多大型企业软件为了"方便运维"或者"内部服务调用"，会在代码里预置一些账号。正常做法是这些账号只在特定内部网络可用、或者通过额外认证机制保护。但这次FMC的情况是：

1. 这个账号直接内置在Web界面的认证模块里

2. 凭证以明文形式存在于系统文件中

3. 无论管理员做什么操作，这个账号都无法被删除或禁用

4. 该账号可以通过Web界面直接登录

为什么CVSS只有5.3，Cisco却评"高"

这一点挺有意思的。单独看这个漏洞，攻击者登录后拿到的只是一个低权限账户，能做的事情有限——主要是读取日志、查看配置信息等，不涉及代码执行或提权，所以CVSS打了5.3分。

但Cisco内部把这个洞定为"高"风险，原因是：

低权限访问只是第一步，配合其他FMC漏洞可以轻松实现权限提升，最终完全控制FMC。

从攻击者的角度来看，这就好比先搞到了一张门禁卡，虽然只能进大厅，但大厅里有电梯、有楼梯，只要再找到一把钥匙（或者另一个漏洞），就能直接上顶楼机房了。

MITRE ATT&CK映射

这个漏洞本质上属于T1078 - Valid Accounts（有效账户）技术。攻击者不需要自己"创建"一个账号，系统里已经有一个现成的、合法的（虽然是低权限）账号等着他用。

影响版本

说实话影响范围挺广的，基本覆盖了主流FMC版本：

不受影响的包括云交付FMC、Firewall Device Manager这些，反正个人用户一般不会碰到。

复现思路

前置条件

• 靶机：一台运行受影响版本FMC的服务器，Web管理界面可达

• 攻击机：随便一台能访问靶机的机器，Linux/Mac/Windows都行

核心思路

这个洞复现起来其实没什么技术含量，说白了就是"用已知凭证登录"。但问题是——目前硬编码的具体凭证还没有被公开。

所以实际复现分两种情况：

情况一：你已经拿到了凭证信息（通过逆向或非公开渠道）

直接怼登录接口就行。FMC的登录接口一般是：

POST /login HTTP/1.1 Host: <FMC_IP> Content-Type: application/x-www-form-urlencoded username=<硬编码用户名>&password=<硬编码密码>

判断结果：如果服务器返回了302 Found重定向，并且Location头指向了管理后台（如/main或/dashboard），同时响应中包含了新的会话Cookie（如JSESSIONID），就说明漏洞存在。

情况二：你没有凭证信息

那就只能等凭证公开，或者自己动手逆向FMC的二进制文件/Web应用源码，找到硬编码的字符串。这个难度较高，不在本文讨论范围内。

我个人的看法

说实话，硬编码凭证这种洞放在2026年确实有点"复古"了。但思科这么大的厂商还在犯这种低级错误，说明企业内部的代码安全审计流程还是有问题。

不过话说回来，正因为利用门槛极低，这个洞的实际威胁才大。不需要什么高级技能，只要凭证信息泄露（而且迟早会泄露），随便一个脚本小子都能扫到一批FMC然后批量登录。

怎么判断自己有没有被搞

Cisco官方给了一个排查方法，在FMC的专家模式（expert mode）下执行：

cat /var/log/messages | grep license

如果日志里出现了/var/tmp/license.tmp这个文件的引用，那就要警惕了。

更具体的，如果看到类似这样的记录：

www: running package_info.pl with /var/tmp/license.tmp

说明www账户（很可能是那个低权限账号）执行了某些操作，基本可以判断已经被利用过了。

这时候别犹豫，立刻联系Cisco TAC，同时开始全网段排查有没有其他异常登录记录。

修复方案

补丁（唯一根治办法）

Cisco已经发布了Hotfix，去Cisco Software Center下载对应版本的补丁，然后按照Firepower Hot Fix发布说明安装。

没有其他替代方案。什么改配置、加防火墙规则都是临时缓解，治标不治本。

临时措施（在打补丁之前）

如果你一时半会儿打不了补丁，至少先做这几件事：

1. 把FMC管理界面从公网撤下来。这个是最重要的一步，绝大多数攻击都来自互联网扫描，内网相对安全一些。

2. 限制管理IP访问范围。在防火墙或者FMC本身的访问控制列表里，只允许运维人员的IP访问443端口。

3. 启用多因素认证。虽然硬编码凭证绕过不了MFA，但至少能挡住其他类型的凭证泄露。

4. 加强日志监控。盯着FMC的登录日志，特别是非工作时间段的异常登录。

写在最后

CVE-2026-20316这个洞，说复杂不复杂，就是一个典型的"开发图省事、安全留隐患"的案例。但它造成的实际影响可能比某些CVSS 9.8的洞还要大，因为太好用了，攻击者不需要任何技巧就能拿下第一层访问权限。

对于正在用FMC的团队，建议尽快评估自己是否受影响，该打补丁打补丁，该做隔离做隔离。别等到被勒索了再后悔——那时候就晚了。

参考链接：

• 微步在线漏洞详情：ThreatBook 用户登录

• Cisco官方安全公告：cisco-sa-fmc-static-cred-BET3Cjh

• CISA KEV目录：Known Exploited Vulnerabilities Catalog | CISA

本文仅用于安全技术研究和学习，请勿用于非法用途。漏洞复现请在获得授权的前提下进行。