シスコ、Secure FMCの脆弱性CVE-2026-20079が攻撃で悪用されたことを確認

シスコ、Secure FMCの脆弱性CVE-2026-20079が攻撃で悪用されたことを確認

BleepingComputer – September 9, 2026

シスコは9日、同社のSecure Firewall Management Center（FMC）ソフトウェアに存在する脆弱性CVE-2026-20079（CVSSスコア：10.0）のアドバイザリを更新し、この深刻なセキュリティ欠陥が攻撃で悪用されていることを確認したと発表した。

この脆弱性は認証を受けていないリモートの攻撃者が認証を回避し、root権限を用いてスクリプトやコマンドの実行を可能にするもの。起動時に作成される不適切なシステムプロセスに起因し、細工されたHTTPリクエストを脆弱なデバイスのWebインターフェースに送信することで悪用できるという。シスコは今年3月にCVE-2026-20079を公表した際、攻撃で悪用されている証拠はないと述べていた。

影響を受けるのはCisco Secure FMCソフトウェアおよびCisco Security Cloud Control Firewall Managementで、クラウドホスト型のSecurity Cloud Controlサービスにはすでにパッチが適用されている模様。回避策は存在しないそうで、最新のソフトウェアリリースへのアップグレードが推奨されている。

CVE-2026-20079は米サイバーセキュリティ・インフラストラクチャ・セキュリティ庁（CISA）のKEV（悪用が確認済みの脆弱性）カタログにも追加され、連邦政府文民機関（FCEB）には12日までに保護策を講じるよう指示が出された。なお、シスコは悪用事例を2026年8月に確認したと発表したものの、攻撃がいつ始まり、誰が関与しているのか、あるいは悪用後にどのような活動が確認されたのかについて明らかにしていない。

WeChatのワーム、着信応答前に友人のアカウントを乗っ取ることが可能だった

The Register – Wed 09 Sept 2026

中国のIT企業Tencentは、WeChatの通話機能を介して拡散可能なワームの作成に利用されたゼロクリック脆弱性を修正した。

月間アクティブユーザー数が14億人を超えるWeChatは、世界で最も人気のあるアプリの1つ。セキュリティ企業Califの研究者チームによると、同アプリのVoIPスタックにはメモリ破損のバグが存在し、信頼できる連絡先からの着信を受けるだけで、攻撃者がユーザーのアカウントを乗っ取れる状態だったそうだ。

Califが「WeWorm」と名付けたこの脆弱性は、iOS／Androidの双方でWeChatの通話を介して拡散できる初のゼロクリックワームと説明され、AIを活用して発見されたことが明らかになっている。また、デモでは受信者が通話に応答しなくても、数秒以内でWeChatのアカウントを乗っ取れることを実証したという。

この攻撃を成功させるには、攻撃者が被害者の「友達リスト」に入っている必要があるとのこと。しかもWeWormをその他の脆弱性と組み合わせると、デバイス全体を侵害することも可能なようだ。

なお、着信を拒否すれば感染を防げたが、応答したり、呼び出し音を鳴らし続けたりした場合は感染を防げなかった模様。さらに研究者によると、受信者が電話から離れている隙に再び攻撃を試みることも可能とされている。

WeWormに関する詳細な分析結果は「近々開催される会議」で発表される見通し。Tencentは8月21日に修正プログラムをリリースしている。