Cisco-fejlen under angreb fik kun 5,3

To vurderinger på én side, og de modsiger hinanden

Den 29. juli 2026 klokken 16:00 GMT offentliggjorde Cisco en sikkerhedsmeddelelse om softwaren til Secure Firewall Management Center, og dokumentet modsiger sig selv på en måde, der fortjener nærlæsning. Fejlen er CVE-2026-20316, internt registreret som fejl CSCwt95997. Cisco giver den en CVSS-basisscore efter version 3.1 på 5,3, som falder i mellembåndet, og på samme side en sikkerhedsvurdering på høj. De to tal kommer fra forskellige processer. Det første er regnestykke over en vektorstreng. Det andet er en vurdering fra mennesker, der ved, hvad produktet gør, og hvor kunderne placerer det.

Når en leverandør tilsidesætter sit eget regnestykke, er tilsidesættelsen signalet. Cisco hævede ikke scoren, hvilket havde været det nemmeste træk; 5,3 blev stående, og den højere kvalitative vurdering kom ved siden af. Den kombination er virksomheden, der med de eneste to sprog, den råder over, siger, at formlen beskriver dette korrekt og alligevel rammer ved siden af. De fleste organisationer indlæser det første tal automatisk og det andet slet ikke, for det første ankommer gennem en grænseflade og det andet i brødtekst.

Hvad vektoren måler, og hvad den udelader

Vektoren er AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N, og hvert led i den udfører ærligt arbejde. Fejlen kan nås over netværket, kræver lav angrebskompleksitet, forlanger hverken rettigheder eller brugerhandling og ændrer ikke omfang. Så påvirkningerne: fortrolighed lav, integritet ingen, tilgængelighed ingen. Den, der udnytter det, får lov at læse noget og ændre intet. Ført ind i formlen giver det 5,3, og formlen tager ikke fejl. Den svarede på det spørgsmål, den blev stillet.

Det spørgsmål, den ikke blev stillet, er, hvor maskinen står. Secure Firewall Management Center er styringslaget, den konsol hvorfra firewallpolitik skrives og rulles ud over hele parken. Læseadgang på den maskine er ikke et kig i ét systems data: det er rekognoscering af selve perimeteren, af regelsæt, objektgrupper og spørgsmålet om, hvilke lokationer der overhovedet findes. CVSS har ikke et felt til det. Placeringen er netop det, en basisscore med vilje udelader, fordi standarden skal kunne rejse mellem organisationer, der udruller det samme produkt forskelligt, og prisen for den flytbarhed er, at tallet ikke kan kende jeres topologi.

Tre dage, på et ur der ikke er jeres

CISA føjede CVE-2026-20316 til sit katalog over kendte udnyttede sårbarheder den 29. juli med frist den 1. august under Binding Operational Directive 26-04. Den krævede handling lyder: anvend afhjælpninger i overensstemmelse med leverandørens anvisninger, og hvis der ikke findes en rettelse, ophør med at bruge produktet. Kataloget rummer nu over 1.600 poster. I feltet om kendt brug i gidselkampagner står Ukendt, og det er en udtalelse om synlighed, ikke om sikkerhed.

Det direktiv binder amerikanske føderale civile myndigheder. Det binder ikke en producent i Herning eller en logistikvirksomhed i Aarhus, og ingen bør rette i den tro, at det gør. Det, der krydser Atlanten uskadt, er beviset, for en katalogpost er en regerings konstatering af, at udnyttelse er observeret i praksis. Under NIS2 skal væsentlige og vigtige enheder håndtere sårbarheder som et ledelsesanliggende, og derfor ender beslutningen på skrift i begge retninger. Center for Cybersikkerhed er det sted, en dansk advarsel ville komme fra. Bevidst ikke at overholde en føderal frist på tre dage er en holdbar position, og en langt svagere en uden det notat, der begrunder den.

En adgangskode ingen kan skifte

Svaghedsklassen er CWE-259, brug af en fast indkodet adgangskode, og Cisco fastslår ligeud, at statiske legitimationsoplysninger til en konto med lave rettigheder findes i softwaren. Den formulering har driftsmæssige følger. En lækket adgangskode kan skiftes, en svag kan styrkes, en standardkode kan udskiftes ved første opstart. En indkompileret er ingen af delene: der er intet felt i konsollen til den og ingen politik, der slår den fra. Afsnittet om midlertidige løsninger siger, at der ikke er nogen, og det er ikke en forglemmelse. Der er ganske enkelt intet at slukke for.

Seks udgivelsesgrene bærer den, 7.0, 7.2, 7.4, 7.6, 7.7 og 10.0, med hurtige rettelser udsendt til dem alle. Tidsforløbet er den del, der bør nå frem til ændringsudvalget. Ciscos produktsikkerhedshold oplyser, at det i juli 2026 blev bekendt med aktiv udnyttelse af denne sårbarhed, hvilket placerer angrebene før rettelsen. For ethvert vindue i juli, hvor en berørt konsol kunne nås, er den ærlige vurdering, at adgangskoden var offentlig for enhver, der havde fundet den, og uden for rækkevidde for den driftsansvarlige, der ejede maskinen.

Skift prioriteringsreglen, ikke kun parken

Ret først, og se derefter på den regel, der ville have nedprioriteret dette. De fleste afhjælpningspolitikker kobler CVSS-bånd til frister: kritisk inden for en uge, høj inden for en måned, mellem inden for et kvartal. Kør CVE-2026-20316 gennem den logik, og en fejl, der blev udnyttet, før dens rettelse fandtes, lander i skuffen med halvfems dage. Fejlen er ikke, at nogen var skødesløs: det er, at politikken stiller scoren et spørgsmål, scoren ikke kan besvare, og derefter behandler svaret som en ordre.

Tre ændringer er værd at gennemføre i denne uge. Indfør en regel om, at enhver post i kataloget over udnyttede sårbarheder arver jeres korteste frist uanset score, for observeret udnyttelse er en kendsgerning om verden, og en basisscore er en egenskab ved en formel. Indfør en regel til, der hæver niveauet for alt, der ligger i et styringslag, eftersom den konsol, der konfigurerer en kontrol, er et mere værdifuldt mål end kontrollen. Kortlæg derefter, hvilke forekomster af Secure Firewall Management Center der kan nås udefra, og bekræft for hver enkelt, at den kører en rettet version, for rettelsen er det eneste middel, der tilbydes.

Læs videre: ServiceNow patchede sin egen sky først, dig 103 dage senere  |  Rettelsen var offentlig 81 dage før advarslen