KUTIM-CSIRT mengimbau seluruh Perangkat Daerah di lingkungan Pemerintah Kabupaten Kutai Timur yang mengoperasikan produk Cisco Secure Firewall Management Center (FMC), Identity Services Engine (ISE), atau Catalyst SD-WAN Manager untuk segera memasang versi perbaikan. Tiga kerentanan kritis pada ketiga produk ini, yaitu CVE-2026-20079 (CVSS 10,0), CVE-2026-76460 (CVSS 10,0), dan CVE-2026-76504 (CVSS 9,8), seluruhnya memungkinkan penyerang jarak jauh tanpa autentikasi melewati proses login, dan seluruhnya telah masuk katalog Known Exploited Vulnerabilities (KEV) CISA, yang berarti eksploitasinya sudah teramati di dunia nyata.

Ketiga produk adalah komponen pengelola: FMC mengelola firewall, ISE mengatur autentikasi dan hak akses perangkat jaringan, sedangkan SD-WAN Manager mengendalikan jaringan SD-WAN. Penguasaan atas salah satunya memberi penyerang pijakan untuk memengaruhi banyak perangkat lain.

Ikhtisar

• CVE-2026-20079 (FMC dan Security Cloud Control Firewall Management): authentication bypass (CWE-288) pada antarmuka web yang memungkinkan eksekusi skrip pada perangkat dan akses root pada sistem operasi di bawahnya. Masuk KEV 9 September 2026.
• CVE-2026-76460 (ISE dan ISE Passive Identity Connector): penggunaan API berhak istimewa yang tidak semestinya (CWE-648); penyerang melewati antarmuka pengelolaan berbasis web dan memperoleh akses tidak sah. Masuk KEV 16 September 2026.
• CVE-2026-76504 (Catalyst SD-WAN Manager): penanganan pengodean URI yang keliru (CWE-177) pada autentikasi sesi API, sehingga permintaan HTTP yang dibuat khusus melewati aturan autentikasi dan memberi akses sebagai pengguna admin. Masuk KEV 30 September 2026.

Cisco menyatakan ketiganya berlaku terlepas dari konfigurasi perangkat, dan tidak ada workaround yang menutup celahnya (hanya mitigasi pembatasan akses).

Dampak

• Pengambilalihan sistem pengelola: akses root pada FMC, akses tidak sah pada ISE, atau akses admin pada SD-WAN Manager.
• Perubahan kebijakan firewall, kebijakan akses jaringan, atau konfigurasi SD-WAN yang dapat melemahkan pengamanan seluruh jaringan.
• Pada ISE, Cisco memperingatkan bahwa setelah eksploitasi berhasil penyerang dapat memperoleh eksekusi perintah dengan hak root, dan jejaknya dapat dihapus sehingga bukti kompromi sulit ditemukan di perangkat itu sendiri.

Sistem yang Terdampak

Kolom Versi Terdampak disusun dari tabel "first fixed release" pada advisory Cisco: seluruh rilis pada cabang yang sama dan lebih lama dari rilis perbaikan dianggap terdampak. ISE rilis 3.0 sudah berakhir masa pemeliharaannya; migrasi ke rilis yang didukung diperlukan. Cisco Security Cloud Control Firewall Management dan SD-WAN Cloud (dikelola Cisco) sudah diperbaiki oleh Cisco tanpa tindakan pelanggan. Untuk FMC, rilis perbaikan merupakan rilis hardening yang menggantikan hot fix sebelumnya.

Rincian CVE

Detail Teknis

CVE-2026-20079 dan CVE-2026-76460 memiliki vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H; CVE-2026-76504 memiliki vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Ketiganya dapat dicapai lewat jaringan tanpa kredensial dan tanpa interaksi pengguna.

Pada FMC, Cisco menyebut penyebabnya adalah proses sistem yang tidak semestinya yang dibuat saat boot, dan risikonya berkurang bila antarmuka pengelolaan FMC tidak dapat diakses dari internet. Pada ISE, endpoint API kurang kontrol autentikasi. Pada SD-WAN Manager, aturan autentikasi untuk endpoint tertentu dapat dilewati karena pengodean URI pada permintaan HTTP ditangani secara keliru.

Setiap advisory Cisco memuat petunjuk pemeriksaan tanda kompromi (log pesan sistem pada FMC, access.log pada ISE, dan log akses serta log server pada SD-WAN Manager). Pemeriksaan ini sebaiknya dilakukan sebelum dan sesudah pemutakhiran.

Rekomendasi

1. Inventarisasi seluruh FMC, ISE (termasuk ISE-PIC), dan SD-WAN Manager yang dioperasikan Perangkat Daerah, termasuk yang dikelola pihak ketiga, lalu catat versi dan patch level-nya.
2. Pasang versi perbaikan sesuai tabel di atas. Untuk ISE, pasang patch cabang yang dipakai; untuk ISE 3.0 dan SD-WAN sebelum 20.9, migrasi ke rilis yang didukung.
3. Periksa tanda kompromi mengikuti advisory Cisco pada setiap node. Hot fix atau patch hanya mencegah eksploitasi berikutnya dan tidak membersihkan kompromi yang sudah terjadi. Bila ada indikasi, hubungi Cisco TAC dan jangan menghapus log. Cisco menyarankan re-image node ISE yang diduga dikompromi.
4. Batasi akses: antarmuka pengelolaan ketiga produk tidak boleh terbuka ke internet. Gunakan infrastructure ACL atau firewall agar hanya host administrasi tepercaya yang dapat menjangkaunya.
5. Setelah patch, tinjau kredensial dan konfigurasi: akun admin, kunci, sertifikat, dan perubahan kebijakan yang tidak dikenali.
6. Kirim log perangkat pengelola ke penyimpanan terpisah agar bukti tetap ada walaupun perangkat dikompromi.

Catatan Status Eksploitasi

Ketiga CVE tercatat di katalog KEV CISA: CVE-2026-20079 pada 9 September 2026, CVE-2026-76460 pada 16 September 2026, dan CVE-2026-76504 pada 30 September 2026. Pada advisory CVE-2026-76460, Cisco PSIRT menyatakan mengetahui adanya eksploitasi aktif.

Referensi

• Cisco Security Advisory – FMC authentication bypass (cisco-sa-onprem-fmc-authbypass-5JPp45V2)
• Cisco Security Advisory – ISE authentication bypass (cisco-sa-ISE-ABP-VNSW7Tn5)
• Cisco Security Advisory – Catalyst SD-WAN Manager (cisco-sa-sdwan-webauth-xr8beuuU)
• NVD – CVE-2026-20079
• NVD – CVE-2026-76460
• NVD – CVE-2026-76504
• CISA Known Exploited Vulnerabilities Catalog

Perangkat Daerah yang menemukan indikasi kompromi pada sistemnya dapat menghubungi KUTIM-CSIRT melalui kanal pelaporan resmi atau csirt@kutaitimurkab.go.id.