Cisco hat bestätigt, dass zwei Schwachstellen im Secure Firewall Management Center (FMC) aktiv ausgenutzt werden. Über die schwerwiegendere der Schwachstellen erlangt ein nicht authentifizierter Angreifer aus der Ferne Root-Rechte auf dem Gerät. Betroffen ist damit nicht irgendeine Randkomponente, sondern die zentrale Verwaltungskonsole, über die Administratoren ihre Cisco-Firewalls steuern. Wer die volle Kontrolle über das FMC übernimmt, sitzt an einer Schlüsselstelle im Netzwerk. „Cisco Talos“ hat inzwischen drei getrennte Angreifergruppen beobachtet, darunter eine mit Bezug zur russischen Gruppe Sandworm und einen Qilin-Ransomware-Partner. Betroffene sollten die verfügbaren Hotfixes sofort einspielen.

Was ist passiert

Am 9. September 2026 hat Cisco die Sicherheitsmeldung zu CVE-2026-20079 aktualisiert und darin bestätigt, dass das eigene Product Security Incident Response Team (PSIRT) bereits im August 2026 auf die aktive Ausnutzung aufmerksam wurde. Die US-Behörde CISA hat die Lücke daraufhin in ihren Katalog bekannter ausgenutzter Schwachstellen aufgenommen und US-Bundesbehörden eine Frist zur Behebung bis zum 12. September 2026 gesetzt.

Der zeitliche Ablauf zeigt, dass die Angriffe wohl schon früher liefen. Ein von Cisco veröffentlichter Beispiel-Logeintrag zu einer verwandten Lücke ist auf den 23. Juli 2026 datiert, also Wochen vor dem Zeitpunkt, zu dem das PSIRT nach eigenen Angaben von der Ausnutzung erfuhr. Cisco hatte CVE-2026-20079 erstmals im März 2026 öffentlich gemacht und am 29. Juli 2026 Hotfixes sowie IOC (Kompromittierungsindikatoren) nachgereicht.

Die Schwachstellen im Detail

Im Zentrum stehen zwei Lücken im Secure FMC:

• CVE-2026-20079 (CVSS 10.0), eine Umgehung der Authentifizierung. Die Ursache liegt in einem fehlerhaft angelegten Systemprozess, der beim Start des FMC entsteht. Wird die dabei erzeugte Sitzung von keinem legitimen Nutzer beansprucht, kann ein Angreifer sie durch präparierte HTTP-Anfragen an die Weboberfläche übernehmen und anschließend Skripte und Befehle mit Root-Rechten auf dem darunterliegenden Betriebssystem ausführen. Zugangsdaten sind dafür nicht nötig.
• CVE-2026-20316 (CVSS 5.3), fest im Code hinterlegte statische Zugangsdaten für ein niedrig privilegiertes Konto. Damit kann sich ein entfernter Angreifer ohne ordentliche Berechtigung anmelden. Für sich genommen liefert das nur begrenzten Zugriff, in Verkettung mit der Authentifizierungslücke oder weiteren FMC-Schwachstellen lässt sich daraus jedoch eine Rechteausweitung bauen. Cisco stuft die Lücke wegen dieser Verkettbarkeit trotz des moderaten Basiswerts als hoch riskant ein.

Betroffen sind Cisco Secure FMC Software und Cisco Security Cloud Control Firewall Management. Den cloudbasierten Dienst Security Cloud Control hat Cisco nach eigenen Angaben bereits gepatcht. Cisco Secure Firewall ASA und Firewall Threat Defense (FTD) sind laut Hersteller nicht anfällig.

Wer nutzt die Schwachstelle aus

Cisco Talos hat drei getrennte Aktivitätscluster mit unterschiedlichen Zielen identifiziert:

• UAT-12197, bislang keiner Gruppe zugeordnet, nutzte die Authentifizierungslücke, um eine JSP-Webshell im Tomcat-Verzeichnis des FMC zu platzieren. Darüber wurde ein Java-Befehlsausführer namens cmd.jar nachgeladen, der die interne Datenbank abfragt und gespeicherte Nutzer-Zugangsdaten stiehlt.
• UAT-11823, mit hoher Wahrscheinlichkeit als staatlich unterstützter Akteur mit Überschneidungen zur russischen, militärnahen Gruppe Sandworm eingeschätzt. Diese Gruppe verkettete beide Schwachstellen, ersetzte eine legitime Lizenzdatei durch ein manipuliertes Makeself-Paket für eine Netcat-basierte Reverse Shell, exfiltrierte Gerätekonfigurationen und brachte schließlich eine Variante der Schadsoftware Cyclops Blink aus. Diese modulare Implantat-Familie ist seit Jahren mit Sandworms Botnetz-Operationen gegen Netzwerk-Edge-Geräte verbunden und bietet Persistenz über init.d-Skripte, C2 über DNS-over-HTTPS, das Abgreifen von Zugangsdaten, Paket-Sniffing und beliebige Fernbefehle.
• UAT-11988, mit hoher Zuversicht einem Qilin-Ransomware-Partner zugeordnet. Diese Gruppe verzichtete auf die Authentifizierungslücke und meldete sich stattdessen über die statischen Zugangsdaten an. Anschließend nutzte sie die bordeigenen Verwaltungswerkzeuge des FMC, sammelte Active-Directory- und MySQL-Zugangsdaten, kartierte Domänencontroller, Dateiserver und Exchange-Systeme und tunnelte über LDAP, Kerberos, SMB, NetBIOS und WinRM mit einem Python-SOCKS5-Proxy sowie Reverse-SSH tiefer ins Netz, bevor sie Antivirus-Killer und die Qilin-Ransomware auf ausgewählten Systemen einsetzt.

Wer ist betroffen

Gefährdet ist jede Organisation, die ein Secure FMC betreibt. Besonders exponiert sind Installationen, deren Management-Oberfläche aus dem Internet erreichbar ist, denn das vergrößert die Angriffsfläche für alle drei beobachteten Kampagnen. Da das FMC die zentrale Steuerung ganzer Firewall-Flotten ist, wiegt eine Übernahme schwer, ein Angreifer kann von dort aus tief in das restliche Netzwerk vordringen.

Die IOC sind dem CISCO Security Advisory zu entnehmen.