Cisco hat bestätigt, dass eine kritische Sicherheitslücke im Secure Firewall Management Center (FMC) aktiv ausgenutzt wird. Die Schwachstelle mit der Kennung CVE‑2026‑20079 erreicht den maximalen CVSS-Score von 10,0 und erlaubt nicht authentifizierten Angreifern, Skripte und Kommandos mit Root‑Rechten auf betroffenen Geräten auszuführen. Das Unternehmen aktualisierte am Mittwoch seine Sicherheitswarnung und räumte ein, dass das Cisco PSIRT bereits im August 2026 von Angriffen Kenntnis erlangte – ohne jedoch Details zu Zeitpunkt, Urhebern oder den nach der Kompromittierung beobachteten Aktivitäten zu nennen.
CVE‑2026‑20079 – kritische Authentifizierungsumgehung
Die Schwachstelle wird durch einen fehlerhaften Systemprozess verursacht, der beim Booten angelegt wird. Angreifer können diesen Fehler über gezielte HTTP‑Anfragen an die Weboberfläche eines betroffenen FMC ausnutzen. Ein erfolgreicher Angriff umgeht die Authentifizierung vollständig und gewährt die Kontrolle über das Gerät mit Root‑Privilegien. Betroffen sind sowohl die On‑Premises‑Version Cisco Secure FMC Software als auch die cloudgehostete Cisco Security Cloud Control Firewall Management. Für den Cloud‑Dienst habe Cisco bereits ein Update eingespielt; für die lokalen Installationen gibt es keine Workarounds, sodass ein Upgrade auf die aktuelle Version zwingend erforderlich ist.
Zeitlicher Verlauf der Entdeckung und Bestätigung
Cisco veröffentlichte die Sicherheitswarnung zu CVE‑2026‑20079 bereits im März 2026. Damals erklärte der Hersteller, dass keine Hinweise auf eine Ausnutzung vorlägen. Erst im Juli 2026 tauchten Indikatoren auf, die auf eine aktive Kompromittierung hindeuteten: Am 29. Juli veröffentlichte Cisco eine Warnung zu einer weiteren FMC‑Lücke, CVE‑2026‑20316, die durch statische Anmeldeinformationen für ein niedrig privilegiertes Konto hervorgerufen wurde. Dieser Schwachstelle wies Cisco eine hohe Schwere zu, da die erlangten Zugänge mit anderen FMC‑Fehlern kombiniert werden könnten, um Privilegien auszuweiten. Gleichzeitig aktualisierte Cisco die Warnung zu CVE‑2026‑20079 und ergänzte dieselben Indikatoren, ohne jedoch damals eine aktive Ausnutzung zu bestätigen. Erst im August gab das PSIRT bekannt, dass die Lücke tatsächlich in Angriffen genutzt wird.
Gemeinsame Indikatoren und mögliche Angriffsketten
Die beiden Schwachstellen weisen auffällige Parallelen auf. Cisco veröffentlichte für beide Lücken identische Hotfixes und nannte in beiden Warnungen die gleichen Kompromittierungsindikatoren (IOCs). Administratoren wurden angewiesen, in der Log‑Datei /var/log/messages nach Einträgen zu suchen, die auf /var/tmp/license.tmp verweisen. Ein von Cisco veröffentlichtes Beispiel‑Log zeigt einen Eintrag vom 23. Juli 2026 – also Wochen vor der offiziellen Bestätigung der Ausnutzung von CVE‑2026‑20079:
- Jul 23 16:16:33 firepower sudo: www : PWD=/ ; USER=root ; COMMAND=/usr/local/sf/bin/package_info.pl /var/tmp/license.tmp –lsm
Dieser Eintrag legt nahe, dass die Sicherheitslücke bereits im Juli aktiv ausgenutzt wurde, möglicherweise in Kombination mit den statischen Credentials von CVE‑2026‑20316. Cisco selbst hat auf Nachfrage nicht klargestellt, ob die beiden Lücken in denselben Angriffen verwendet wurden, doch die identischen IOCs, die zeitgleiche Veröffentlichung von Hotfixes und der gemeinsame Log‑Eintrag deuten stark auf eine Verkettung der Fehler hin. Unternehmen sollten daher beide Schwachstellen als eng miteinander verwoben betrachten und ihre Systeme umfassend prüfen.
Handlungsempfehlungen für betroffene Unternehmen
Cisco rät, die Systeme unverzüglich auf die neueste Softwareversion zu aktualisieren. Für die lokalen FMC‑Installationen gibt es keine temporären Workarounds, sodass ein Update der einzige Schutz vor einer zukünftigen Ausnutzung darstellt. Zugleich warnt der Hersteller, dass das Einspielen der Hotfixes bestehende Kompromittierungen nicht rückgängig macht. Wer in den Logs die genannten Indikatoren findet oder andere Anomalien beobachtet, sollte umgehend den Cisco Technical Assistance Center (TAC) kontaktieren. Die US‑amerikanische Behörde CISA hat CVE‑2026‑20079 in den Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen und fordert Behörden der zivilen Bundesverwaltung auf, die Sicherheitsupdates bis zum 12. September 2026 zu installieren.
Die fehlende Transparenz über die Angreifer und die genauen Abläufe der Kampagne verdeutlicht, wie verwundbar selbst gehärtete Netzwerkinfrastrukturen gegenüber kombinierten Authentifizierungslücken sein können. Für Sicherheitsverantwortliche in Unternehmen der DACH‑Region bedeutet dies, die Log‑Analysen zu intensivieren und den Patch‑Prozess für Secure‑FMC‑Systeme sofort umzusetzen. Solange Cisco keine weiteren technischen Details veröffentlicht, bleibt die Bedrohungslage unvollständig – und die Zeit bis zur vollständigen Bereinigung etwaiger Kompromittierungen drängt.
