{"id":51712,"date":"2026-09-10T01:31:35","date_gmt":"2026-09-09T23:31:35","guid":{"rendered":"https:\/\/overcentral.com\/de\/?p=51712"},"modified":"2026-09-10T01:31:35","modified_gmt":"2026-09-09T23:31:35","slug":"cve-2026-20079-cisco-secure-fmc-51712","status":"publish","type":"post","link":"https:\/\/overcentral.com\/de\/cve-2026-20079-cisco-secure-fmc-51712\/","title":{"rendered":"Cisco best\u00e4tigt aktive Ausnutzung von Secure-FMC-L\u00fccke CVE-2026-20079"},"content":{"rendered":"

Cisco hat best\u00e4tigt, dass eine kritische Sicherheitsl\u00fccke im Secure Firewall Management Center (FMC) aktiv ausgenutzt wird. Die Schwachstelle mit der Kennung CVE\u20112026\u201120079 erreicht den maximalen CVSS-Score von 10,0 und erlaubt nicht authentifizierten Angreifern, Skripte und Kommandos mit Root\u2011Rechten auf betroffenen Ger\u00e4ten auszuf\u00fchren. Das Unternehmen aktualisierte am Mittwoch seine Sicherheitswarnung und r\u00e4umte ein, dass das Cisco PSIRT bereits im August 2026<\/a> von Angriffen Kenntnis erlangte \u2013 ohne jedoch Details zu Zeitpunkt, Urhebern oder den nach der Kompromittierung beobachteten Aktivit\u00e4ten zu nennen.<\/p>\n

CVE\u20112026\u201120079 \u2013 kritische Authentifizierungsumgehung<\/h2>\n

Die Schwachstelle wird durch einen fehlerhaften Systemprozess verursacht, der beim Booten angelegt wird. Angreifer k\u00f6nnen diesen Fehler \u00fcber gezielte HTTP\u2011Anfragen an die Weboberfl\u00e4che eines betroffenen FMC ausnutzen. Ein erfolgreicher Angriff umgeht die Authentifizierung vollst\u00e4ndig und gew\u00e4hrt die Kontrolle \u00fcber das Ger\u00e4t mit Root\u2011Privilegien. Betroffen sind sowohl die On\u2011Premises\u2011Version Cisco Secure FMC Software als auch die cloudgehostete Cisco Security Cloud Control Firewall Management. F\u00fcr den Cloud\u2011Dienst habe Cisco bereits ein Update eingespielt; f\u00fcr die lokalen Installationen gibt es keine Workarounds, sodass ein Upgrade auf die aktuelle Version zwingend erforderlich ist.<\/p>\n

Zeitlicher Verlauf der Entdeckung und Best\u00e4tigung<\/h3>\n

Cisco ver\u00f6ffentlichte die Sicherheitswarnung zu CVE\u20112026\u201120079 bereits im M\u00e4rz 2026. Damals erkl\u00e4rte der Hersteller, dass keine Hinweise auf eine Ausnutzung vorl\u00e4gen. Erst im Juli 2026 tauchten Indikatoren auf, die auf eine aktive Kompromittierung hindeuteten: Am 29. Juli ver\u00f6ffentlichte Cisco eine Warnung zu einer weiteren FMC\u2011L\u00fccke, CVE\u20112026\u201120316, die durch statische Anmeldeinformationen f\u00fcr ein niedrig privilegiertes Konto hervorgerufen wurde. Dieser Schwachstelle wies Cisco eine hohe Schwere zu, da die erlangten Zug\u00e4nge mit anderen FMC\u2011Fehlern kombiniert werden k\u00f6nnten, um Privilegien auszuweiten. Gleichzeitig aktualisierte Cisco die Warnung zu CVE\u20112026\u201120079 und erg\u00e4nzte dieselben Indikatoren, ohne jedoch damals eine aktive Ausnutzung zu best\u00e4tigen. Erst im August gab das PSIRT bekannt, dass die L\u00fccke tats\u00e4chlich in Angriffen genutzt wird.<\/p>\n

Gemeinsame Indikatoren und m\u00f6gliche Angriffsketten<\/h2>\n

Die beiden Schwachstellen weisen auff\u00e4llige Parallelen auf. Cisco ver\u00f6ffentlichte f\u00fcr beide L\u00fccken identische Hotfixes und nannte in beiden Warnungen die gleichen Kompromittierungsindikatoren (IOCs). Administratoren wurden angewiesen, in der Log\u2011Datei \/var\/log\/messages<\/strong> nach Eintr\u00e4gen zu suchen, die auf \/var\/tmp\/license.tmp<\/strong> verweisen. Ein von Cisco ver\u00f6ffentlichtes Beispiel\u2011Log zeigt einen Eintrag vom 23. Juli 2026<\/strong> \u2013 also Wochen vor der offiziellen Best\u00e4tigung der Ausnutzung von CVE\u20112026\u201120079:<\/p>\n