Cisco warnt vor aktiv ausgenutzter Schwachstelle mit hinterlegten Zugangsdaten

Cisco warnt vor einer bereits als Zero-Day ausgenutzten Schwachstelle im Secure Firewall Management Center.

Die als hoch eingestufte Schwachstelle CVE-2026-20316 betrifft die Cisco Secure Firewall Management Center Software, kurz FMC, über die Administratoren zentral Regelwerke, Updates und Protokolle mehrerer Firewalls verwalten. Ursache ist ein in der Software eingebautes Konto mit geringen Rechten, das über fest hinterlegte Zugangsdaten verfügt. Laut Cisco kann sich ein nicht authentifizierter, entfernter Angreifer damit an einem betroffenen System anmelden und auf die für dieses Konto zugänglichen Daten zugreifen. Obwohl der CVSS-Wert der Lücke bei 5,3 liegt, hat Cisco sie als hochriskant eingestuft, da sich der Zugang mit weiteren, bislang nicht näher benannten FMC-Schwachstellen kombinieren lässt, um höhere Rechte zu erlangen.

Cisco erklärte, im Juli 2026 von einer aktiven Ausnutzung der Lücke erfahren zu haben, machte jedoch keine Angaben dazu, wann die Angriffe begannen oder wer dahintersteckt. Die US-Behörde CISA hat CVE-2026-20316 am 29. Juli in ihren Katalog bekannter, aktiv ausgenutzter Schwachstellen aufgenommen. Betroffen ist die Secure FMC Software unabhängig von der jeweiligen Geräte-Konfiguration, nicht jedoch die Cloud-Variante von FMC, der Firewall Device Manager, Secure Firewall ASA sowie Threat Defense Software oder Security Cloud Control. Cisco hat Hotfixes für die FMC-Versionen 7.0, 7.2, 7.4, 7.6, 7.7 und 10.0 veröffentlicht, Workarounds gibt es nicht.

Zusätzliche kritische Authentifizierungslücke aktualisiert

Parallel dazu aktualisierte Cisco die Sicherheitsmitteilung zu einer separaten, kritischen Authentifizierungsumgehung in FMC mit der Kennung CVE-2026-20079 und einem maximalen CVSS-Wert von 10,0. Über diese Lücke kann ein nicht authentifizierter, entfernter Angreifer durch speziell präparierte HTTP-Anfragen die Authentifizierung umgehen und Skripte sowie Befehle mit Root-Rechten ausführen, ohne dafür Zugangsdaten oder vorherigen Zugriff auf das Gerät zu benötigen. Cisco hatte diese Schwachstelle bereits im März 2026 offengelegt und die Mitteilung am 29. Juli um eine zweite Fehlerkennung, verfügbare Hotfixes sowie Kompromittierungsindikatoren ergänzt. Nach Angaben von Cisco ist bislang keine böswillige Ausnutzung dieser zweiten Lücke bekannt.

Empfohlene Prüfschritte für Administratoren

Cisco empfiehlt Administratoren, die Protokolldatei /var/log/messages auf Hinweise für eine mögliche Kompromittierung zu prüfen. Ein Eintrag, der auf die Datei /var/tmp/license.tmp verweist, kann laut Cisco auf eine erfolgte Ausnutzung hindeuten. Wird dieser Hinweis gefunden, sollten Administratoren sämtliche Zugangsdaten, Schlüssel und Zertifikate des betroffenen FMC-Geräts erneuern und sich bei Verdacht auf eine Kompromittierung an den Cisco-Support wenden.

(red)