Thought Leadership
Die Schwachstelle CVE-2026-20079 im Cisco Secure FMC hat den Höchstwert 10.0 und wird laut Cisco bereits aktiv ausgenutzt.
Cisco hat bestätigt, dass eine Schwachstelle mit der Kennung CVE-2026-20079 in der Secure Firewall Management Center (FMC) Software aktiv für Angriffe ausgenutzt wird. Die Lücke erlaubt es nicht authentifizierten, entfernten Angreifern, die Anmeldeprüfung zu umgehen und Skripte sowie Befehle mit Root-Rechten auf betroffenen Geräten auszuführen. Der CVSS-Wert liegt beim Höchstmaß von 10,0. In einem am Mittwoch aktualisierten Sicherheitshinweis erklärte Cisco, das eigene PSIRT-Team habe im August 2026 Kenntnis von der aktiven Ausnutzung erlangt. Wann die Angriffe begannen, wer dahintersteckt und welche Aktivitäten nach einem erfolgreichen Angriff beobachtet wurden, teilte Cisco nicht mit.
Ursache und betroffene Produkte
Die Schwachstelle entsteht laut Cisco durch einen fehlerhaft angelegten Systemprozess, der beim Start des Geräts erzeugt wird. Angreifer können sie ausnutzen, indem sie präparierte HTTP-Anfragen an die Weboberfläche eines betroffenen Geräts senden. Betroffen sind die Cisco-Secure-FMC-Software sowie Cisco Security Cloud Control Firewall Management. Der cloudbasierte Security-Cloud-Control-Dienst wurde nach Angaben von Cisco bereits gepatcht. Erstmals bekannt gemacht hatte Cisco die Lücke im März 2026 – damals noch ohne Hinweise auf eine tatsächliche Ausnutzung.
Hinweise auf frühere Ausnutzung im Juli
Obwohl Cisco erst im August von aktiver Ausnutzung erfahren haben will, deuten Indikatoren aus einem im Juli aktualisierten Sicherheitshinweis darauf hin, dass die Lücke möglicherweise bereits früher missbraucht wurde. Am 29. Juli hatte Cisco eine weitere Schwachstelle im Secure FMC veröffentlicht, CVE-2026-20316, die auf statischen Zugangsdaten eines gering privilegierten Kontos beruht und ebenfalls bereits aktiv ausgenutzt wurde. Cisco ergänzte den Hinweis zu CVE-2026-20079 damals um dieselben Kompromittierungsindikatoren wie bei CVE-2026-20316, bestätigte zu diesem Zeitpunkt aber noch keine Ausnutzung der erstgenannten Lücke.
Ein von Cisco geteilter Beispiel-Logeintrag aus betroffenen Systemen stammt vom 23. Juli – mehrere Wochen bevor das Unternehmen nach eigenen Angaben von der Ausnutzung von CVE-2026-20079 erfuhr. Ob die Aktivität vom 23. Juli beide Schwachstellen betraf, ließ Cisco offen. Identische Indikatoren, gleichzeitig veröffentlichte Hotfixes für beide Lücken und der gemeinsame Logeintrag legen laut BleepingComputer jedoch nahe, dass beide Schwachstellen in denselben Angriffen zum Einsatz gekommen sein könnten.
Reaktion der US-Behörde CISA
Die US-Cybersicherheitsbehörde CISA hat CVE-2026-20079 in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen und US-Bundesbehörden angewiesen, betroffene Systeme bis zum 12. September 2026 abzusichern. Cisco erklärte, es gebe keine Workarounds, und empfiehlt Kunden, umgehend auf die aktuelle Softwareversion zu aktualisieren. Wer Hinweise auf eine Kompromittierung findet, solle sich an den technischen Support von Cisco wenden. Cisco weist zudem darauf hin, dass die verfügbaren Hotfixes künftige Angriffe verhindern, bereits kompromittierte Geräte damit aber nicht bereinigt werden.
(red)
