Cisco Secure FMC CVE-2026-20316 wird angegriffen

Cisco Secure FMC CVE-2026-20316 wird derzeit aktiv ausgenutzt: Ein fest hinterlegtes Konto mit geringen Rechten, das in jedem On-Premises Secure Firewall Management Center eingebaut ist, verschafft einem nicht authentifizierten Angreifer einen Zugangspunkt — und im selben Advisory-Update hat Cisco still und leise eine fünf Monate alte Schwachstelle mit maximalem Schweregrad im selben Produkt reaktiviert, mit identischem Kompromittierungsindikator. Die CISA hat die Lücke am 29. Juli 2026 in ihren Known-Exploited-Vulnerabilities-Katalog aufgenommen, mit einer Bundesfrist zum 1. August — eine Frist, die für die meisten Leser bereits verstrichen sein wird.

Was ist passiert

Cisco Secure FMC CVE-2026-20316 entsteht durch fest hinterlegte Zugangsdaten für ein Konto mit geringen Rechten, das unabhängig von der Konfiguration in jedem On-Premises Cisco Secure FMC eingebaut ist. Ein nicht authentifizierter, entfernter Angreifer kann sich mit diesen fest hinterlegten Zugangsdaten direkt anmelden und auf sensible Daten zugreifen, die diesem Konto zur Verfügung stehen. Cisco bewertet die Lücke mit CVSS 5.3, stuft sie aber als „High Security Impact“ statt „Medium“ ein — ausdrücklich, weil der Zugriff mit anderen FMC-Schwachstellen kombiniert werden kann, um Rechte zu eskalieren. Welche weiteren Lücken das genau sind, hat Cisco nicht offengelegt.

Im selben Update vom 29. Juli hat Cisco ein separates, kritisches Advisory zu CVE-2026-20079 (CVSS 10.0, ursprünglich im März 2026 veröffentlicht) überarbeitet: Ein nicht authentifizierter Angreifer kann die Authentifizierung vollständig umgehen und über präparierte HTTP-Anfragen Skripte und Befehle als Root ausführen — ohne Zugangsdaten, ohne Nutzerinteraktion, verursacht durch einen fehlerhaften Systemprozess, der beim Booten zurückbleibt. Das aktualisierte Advisory ergänzt eine zweite Bug-ID, neue Hotfixes und denselben Kompromittierungsindikator wie bei CVE-2026-20316 — ein Detail, das Cisco nicht erklärt hat, aber stark darauf hindeutet, dass beide Lücken in freier Wildbahn verkettet werden könnten. Betroffen ist ausschließlich On-Premises Secure FMC; Cloud-Delivered FMC, Firewall Device Manager, Secure Firewall ASA, Secure Firewall Threat Defense und Security Cloud Control sind nicht betroffen.

Warum das wichtig ist

Cisco Secure Firewall Management Center ist die zentrale Konsole, über die eine Organisation ihre gesamte Firewall-Flotte verwaltet. Eine Root-Kompromittierung dieser Konsole gefährdet nicht ein einzelnes Gerät, sondern Policy, Logging und Konfiguration jeder verwalteten Firewall gleichzeitig. Das ist dasselbe „eine Konsole, ganze Flotte“-Ausfallmuster, das DIESEC vier Tage zuvor bei Check Point SmartConsole (CVE-2026-16232) aufgezeigt hat, und es ist die dreizehnte eigenständige Edge-Device- oder Netzwerkinfrastruktur-Produktlinie, die DIESEC 2026 als aktiv ausgenutzt verfolgt — ein Muster, das sich inzwischen von Firewalls und SD-WAN-Controllern auf die darüberliegenden Management-Ebenen ausgeweitet hat.

Was Sie jetzt tun sollten

1. Hotfix für den eigenen Release-Zweig installieren: 7.0.9.1, 7.2.11.1, 7.4.7.1, 7.6.5.1, 7.7.12.1 oder 10.0.1.1. Für beide CVEs existiert kein Workaround.
2. Exposition prüfen: Ist die FMC-Management-Oberfläche aus dem öffentlichen Internet erreichbar? Cisco weist darauf hin, dass sich die Angriffsfläche deutlich verkleinert, wenn das nicht der Fall ist.
3. Jetzt auf Kompromittierung prüfen: Im FMC-Expert-Mode cat /var/log/messages | grep license ausführen. Ein Eintrag mit /var/tmp/license.tmp über package_info.pl als Root ist Ciscos veröffentlichter Kompromittierungsindikator.
4. Falls der Indikator vorliegt: sofort alle Zugangsdaten, Schlüssel und Zertifikate auf dem betroffenen FMC-Gerät rotieren und einen Fall beim Cisco TAC für die Wiederherstellung eröffnen.

DIESEC Einschätzung

Eine Schwachstelle mit CVSS 5.3, die Cisco selbst als „High“ einstuft, weil sie in eine CVSS-10.0-Lücke mündet, ist genau die Art von Schwachstelle, die Patch-Management-Programme übersehen, wenn sie sich ausschließlich am Basis-Score orientieren. Das ist eine Geschichte der Management-Ebene, nicht der Appliance — dasselbe Muster, das Check Point SmartConsole knapp eine Woche zuvor zu einer eigenständigen Warnung gemacht hat.

Nicht sicher, ob Ihr Cisco Secure FMC aus dem Internet erreichbar ist oder auf einer gepatchten Version läuft? Kontaktieren Sie DIESEC für eine schnelle Expositions-Analyse und Patch-Verifizierung Ihrer Firewall-Management-Infrastruktur.

Quellen: BleepingComputer | Cisco Security Advisory
Veröffentlicht: 2026-08-03 | Kategorie: Tägliche News | ~4 Min. Lesezeit