Cisco FMC-Schwachstellen ohne Authentifizierung von Qilin-Ransomware und mit Sandworm verbundenen Angreifern ausgenutzt

Schwachstellen im Cisco Secure Firewall Management Center werden aktiv von drei Bedrohungsclustern ausgenutzt, die Ransomware einschleusen, Zugangsdaten stehlen, Spionage betreiben und dauerhaften Zugriff auf Netzwerke erlangen.

Die Angriffe zielen auf CVE-2026-20079, eine kritische Authentifizierungsumgehung, die die Ausführung von Befehlen mit Root-Rechten ermöglicht, sowie auf CVE-2026-20316, durch die statische Zugangsdaten für ein Konto mit niedrigen Berechtigungen offengelegt werden. Cisco hat Hotfixes veröffentlicht und fordert Kunden dringend auf, diese sofort zu installieren.

Cisco Talos führt die Gruppen als UAT-12197, UAT-11823 und UAT-11988. Ihre Aktivitäten zeigen, wie die Kompromittierung eines zentralen Firewall-Managementsystems Zugangsdaten, Gerätekonfigurationen, interne Dienste und Endpunkte hinter dem Sicherheitsperimeter offenlegen kann.

Zwei Schwachstellen im FMC eröffnen unterschiedliche Zugangswege zum Gerät

CVE-2026-20079 betrifft die Weboberfläche des Cisco Secure Firewall Management Center 7.0.0. Die Schwachstelle erreicht mit 10,0 den maximalen CVSS-v3-Wert. Der Vektor lautet CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H.

Die Schwachstelle ist als CWE-288 klassifiziert – eine Authentifizierungsumgehung über einen alternativen Pfad oder Kanal. Ein während des Bootvorgangs fehlerhaft erstellter Systemprozess ermöglicht es einem nicht authentifizierten Angreifer aus der Ferne, manipulierte HTTP-Anfragen zu senden, Skriptdateien auszuführen und möglicherweise Root-Zugriff auf das zugrunde liegende Betriebssystem zu erlangen.

Weder eine Benutzerinteraktion noch ein bestehendes Konto sind erforderlich. Dadurch wird eine aus dem Internet erreichbare Managementoberfläche zu einem besonders gefährlichen Ziel.

CVE-2026-20316 betrifft Cisco Secure Firewall Management Center bis einschließlich Version 7.0.9. Die Schwachstelle hat einen CVSS-v3-Wert von 5,3 und den Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N.

Diese zweite Schwachstelle ist als CWE-259 klassifiziert und auf statische, für ein Konto mit niedrigen Berechtigungen hinterlegte Zugangsdaten zurückzuführen. Ein nicht authentifizierter Angreifer kann diese Zugangsdaten verwenden, um auf die für dieses Konto verfügbaren Informationen zuzugreifen.

Der niedrigere Wert bildet das vollständige operative Risiko nicht ab. Cisco stuft das Problem als „High“ ein, da Angreifer den anfänglichen Zugriff mit weiteren FMC-Schwachstellen kombinieren können, um ihre Berechtigungen auszuweiten und tiefer in die verwaltete Umgebung vorzudringen.

Cisco hat für beide Schwachstellen Hotfixes bereitgestellt. Die genauen Build-Nummern der behobenen Versionen wurden in den verfügbaren Informationen nicht veröffentlicht. Eine umfassendere FMC-Härtungsversion, die weitere Schwachstellen behebt, soll nächste Woche erscheinen.

Qilin-Betreiber machten statische Zugangsdaten zum Einstiegspunkt für Ransomware

Talos ordnet UAT-11988 mit hoher Wahrscheinlichkeit Affiliates der Qilin-Ransomware-Operation zu. Die Angreifer verschafften sich zunächst mit den statischen Zugangsdaten, die mit CVE-2026-20316 in Verbindung stehen, Zugriff auf ein FMC-Gerät.

Nach der Anmeldung nutzten sie legitime FMC-Funktionen, um die Umgebung des Opfers zu kartieren. Zu den gesammelten Informationen gehörten Hostnamen, IP-Adressen, Verzeichnisauflistungen, Computerinventare, Domäneninformationen sowie Zuordnungen zwischen internen Servern und ihren Adressen.

Die Betreiber erlangten außerdem Zugangsdaten für Active-Directory-Dienstkonten, MySQL-Zugangsdaten und weitere Daten zu Domänenkonten. Sie legten die gestohlenen Informationen in Dateien ab, die über den kompromittierten FMC-Server erreichbar waren, und luden diese Dateien anschließend mit HTTP-GET-Anfragen herunter.

Um Systeme außerhalb des Geräts zu erreichen, richteten die Angreifer einen Python-SOCKS5-Proxy und einen Reverse-SSH-Tunnel ein. Die Portweiterleitung verschaffte ihnen Zugänge zu LDAP-, LDAPS-, Kerberos-, SMB-, NetBIOS- und WinRM-Diensten im Netzwerk.

Zu ihrem Werkzeugkasten gehörten Impacket, Invoke-TheHash und speziell entwickelte Hilfsprogramme, die Endpoint-Detection-and-Response-Software beenden oder deaktivieren sollten. Die Operation endete mit der Verteilung der Qilin-Ransomware auf Endpunkte und der Verschlüsselung von Dateien.

Die Angriffskette zeigt, dass ein FMC-Zugriff mit niedrigen Berechtigungen zum Sprungbrett in die Identitätsinfrastruktur und in Windows-Administrationsdienste werden kann, wenn er nicht eingedämmt wird.

Mit Sandworm verbundener Cluster setzte eine Cyclops-Blink-Variante ein

Talos bringt UAT-11823 mit einem Advanced-Persistent-Threat-Akteur in Verbindung, dessen Werkzeuge Überschneidungen mit Sandworm aufweisen, der mit der GRU verbundenen, vom russischen Staat unterstützten Gruppe. Der Cluster nutzte bei den beobachteten Eindringversuchen beide FMC-Schwachstellen.

Die Betreiber erlangten entweder über die Authentifizierungsumgehung CVE-2026-20079 oder über die durch CVE-2026-20316 offengelegten statischen Zugangsdaten Zugriff. Anschließend veränderten sie eine Datei namens license.tmp, um eine mit der Command-and-Control-Infrastruktur verbundene Netcat-Reverse-Shell einzurichten.

Das legitime Cisco-Hilfsprogramm package_info.pl wurde verwendet, um die manipulierte Lizenzdatei mit Root-Rechten auszuführen. Bei dieser Technik wurden von den Angreifern kontrollierte Inhalte mit einer vertrauenswürdigen Administrationskomponente kombiniert, die bereits auf dem Gerät vorhanden war.

Die Gruppe führte außerdem Skripte aus, die Konfigurationsdaten von durch das FMC verwalteten Geräten sammelten. Diese Daten wurden zur Vorbereitung der Exfiltration in Archiven komprimiert.

Die abschließende Payload war eine Cyclops-Blink-Variante. Die modulare Linux-Malware ermöglichte dauerhaften Zugriff, erfasste Zugangsdaten und schnitt Netzwerkverkehr mit.

Diese Aktivität klärt auch eine frühere Ungewissheit im Zusammenhang mit den beiden Schwachstellen. Cisco veröffentlichte am 29. Juli 2026 Informationen zur Ausnutzung von CVE-2026-20316 und nannte /var/tmp/license.tmp als Indikator. Später führte das Unternehmen denselben Indikator in Informationen zu CVE-2026-20079 auf, ohne einen Zusammenhang zu bestätigen.

Talos hat den Mechanismus nun mit UAT-11823 in Verbindung gebracht und bestätigt, dass der Cluster beide Schwachstellen ausgenutzt hat.

Ein dritter Cluster installierte ein Java-Backdoor für die Befehlsausführung

UAT-12197 schlug nach der Ausnutzung von CVE-2026-20079 einen anderen Weg nach der Kompromittierung ein. Die Angreifer platzierten eine JSP-Web-Shell im Tomcat-Webroot-Verzeichnis des Cisco Security Manager.

Diese Web-Shell installierte ein manipuliertes Java-Archiv namens cmd.jar, das die Ausführung von Befehlen auf dem kompromittierten Server ermöglichte. Anschließend fragten die Betreiber interne Datenbanken ab und sammelten Benutzerauthentifizierungsdaten und Zugangsdaten.

Ob für UAT-12197 bislang Ransomware oder eine Verbindung zu einem staatlichen Akteur offengelegt wurde, ist nicht bekannt. Die Aktivitäten führten jedoch zur gleichen zentralen Konsequenz: Das Firewall-Managementgerät wurde zu einer Plattform für den Zugriff auf Daten außerhalb seiner vorgesehenen administrativen Funktion.

CISA-Fristen spiegeln bestätigte Ausnutzung wider

CISA nahm CVE-2026-20316 am 29. Juli 2026 in den Katalog der bekannten, aktiv ausgenutzten Schwachstellen (Known Exploited Vulnerabilities, KEV) auf. Die Frist für die Behebung durch US-Bundesbehörden war der 1. August 2026.

CVE-2026-20079 wurde am 9. September 2026 in den KEV-Katalog aufgenommen; die Frist für Bundesbehörden endete am 12. September 2026. Die Aufnahme bestätigt, dass es sich nicht lediglich um ein theoretisches Problem handelt.

Für beide Schwachstellen verlangt CISA Maßnahmen gemäß den Anweisungen von Cisco, BOD 26-04 und den Forensics Triage Requirements der Behörde. Die geltenden Vorgaben für Cloud-Dienste müssen ebenfalls befolgt werden. Wenn keine Gegenmaßnahmen verfügbar sind, weist CISA betroffene Organisationen an, das Produkt nicht weiter zu verwenden.

Die Einträge ergänzen mehrere weitere Cisco-Schwachstellen, die in den vergangenen 90 Tagen in den KEV-Katalog aufgenommen wurden: CVE-2026-20349 am 11. August 2026, CVE-2008-4128 am 13. Juli 2026, CVE-2026-20230 am 25. Juni 2026 und CVE-2026-20262 am 15. Juni 2026.

Auf das Patchen muss eine Untersuchung auf Kompromittierung folgen

Administratoren sollten die Cisco-Hotfixes für beide Schwachstellen sofort installieren und sich auf die Bewertung der umfassenderen Härtungsversion vorbereiten, die nächste Woche erwartet wird. Systeme sollten gezielt auf eine Exponierung von FMC 7.0.0 gegenüber CVE-2026-20079 sowie auf Versionen bis einschließlich 7.0.9 gegenüber CVE-2026-20316 geprüft werden.

Durch das Patchen allein lassen sich Artefakte oder Zugangsdaten, die bei einem früheren Eindringversuch zurückgeblieben sind, nicht entfernen. Sicherheitsteams sollten nach Folgendem suchen:

• /var/tmp/license.tmp oder anderen veränderten license.tmp-Dateien
• Ungewöhnlicher Ausführung von package_info.pl
• Netcat-Reverse-Shells, Python-SOCKS5-Proxys und Reverse-SSH-Tunneln
• JSP-Web-Shells in Tomcat-Webroot-Verzeichnissen
• Dem manipulierten Archiv cmd.jar
• Öffentlich zugänglichen Dateien mit abgelegten Aufklärungsdaten
• HTTP-GET-Anfragen zum Abrufen dieser Dateien
• Impacket, Invoke-TheHash oder Werkzeugen, die EDR-Produkte deaktivieren
• Unerwarteter Weiterleitung von LDAP-, LDAPS-, Kerberos-, SMB-, NetBIOS- oder WinRM-Datenverkehr
• Cyclops-Blink-Komponenten oder Aktivitäten der Qilin-Ransomware

Organisationen sollten außerdem administrative Aktionen im FMC, Exporte von Konfigurationen verwalteter Geräte, Datenbankabfragen und Zugriffe auf interne Identitätsdienste überprüfen.

Potentiell offengelegte Zugangsdaten für Active Directory, Domänen, Dienstkonten, MySQL und FMC sollten geändert werden. Ermittler sollten davon ausgehen, dass Zugangsdaten, die auf einem kompromittierten Managementgerät gespeichert oder von dort aus erreichbar sind, erfasst worden sein können – selbst wenn keine Ransomware beobachtet wurde.

Wenn sich eine verwundbare FMC-Instanz nicht absichern lässt, besteht die Anweisung von CISA darin, sie nicht weiter zu verwenden, statt eine ausnutzbare Managementebene in Betrieb zu lassen.