Cisco FMC unter Beschuss: Dringende Hotfixes für zwei Schwachstellen, eine aktiv ausgenutzte Zero-Day-Lücke

Einleitung

Am 29. Juli 2026 hat Cisco Hotfixes für zwei schwerwiegende Schwachstellen in der Secure Firewall Management Center (FMC)-Software veröffentlicht. Eine davon, CVE-2026-20316, wurde in Zero-Day-Angriffen aktiv ausgenutzt, um unbefugten Zugriff auf Geräte zu erlangen. Die zweite (CVE-2026-20079) weist den maximalen CVSS-Wert von 10.0 auf und ermöglicht die Remote-Codeausführung als root, es gibt jedoch bislang keine Hinweise auf eine böswillige Ausnutzung. Beide Sicherheitshinweise teilen einen einzigen Kompromittierungsindikator, während Cisco einen möglichen direkten Zusammenhang zwischen den Lücken nicht bestätigt hat. Es gibt keine alternativen Maßnahmen zur Risikominderung: Die umgehende Einspielung der Hotfixes ist die einzige wirksame Gegenmaßnahme.

Technische Analyse

Die Schwachstellen betreffen die On-Premises-Versionen von Cisco Secure FMC Software (7.0, 7.2, 7.4, 7.6, 7.7 und 10.0). Cloud-basierte Produkte, Firewall Device Manager, Secure Firewall ASA, Threat Defense und Security Cloud Control sind nicht betroffen.

CVE-2026-20316 (CVSS 5.3, von Cisco als High eingestuft) entsteht durch statische Anmeldeinformationen für ein Konto mit niedrigen Berechtigungen, die in der FMC-Software eingebettet sind. Ein nicht authentifizierter entfernter Angreifer kann diese nutzen, um auf sensible Daten zuzugreifen und in Kombination mit anderen Schwachstellen seine Berechtigungen zu erhöhen. Die Sicherheitslücke wurde von Jimi Sebree (Horizon3.ai) entdeckt und seit Juli 2026 in realen Angriffen ausgenutzt.

CVE-2026-20079 (CVSS 10.0, Kritisch) betrifft einen Systemprozess, der beim Start der Software unsachgemäß gestartet wird. Durch das Senden manipulierter HTTP-Anfragen kann ein nicht authentifizierter entfernter Angreifer Befehle und Skripte mit root-Rechten ausführen und so die Vertraulichkeit, Integrität und Verfügbarkeit des Systems vollständig gefährden. Der Sicherheitshinweis wurde ursprünglich im März 2026 veröffentlicht und am 29. Juli mit den Hotfixes und dem gemeinsamen Kompromittierungsindikator aktualisiert.

Kompromittierungsindikator (IoC)
Beide Sicherheitshinweise weisen auf das Vorhandensein der Zeichenkette /var/tmp/license.tmp in der Datei /var/log/messages hin. Um eine mögliche Kompromittierung zu überprüfen, führen Sie im Expertenmodus einfach folgenden Befehl aus:

cat /var/log/messages | grep license

Ein verdächtiger Log-Eintrag sieht beispielsweise so aus:

Jul 23 16:16:33 firepower sudo: www : PWD=/ ; USER=root ; COMMAND=/usr/local/sf/bin/package_info.pl /var/tmp/license.tmp --lsm

Wenn diese Zeichenkette erkannt wird, könnte das Gerät bereits kompromittiert sein.

Auswirkungen

Die Schwachstelle CVE-2026-20316 wurde trotz ihres relativ niedrigen CVSS-Werts (5.3) als High eingestuft, da sie als initialer Angriffsvektor für umfassendere Attacken dienen kann. Die Verwendung statischer Anmeldeinformationen macht sie leicht auffindbar und ausnutzbar, und die Tatsache, dass sie bereits in realen Kampagnen eingesetzt wurde, erhöht ihre Gefährlichkeit. Cisco hat keine Details zu den Akteuren oder Zielen der Angriffe bereitgestellt.

CVE-2026-20079 stellt ein maximales Risiko dar: Der Wert von 10.0 bedeutet eine vollständige Beeinträchtigung aller drei Sicherheitsgrundsätze (Vertraulichkeit, Integrität, Verfügbarkeit). Obwohl bisher keine böswilligen Aktivitäten beobachtet wurden, deutet das gemeinsame IoC mit der Zero-Day-Lücke darauf hin, dass ein Angreifer mit initialem Zugriff versuchen könnte, sie zur Festigung der Kontrolle zu nutzen.

Risikominderung

Cisco hat Hotfixes für alle betroffenen Versionen (7.0, 7.2, 7.4, 7.6, 7.7, 10.0) bereitgestellt. Es gibt keine Workarounds: Das Update ist der einzige Weg, um beide Schwachstellen zu beheben.

Zusätzlich zur umgehenden Installation der Hotfixes wird Folgendes empfohlen:

• Setzen Sie die FMC-Verwaltungsschnittstelle nicht öffentlichen oder nicht vertrauenswürdigen Netzwerken aus.
• Überprüfen Sie die Logs auf allen FMC-Geräten mit dem oben genannten Befehl.
• Falls ein IoC positiv ist, sollten Sie sofort alle zugehörigen Anmeldeinformationen, Schlüssel und Zertifikate rotieren und das Cisco TAC kontaktieren, um Maßnahmen zur Incident Response einzuleiten.
• Überwachen Sie Ihre Systeme auch nach dem Update, da Angreifer möglicherweise bereits Hintertüren oder Persistenzmechanismen eingerichtet haben.

FAQ

1. Welche Versionen von Cisco FMC sind betroffen?
Betroffen sind die On-Premises-Versionen 7.0, 7.2, 7.4, 7.6, 7.7 und 10.0. Die Cloud-basierten Varianten, Firewall Device Manager, Secure Firewall ASA, Threat Defense und Security Cloud Control sind nicht anfällig.

2. Wie kann ich überprüfen, ob mein System kompromittiert wurde?
Melden Sie sich im Expertenmodus an und führen Sie den Befehl cat /var/log/messages | grep license aus. Das Vorhandensein der Zeichenkette /var/tmp/license.tmp deutet auf eine mögliche Kompromittierung hin, die die sofortige Einleitung von Incident-Response-Maßnahmen erfordert.

3. Ist es notwendig, die Hotfixes für beide Schwachstellen zu installieren?
Ja. Obwohl bisher nur CVE-2026-20316 in realen Angriffen ausgenutzt wurde, hat CVE-2026-20079 einen CVSS-Wert von 10.0 und stellt ein Risiko dar, das einer vollständigen Kompromittierung gleichkommt. Da keine Workarounds verfügbar sind, behebt das Update beide Sicherheitslücken mit einem einzigen Eingriff.