Cisco Secure FMC: Authentifizierungsumgehung für Root-Zugriff ausgenutzt

Cisco hat die aktive Ausnutzung von CVE-2026-20079 bestätigt, einer kritischen Schwachstelle zur Umgehung der Authentifizierung in Cisco Secure Firewall Management Center Software. Angreifer können die Schwachstelle aus der Ferne ohne Zugangsdaten oder Interaktion eines Benutzers ausnutzen und anschließend Befehle mit Root-Rechten auf dem zugrunde liegenden Betriebssystem ausführen.

Die Schwachstelle erreicht mit CVSS 3.1 den maximalen Score von 10,0. Cisco veröffentlichte am 4. März 2026 zunächst eine Sicherheitsmeldung und aktualisierte sie am 9. September 2026, um die beobachtete Ausnutzung zu dokumentieren. Nach Angaben des Unternehmens wurde das Product Security Incident Response Team im August 2026 auf die Angriffe aufmerksam.

Es gibt keine Workarounds. Administratoren, die betroffene On-Premises-FMC-Installationen betreiben, sollten den passenden Hotfix installieren oder auf eine korrigierte Softwareversion aktualisieren. Anschließend sollten sie prüfen, ob die Systeme bereits erfolgreich angegriffen wurden.

Präparierte HTTP-Anfragen ermöglichen die Ausführung mit Root-Rechten

CVE-2026-20079 ist als CWE-288, eine Schwachstelle zur Umgehung der Authentifizierung, klassifiziert. Cisco führt sie auf einen fehlerhaft erstellten Systemprozess zurück, der beim Start des Geräts angelegt wird.

Ein nicht authentifizierter Angreifer mit Netzwerkzugriff auf die FMC-Weboberfläche kann speziell präparierte HTTP-Anfragen senden, die die Authentifizierung umgehen. Bei erfolgreicher Ausnutzung kann der Angreifer Skripte, Systembefehle oder andere ausführbare Dateien mit Root-Rechten ausführen.

Der Angriff weist eine geringe Komplexität auf, erfordert kein bestehendes Konto und keine Aktion eines Administrators. Der CVSS-Vektor lautet:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Die Bewertung mit geändertem Scope berücksichtigt den Übergang von der verwundbaren Webkomponente zur Kontrolle über das zugrunde liegende Betriebssystem. Ein erfolgreicher Angreifer könnte dadurch auf vertrauliche Informationen zugreifen, die Management-Appliance verändern, ihre Verfügbarkeit beeinträchtigen oder möglicherweise Persistenz einrichten.

Cisco entdeckte die Schwachstelle bei internen Sicherheitstests und nennt Brandon Sakai als Finder. Wenn die FMC-Managementoberfläche nicht aus dem öffentlichen Internet erreichbar ist, verringert dies zwar die Angriffsfläche. Die Schwachstelle bleibt jedoch unabhängig von der Konfiguration relevant. Interne Angreifer oder Gegner, die bereits Fuß im Netzwerk gefasst haben, könnten weiterhin auf eine ungepatchte Oberfläche zugreifen.

Cisco hat die Angriffe keinem Bedrohungsakteur zugeordnet. Das Unternehmen hat außerdem weder den Zeitpunkt der ersten Ausnutzung noch die betroffenen Organisationen oder die nach dem Erlangen von Root-Rechten ausgeführten Aktionen offengelegt.

Secure FMC ist betroffen, mehrere Firewall-Komponenten jedoch nicht

Die Schwachstelle betrifft zwei Management-Angebote:

• Cisco Secure Firewall Management Center Software
• Cisco Security Cloud Control Firewall Management

Security Cloud Control Firewall Management ist ein von Cisco betriebener Cloud-Dienst. Nach Angaben des Unternehmens wurde die Korrektur im Rahmen des eigenen Wartungsprozesses eingespielt. Kunden müssen diesen Dienst daher nicht selbst patchen.

Bei On-Premises-Installationen von Secure FMC müssen Administratoren tätig werden.

Cisco hat für CVE-2026-20079 keinen herkömmlichen Bereich betroffener Versionen veröffentlicht. Stattdessen ordnet die Sicherheitsmeldung unterstützte Release-Zweige den jeweiligen Hotfixes und korrigierten Versionen zu. Administratoren sollten nicht davon ausgehen, dass Releases, die in der Hotfix-Tabelle nicht aufgeführt sind, sicher sind. Stattdessen sollten sie mit dem Cisco Software Checker die exakt installierte Version prüfen.

Cisco nennt folgende Produkte als nicht betroffen:

• Firewall Device Manager
• Cisco Secure Firewall Adaptive Security Appliance Software
• Cisco Secure Firewall Threat Defense Software
• Security Cloud Control, ehemals Defense Orchestrator

Diese Unterscheidung ist relevant, weil FMC die Firewall-Infrastruktur verwaltet, die Schwachstelle jedoch nicht in der ASA- oder FTD-Software selbst liegt.

Hotfixes verfügbar, kein Workaround

Cisco hat über das Cisco Software Center sechs zweigspezifische Secure-FMC-Hotfixes veröffentlicht:

Secure-FMC-Release	Hotfix-Datei
7.0	Cisco_Firepower_Mgmt_Center_Hotfix_GB-7.0.9.1-3.sh.REL.tar
7.2	Cisco_Secure_FW_Mgmt_Center_Hotfix_HL-7.2.11.1-4.sh.REL.tar
7.4	Cisco_Secure_FW_Mgmt_Center_Hotfix_HG-7.4.7.1-3.sh.REL.tar
7.6	Cisco_Secure_FW_Mgmt_Center_Hotfix_CY-7.6.5.1-2.sh.REL.tar
7.7	Cisco_Secure_FW_Mgmt_Center_Hotfix_AM-7.7.12.1-2.sh.REL.tar
10.0	Cisco_Secure_FW_Mgmt_Center_Hotfix_P-10.0.1.1-2.sh.REL.tar

Kunden sollten das Paket passend zum installierten Release auswählen und keine ähnlich benannte Datei aus einem anderen Release-Zweig verwenden. Cisco empfiehlt ein Upgrade auf das jeweils korrigierte Release und betrachtet Hotfixes als vorübergehende Schutzmaßnahme.

Das Unternehmen bietet keinen konfigurationsbasierten Workaround an. Die Einschränkung des Zugriffs auf die Managementoberfläche ist eine sinnvolle Maßnahme zur Verringerung der Angriffsfläche, behebt den verwundbaren Prozess jedoch nicht.

CISA hat CVE-2026-20079 Berichten zufolge in den Katalog der bekannten ausgenutzten Schwachstellen aufgenommen und US-Bundesbehörden der zivilen Exekutive angewiesen, betroffene Systeme bis zum 12. September 2026 abzusichern. Das genaue Datum der Aufnahme in den KEV-Katalog lässt sich den verfügbaren Kataloginformationen nicht entnehmen.

Administratoren sollten Protokolle prüfen, bevor sie Systeme als sauber einstufen

Die Installation eines Hotfixes kann eine weitere Ausnutzung verhindern, entfernt aber möglicherweise keinen Angreifer, der bereits über Root-Rechte verfügt. Cisco stellt daher eine Suche nach einem Indikator für die Ausführung im Zusammenhang mit einer temporären Lizenzdatei bereit.

Administratoren sollten im FMC-Expertenmodus /var/log/messages* mit folgendem Befehl prüfen:

zgrep "package_info.*license" /var/log/messages*

Cisco bezeichnet dieses Muster als mögliches Anzeichen für eine Ausnutzung:

Jul 23 16:16:33 firepower sudo: www : PWD=/ ; USER=root ; COMMAND=/usr/local/sf/bin/package_info.pl /var/tmp/license.tmp --lsm

Entscheidend sind das Aufrufen von package_info.pl durch das Webdienstkonto mit Root-Rechten sowie das Vorhandensein von:

/var/tmp/license.tmp

Ein passender Protokolleintrag ist ein Indikator, beschreibt die Aktivitäten des Angreifers jedoch nicht vollständig. Organisationen, die einen solchen Eintrag finden, sollten relevante Protokolle sichern und sich umgehend an das Cisco Technical Assistance Center wenden, um Unterstützung bei der Wiederherstellung zu erhalten.

Da die Ausnutzung Root-Rechte ermöglicht, sollten Incident-Response-Teams nicht davon ausgehen, dass die lokale Telemetrie der Appliance vollständig oder vertrauenswürdig ist. Der Angreifer könnte nach dem Zugriff Dateien, Konfigurationen, Konten oder Protokollierung verändert haben. Cisco hat keine weiteren Indikatoren, Persistenzmechanismen, Command-and-Control-Infrastrukturen oder Tools für die Nachausnutzung veröffentlicht.

Der Beispielprotokolleintrag ist auf den 23. Juli datiert. Das liegt vor Ciscos Aussage, dass das PSIRT im August 2026 auf die aktive Ausnutzung aufmerksam wurde. Daraus lässt sich jedoch nicht ableiten, dass CVE-2026-20079 am 23. Juli ausgenutzt wurde. Cisco hat nicht bestätigt, wann die beobachteten Angriffe begannen.

Eine zweite ausgenutzte FMC-Schwachstelle verwendet denselben Indikator

Die Untersuchung wird durch CVE-2026-20316 erschwert, eine separate Secure-FMC-Schwachstelle, die am 29. Juli offengelegt wurde. Sie betrifft statische Zugangsdaten für ein Konto mit geringen Rechten und Secure FMC 7.0.9 sowie frühere Versionen.

Ein nicht authentifizierter Angreifer kann diese Zugangsdaten verwenden, um sich Zugang zur Weboberfläche zu verschaffen und auf vertrauliche Informationen zuzugreifen. Die Schwachstelle hat einen CVSS-Score von 5,3:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Cisco bewertete CVE-2026-20316 als High und nicht als Critical, weil die Zugangsdaten zunächst nur eingeschränkte Rechte gewähren. Dieser Zugriff könnte jedoch mit einer weiteren FMC-Schwachstelle kombiniert werden, um die Kontrolle auszuweiten.

CVE-2026-20316 wurde am 29. Juli 2026 in den KEV-Katalog von CISA aufgenommen. Für Bundesbehörden galt eine Frist zur Behebung bis zum 1. August 2026. CISA verlangte die Umsetzung der vom Hersteller bereitgestellten Gegenmaßnahmen, die Einhaltung der risikobasierten Patch-Vorgaben aus BOD 26-04 sowie die Durchführung der forensischen Triage.

Cisco hatte die Ausnutzung von CVE-2026-20316 bereits bestätigt. Außerdem ordnete das Unternehmen beiden Schwachstellen denselben Protokollindikator und identische FMC-Hotfixes zu. Die gemeinsamen Artefakte deuten auf mögliche Überschneidungen bei den Angriffen hin. Cisco hat jedoch nicht geklärt, ob die Angreifer die beiden Schwachstellen verkettet oder sie bei denselben Angriffen eingesetzt haben.

Ciscos jüngste KEV-Fälle gehen über FMC hinaus

CVE-2026-20079 ist nicht die einzige jüngere Cisco-Schwachstelle im KEV-Katalog. In den vorangegangenen 90 Tagen wurden vier weitere Schwachstellen von Cisco aufgenommen: CVE-2026-20349 am 11. August, CVE-2008-4128 am 13. Juli, CVE-2026-20230 am 25. Juni und CVE-2026-20262 am 15. Juni.

Für FMC-Betreiber sind die unmittelbaren Prioritäten enger gefasst: den korrekten Hotfix installieren oder anwenden, unnötige Erreichbarkeit aus dem Internet beseitigen, historische Protokolle durchsuchen und vermutete Kompromittierungen an Cisco TAC eskalieren.

Eine saubere Patch-Installation ist kein Beleg dafür, dass die Appliance sauber ist. Wenn der Indikator vorhanden ist oder Protokollierungslücken keine verlässliche Bewertung zulassen, sollten Organisationen das FMC-System als möglicherweise mit Root-Rechten kompromittiertes Management-Asset behandeln.