Cisco hat davor gewarnt, dass Angreifer eine schwerwiegende Schwachstelle in der Secure Firewall Management Center-Software ausnutzen. Die Cisco-FMC-Schwachstelle mit statischen Zugangsdaten kann entfernten Angreifern unbefugten Zugriff auf anfällige Geräte ermöglichen.
Die als CVE-2026-20316 verfolgte Schwachstelle betrifft integrierte Zugangsdaten für ein Konto mit geringen Berechtigungen. Cisco hat Hotfixes für die betroffenen Versionen veröffentlicht und fordert Kunden auf, diese unverzüglich zu installieren.
Integriertes Konto birgt Zugriffsrisiko
Die Schwachstelle entsteht durch statische Zugangsdaten, die in Cisco Secure FMC Software integriert sind. Ein nicht authentifizierter entfernter Angreifer kann diese Zugangsdaten verwenden, um sich bei einem betroffenen Gerät anzumelden.
Nach erfolgreichem Zugriff kann der Angreifer sensible Daten einsehen, die für das integrierte Konto verfügbar sind. Die Schwachstelle hat einen CVSS-Wert von 5,3, wurde von Cisco jedoch als schwerwiegend eingestuft.
Die höhere Einstufung spiegelt das Risiko wider, dass die Schwachstelle mit anderen Sicherheitslücken kombiniert werden kann, um erweiterte Berechtigungen zu erlangen. Cisco hat weder die zusätzlichen Schwachstellen identifiziert noch erklärt, wie Angreifer diese bei laufenden Angriffen einsetzen.
Cisco bestätigt aktive Ausnutzung
Das Unternehmen wurde im Juli 2026 auf die aktive Ausnutzung aufmerksam. Cisco hat nicht bekannt gegeben, wann die Angriffe begannen, wer dafür verantwortlich sein könnte oder welche Organisationen möglicherweise ins Visier genommen wurden.
Die Schwachstelle wurde von Jimi Sebree von Horizon3.ai gemeldet.
CVE-2026-20316 betrifft Cisco Secure FMC Software unabhängig von der Gerätekonfiguration. Cloud-Delivered FMC, Firewall Device Manager, Secure Firewall ASA Software, Secure Firewall Threat Defense Software und Security Cloud Control sind dagegen nicht betroffen.
Hotfixes stehen für die Secure-FMC-Versionen 7.0, 7.2, 7.4, 7.6, 7.7 und 10.0 zur Verfügung. Es gibt keinen Workaround, der das Problem vollständig behebt. Damit ist die Installation der Sicherheitsupdates die einzige zuverlässige Lösung.
Systeme auf Anzeichen einer Kompromittierung prüfen
Wenn die FMC-Verwaltungsoberfläche nicht über das öffentliche Internet erreichbar ist, lässt sich die Angriffsfläche reduzieren. Dennoch sollten Administratoren betroffene Geräte auf Hinweise auf eine frühere Ausnutzung überprüfen.
Cisco empfiehlt, die Datei /var/log/messages auf verdächtige Aktivitäten im Zusammenhang mit /var/tmp/license.tmp zu prüfen. Ein Logeintrag, der zeigt, dass der unter dem www-Konto laufende FMC-Webprozess das Skript package_info.pl als Root mit dieser temporären Datei aufruft, kann auf eine Kompromittierung hindeuten.
Wird dieser Indikator gefunden, sollten Administratoren sämtliche Benutzerzugangsdaten, Schlüssel und Zertifikate auf dem betroffenen FMC-Gerät austauschen. Organisationen, die einen Sicherheitsvorfall vermuten, sollten sich außerdem an Cisco TAC wenden, um Unterstützung bei der Wiederherstellung zu erhalten.
Kritische Schwachstelle zur Umgehung der Authentifizierung ebenfalls behoben
Cisco hat außerdem seinen Sicherheitshinweis zu CVE-2026-20079 aktualisiert, einer separaten kritischen Schwachstelle in Secure FMC. Sie erreicht den maximalen CVSS-Wert von 10,0.
Ein nicht authentifizierter entfernter Angreifer könnte die Authentifizierung umgehen und Skripte oder Befehle als Root ausführen, indem er speziell präparierte HTTP-Anfragen sendet. Die Schwachstelle entsteht durch einen fehlerhaften Systemprozess, der beim Start des Geräts erstellt wird.
Anders als CVE-2026-20316 ist diese Schwachstelle weder von statischen Zugangsdaten noch von einem vorherigen Zugriff auf das Gerät abhängig. Cisco veröffentlichte sie erstmals im März 2026 und aktualisierte den Sicherheitshinweis am 29. Juli mit einer zweiten Bug-ID, Hotfixes und Indikatoren für eine Kompromittierung.
Das Unternehmen erklärte, dass es keine Hinweise darauf gibt, dass Angreifer CVE-2026-20079 bereits in realen Angriffen ausgenutzt haben.
Gemeinsamer Indikator wirft Fragen auf
Beide Sicherheitshinweise nennen /var/tmp/license.tmp als möglichen Indikator für eine Kompromittierung. Cisco hat jedoch nicht erklärt, ob die beiden Schwachstellen miteinander in Verbindung stehen.
Der gemeinsame Indikator ist bemerkenswert, da die Schwachstelle zur Umgehung der Authentifizierung potenziell Root-Zugriff ermöglichen könnte, ohne die mit CVE-2026-20316 verbundenen statischen Zugangsdaten zu verwenden.
Organisationen sollten die verfügbaren Hotfixes installieren, den Zugriff auf FMC-Verwaltungsoberflächen einschränken und verdächtige Logeinträge unverzüglich untersuchen.
0 Kommentare zu „Cisco FMC-Schwachstelle mit statischen Zugangsdaten bei Zero-Day-Angriffen ausgenutzt“