Cisco patcht aktiv ausgenutzte FMC-Zero-Day — US-Bundesbehörden müssen bis 1. August handeln

Die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) hat am 29. Juli eine Zero-Day-Schwachstelle im Cisco Secure Firewall Management Center (FMC) in ihren Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen und für alle zivilen US-Bundesbehörden eine Frist zur Behebung bis zum 1. August gesetzt. Die als CVE-2026-20316 registrierte Schwachstelle wird seit Anfang dieses Monats aktiv in freier Wildbahn ausgenutzt.

Die Ursache ist ein klassischer, aber folgenschwerer Fehler: Cisco Secure FMC wird mit hartkodierten statischen Anmeldedaten für ein Konto mit geringen Rechten ausgeliefert. Jeder nicht authentifizierte Remote-Angreifer, der diese Anmeldedaten kennt, kann sich direkt bei einer exponierten FMC-Instanz anmelden und auf sensible Konfigurationsdaten zugreifen – ohne eine zusätzliche Sicherheitsebene zu umgehen. Laut Cisco verringert sich die Angriffsfläche, wenn die Management-Schnittstelle des FMC nicht aus dem öffentlichen Internet erreichbar ist – doch Unternehmen, die die Management-Ebene exponiert haben, sind unmittelbar gefährdet.

Warum Cisco die Schwachstelle trotz CVSS-Score von 5.3 als „High“ einstuft

Ein CVSS-Score von 5.3 liegt normalerweise im mittleren Schweregrad. Cisco hat diese Bewertung jedoch mit einem Security Impact Rating (SIR) von High überschrieben, weil die Gefahr von Angriffsketten besteht. Angreifer, die über die Schwachstelle mit statischen Anmeldedaten Fuß fassen, können sie mit anderen Cisco-Secure-FMC-Schwachstellen kombinieren, um vollständige administrative Kontrolle zu erlangen. Cisco Secure FMC ist die zentrale Management-Konsole für die Firepower-Familie von Firewalls – Produkte, die in großen Unternehmen und Regierungsnetzen weit verbreitet sind. Ein Angreifer mit Admin-Zugriff auf den FMC kann Firewall-Konfigurationsrichtlinien vollständig lesen, ändern oder exfiltrieren.

Der Sicherheitsforscher Jimi Sebree von Horizon3.ai entdeckte und meldete die Schwachstelle. Cisco bestätigte, dass die aktive Ausnutzung im Juli 2026 begann, hat aber weder offengelegt, wer hinter den Angriffen steckt, noch wie die statischen Anmeldedaten den Bedrohungsakteuren bekannt wurden oder wie viele Organisationen betroffen sind.

Betroffene Versionen und Fixes

Die Schwachstelle betrifft Cisco Secure FMC in den Versionen 7.0, 7.2, 7.4, 7.6, 7.7 und 10.0. Cisco hat Hotfixes für alle betroffenen Versionen veröffentlicht. Es gibt keinen Workaround – die einzige Abhilfe ist das Einspielen des Patches. Cisco empfiehlt außerdem, die FMC-Management-Schnittstelle als sekundäre Kontrolle vom öffentlichen Internet fernzuhalten.

So prüfen Sie auf eine Kompromittierung

Cisco hat einen konkreten Indikator für eine Kompromittierung veröffentlicht: Führen Sie im Expertenmodus der FMC-Befehlszeile den Befehl cat /var/log/messages | grep license aus. Wenn die Ausgabe einen Verweis auf /var/tmp/license.tmp enthält, wurde das Gerät möglicherweise kompromittiert. Organisationen, die diesen IoC finden, sollten sofort alle Benutzeranmeldedaten, Schlüssel und Zertifikate auf der betroffenen FMC-Instanz rotieren und sich an den Cisco TAC wenden.

Das 72-Stunden-Fenster für US-Bundesbehörden – von der Aufnahme in den KEV durch die CISA am 29. Juli bis zur Frist am 1. August – ist ungewöhnlich knapp bemessen und spiegelt die Einschätzung der CISA wider, dass die Ausnutzung aktiv und weiterhin im Gange ist. Unternehmens-Sicherheitsteams, die Cisco-Firepower-Umgebungen betreiben, sollten CVE-2026-20316 als Notfall-Patch behandeln, nicht als geplante Wartung. Wie The Hacker News berichtet, wurde die Schwachstelle erstmals im offiziellen Sicherheitshinweis von Cisco zusammen mit den Hotfix-Veröffentlichungen bekannt gegeben.