Mobile-Menu

Aktive Ausnutzung Cisco-FMC-Sicherheitslücke ermöglicht Root-Zugriff ohne Anmeldung

Von Melanie Staudacher 3 min Lesedauer

Anbieter zum Thema

cidaas by Widas ID GmbH
SEPPmail - Deutschland GmbH

Eine aktiv ausgenutzte Schwachstelle in Cisco Secure Firewall Management Center ermöglicht Angreifern die Umgehung der Anmeldung und Root-Zugriff. Cisco hat Hot Fixes veröffentlicht, die eine bestehende Kom­promittierung jedoch nicht beseitigen.

Durch präparierte HTTP-Anfragen können Angreifer die Anmeldung umgehen und über einen fehlerhaften Systemprozess Skripte sowie Befehle ausführen, die ihnen Root-Zugriff auf das Cisco FMC-Betriebssystem ermöglichen.(Bild: Gemini / Vogel IT-Medien GmbH / KI-generiert)
Durch präparierte HTTP-Anfragen können Angreifer die Anmeldung umgehen und über einen fehlerhaften Systemprozess Skripte sowie Befehle ausführen, die ihnen Root-Zugriff auf das Cisco FMC-Betriebssystem ermöglichen.
(Bild: Gemini / Vogel IT-Medien GmbH / KI-generiert)

Cisco hat seine Warnung zu EUVD-2026-9438 / CVE-2026-20079 vom 4. September 2026 aktualisiert. Das Unternehmen wurde im August 2026 auf die aktive Ausnutzung der Schwachstelle aufmerksam und nahm die Information am 9. September entsprechend in den Sicherheitshinweis auf. Auch die US-Cybersicherheitsbehörde CISA nahm die Sicherheitslücke in ihren Katalog bekannter aktiv ausgenutzter Schwachstellen auf. Der CVSS-Score beträgt 10.0, der EPSS-Score* 35,95 Prozent.

Die Schwachstelle betrifft die Weboberfläche von Cisco Secure Firewall Management Center (FMC). Dieses dient der zentralen Verwaltung von Cisco-Firewall-Umgebungen. Auch Cisco Security Cloud Control (SCC) Firewall Management ist laut Hersteller betroffen, der SaaS-Dienst wurde jedoch nach bereits im Rahmen der Wartung aktualisiert.

Authentifizierungs-Bypass mit Root-Zugriff

EUVD-2026-9438 / CVE-2026-20079 ist eine Authentifizierungs-Bypass-Schwachstelle der Kategorie CWE-288. Ursache ist laut Cisco ein fehlerhafter Systemprozess, der beim Start des Geräts erzeugt wird. Ein entfernter Angreifer benötigt keine Zugangsdaten und kann speziell präparierte HTTP-Anfragen an die FMC-Weboberfläche senden.

Eine erfolgreiche Ausnutzung ermöglicht es, die Anmeldung zu umgehen, Skriptdateien auszuführen und Root-Zugriff auf das zugrunde liegende Betriebssystem zu erlangen. Die Angriffskomplexität ist niedrig, Berechtigungen sowie Nutzerinteraktion sind für eine Ausnutzung der Schwachstelle nicht erforderlich. Hintergrund der Schwachstelle ist ein fehlerhafter Systemprozess, der beim Systemstart erstellt wird.

Cisco weist darauf hin, dass eine nicht aus dem öffentlichen Internet erreichbare FMC-Verwaltungsschnittstelle die Angriffsfläche reduziert. Einen Workaround zur Behebung der Schwachstelle gibt es jedoch nicht.

Logs auf Kompromittierung prüfen

Cisco hat im September auch Indicators of Compromise ergänzt. Administratoren sollen im Expertenmodus die Systemprotokolle auf Einträge prüfen, die den Aufruf von „package_info.pl“ mit der Datei „/var/tmp/license.tmp“ dokumentieren. Ein solcher Logeintrag kann laut Cisco darauf hindeuten, dass die Schwachstelle ausgenutzt wurde.

Bei einem entsprechenden Fund sollten Unternehmen umgehend den Cisco Technical Assistance Center (TAC) kontaktieren. Die von Cisco bereitgestellten Hot Fixes schützen ausschließlich vor einer zukünftigen Ausnutzung. Eine bereits kompromittierte FMC-Instanz wird durch die Installation des Hot Fixes laut Hersteller nicht bereinigt.

Hot Fixes für mehrere FMC-Versionen

Hot Fixes gibt es für die FMC-Versionszweige 7.0, 7.2, 7.4, 7.6, 7.7 und 10.0. Dazu gehören unter anderem die folgenden Builds:

Cisco Secure FMC Release Bereitgestellter Hot Fix
7.0 Cisco_Firepower_Mgmt_Center_Hotfix_GB-7.0.9.1-3.sh.REL.tar
7.2 Cisco_Secure_FW_Mgmt_Center_Hotfix_HL-7.2.11.1-4.sh.REL.tar
7.4 Cisco_Secure_FW_Mgmt_Center_Hotfix_HG-7.4.7.1-3.sh.REL.tar
7.6 Cisco_Secure_FW_Mgmt_Center_Hotfix_CY-7.6.5.1-2.sh.REL.tar
7.7 Cisco_Secure_FW_Mgmt_Center_Hotfix_AM-7.7.12.1-2.sh.REL.tar
10.0 Cisco_Secure_FW_Mgmt_Center_Hotfix_P-10.0.1.1-2.sh.REL.tar

Cisco empfiehlt, den Software Checker zu verwenden, um die Anfälligkeit einer konkret eingesetzten Version zu prüfen. Betroffen sind FMC-Versionen vor den jeweils korrigierten Builds. Laut Hersteller betrifft die Sicherheitslücke FMC und SCC Firewall Management unabhängig von der Gerätekonfiguration. Ausdrücklich nicht betroffen sind Cisco Firewall Device Manager, Secure Firewall ASA und Secure Firewall Threat Defense.

Unternehmen mit selbst verwalteten FMC-Installationen sollten die Hot Fixes unverzüglich einspielen, die Erreichbarkeit der Verwaltungsoberfläche aus dem Internet überprüfen und die von Cisco genannten Indikatoren in den Logs kontrollieren und bei Verdacht auf eine Kompromittierung das TAC für Wiederherstellungsmaßnahmen einzubeziehen.

* Hinweis zum EPSS-Score: Das Exploit Prediction Scoring System zeigt die Wahrscheinlichkeit in Prozent an, mit der eine Schwachstelle innerhalb der nächsten 30 Tage ausgenutzt wird. Der ent­sprechende Score kann sich im Laufe der Zeit verändern. Sofern nicht anders angegeben, beziehen wir uns auf den Stand des EPSS-Scores zum Zeitpunkt der Veröffentlichung des Artikels.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

(ID:50951025)

Weiterführende Inhalte