Mobile-Menu

Statische Zugangsdaten Cisco warnt vor aktiv ausgenutzter FMC-Schwachstelle

Von Melanie Staudacher 2 min Lesedauer

Anbieter zum Thema

FAST LTA GmbH
SEPPmail - Deutschland GmbH
FTAPI Software GmbH

Statische Zugangsdaten in Cisco Secure Firewall Management Center ermöglichen unbefugten Zugriff auf sensible Daten. Die Schwachstelle wird bereits aktiv ausgenutzt, Hot Fixes stehen bereit.

Ob ihre Secure-FMC-Systeme gehackt wurden, können Nutzer mithilfe der von Cisco bereitgestellten IoCs ermitteln.(Bild: © Viks_jin - stock.adobe.com)
Ob ihre Secure-FMC-Systeme gehackt wurden, können Nutzer mithilfe der von Cisco bereitgestellten IoCs ermitteln.
(Bild: © Viks_jin - stock.adobe.com)

Eine Sicherheitslücke in der zentralen Verwaltungs- und Überwachungsplattform für Cisco Secure Firewalls, dem Secure Firewall Management Center (FMC), wurde kürzlich von der CISA in ihren Katalog der bekannten ausgenutzten Schwachstellen aufgenommen. Dabei handelt es sich um EUVD-2026-50404 / CVE-2026-20316 (EPSS-Score* 0.79 Prozent). Während der CVSS-Score von 5.3 der Schwachstelle ein mittleres Risiko zuweist, spricht Cisco in selbst von einem hohen Risiko. Der Grund hierfür ist dem Security Advisory nach, dass diese Schwachstelle in Kombination mit anderen Schwachstellen der Secure-FMC-Software zur Ausweitung von Berechtigungen genutzt werden kann.

Patches und Indicators of Compromise

Ursache der Sicherheitslücke sind statische Anmeldedaten für ein Konto mit eingeschränkten Rechten. Kennt ein Angreifer diese, könnte er sich mit diesem Konto an einem betroffenen System anmelden und als Benutzer auf sensible Daten zugreifen. Besonders hoch ist das Risiko für FMC-Verwaltungsoberflächen, die über das Internet erreichbar sind.

EUVD-2026-50404 / CVE-2026-20316 betrifft die lokalen beziehungsweise selbst betriebenen FMC-Versionen aus diesen Reihen:

  • 7.0, Hot Fix „Cisco_Firepower_Mgmt_Center_Hotfix_GB-7.0.9.1-3.sh.REL.tar“
  • 7.2, Hot Fix „Cisco_Secure_FW_Mgmt_Center_Hotfix_HL-7.2.11.1-4.sh.REL.tar“
  • 7.4, Hot Fix „Cisco_Secure_FW_Mgmt_Center_Hotfix_HG-7.4.7.1-3.sh.REL.tar“
  • 7.6, Hot Fix „Cisco_Secure_FW_Mgmt_Center_Hotfix_CY-7.6.5.1-2.sh.REL.tar“
  • 7.7, Hot Fix „Cisco_Secure_FW_Mgmt_Center_Hotfix_AM-7.7.12.1-2.sh.REL.tar“
  • 10.0, Hot Fix „ Cisco_Secure_FW_Mgmt_Center_Hotfix_P-10.0.1.1-2.sh.REL.tar“

Auf der Webseite der European Union Vulnerability Database der Enisa werden auch die Versionen 7.3.1 und 7.3.1.1 als betroffen genannt. Cisco empfiehlt seinen Kunden dringend, die Hot Fixes zu installieren. Einen Workaround für das Problem gibt es nicht. Bei einem Verdacht auf eine Ausnutzung der Schwachstelle können Kunden sich an das Cisco Technical Assistance Center wenden, um Unterstützung zu Wiederherstellungsoptionen zu erhalten. Cisco bittet seine Kunden zudem, zumindest sämtliche Benutzeranmeldedaten, Schlüssel und Zertifikate auf Secure-FMC-Geräten zu erneuern, da diese Schwachstelle bereits aktiv ausgenutzt wird.

Um festzustellen, ob diese Schwachstelle möglicherweise bereits ausgenutzt wurde, veröffentlicht der Hersteller IoCs. Dafür sollen Nutzer im Expert-Modus den CLI-Befehl „cat /var/log/messages | grep license“ verwenden. Wenn die Protokollmeldung in der Ausgabe „/var/tmp/license.tmp“ enthält, wurde diese Schwachstelle möglicherweise auf dem Cisco Secure FMC-Gerät ausgenutzt. Ein Beispiel für die Ausgabe ist:

expertadmin@firepower:~$ sudo suPassword:Last login: Thu Jul 23 19:40:57 UTC 2026 on pts/2root@firepower:/home/admin#root@firepower:/home/admin# cat /var/log/messages | grep license Jul 23 16:16:33 firepower sudo: www : PWD=/ ; USER=root ; COMMAND=/usr/local/sf/bin/package_info.pl /var/tmp/license.tmp --lsm

* Hinweis zum EPSS-Score: Das Exploit Prediction Scoring System zeigt die Wahrscheinlichkeit in Prozent an, mit der eine Schwachstelle innerhalb der nächsten 30 Tage ausgenutzt wird. Der ent­sprechende Score kann sich im Laufe der Zeit verändern. Sofern nicht anders angegeben, beziehen wir uns auf den Stand des EPSS-Scores zum Zeitpunkt der Veröffentlichung des Artikels.

(ID:50915002)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte