Cisco bestätigt, dass eine mit dem Höchstwert CVSS 10.0 bewertete Authentifizierungs-Bypass-Lücke (CVE-2026-20079) in seiner Secure Firewall Management Center (FMC) Software aktiv angegriffen wird. Angreifer können damit ohne gültige Anmeldedaten Root-Rechte auf dem Managementsystem erlangen.
Warum die Lücke so gefährlich ist
Ursache ist ein fehlerhafter Systemprozess, der beim Booten des Geräts angelegt wird. Ein nicht authentifizierter, entfernter Angreifer kann über präparierte HTTP-Anfragen an die Web-Oberfläche Skripte ausführen und so vollständigen Root-Zugriff auf das darunterliegende Betriebssystem erlangen. Da das FMC zentral zahlreiche Firewalls verwaltet, öffnet eine Kompromittierung faktisch den Weg ins gesamte geschützte Netzwerk. Eine zweite, verkettet genutzte Schwachstelle (CVE-2026-20316, CVSS 5.3) erlaubt zusätzlich eine Rechteausweitung über ein niedrig privilegiertes Konto.
Mehrere Angreifergruppen aktiv
Ciscos PSIRT wurde bereits im August 2026 auf laufende Angriffe aufmerksam. Am 9. September aktualisierte Cisco sein Advisory, und die US-Behörde CISA nahm die Lücke in ihren Katalog bekannter ausgenutzter Schwachstellen (KEV) auf. Das Talos-Team ordnet die Angriffe drei Clustern zu, darunter eine mit der Sandworm-Gruppe verknüpfte APT sowie ein Partner der Qilin-Ransomware.
Was Administratoren jetzt tun sollten
Betroffen sind die FMC-Versionen 7.0, 7.2, 7.4, 7.6, 7.7 und 10.0. Cisco stellt für jeden Zweig einen Hotfix bereit (etwa HG-7.4.7.1-3 für die 7.4-Reihe). Einen wirksamen Workaround gibt es nicht, daher sollten Betreiber die Patches umgehend einspielen und die Management-Oberfläche keinesfalls offen aus dem Internet erreichbar lassen.
Quelle: Cisco Security Advisory zu CVE-2026-20079.
