Cisco Secure FMC: Statische Zugangsdaten als Zero-Day in CISA-KEV aufgenommen

Am 29. Juli 2026 hat die US-Behörde für Cybersicherheit und Infrastruktursicherheit (CISA) die Schwachstelle CVE-2026-20316 nach Bestätigung der aktiven Ausnutzung als Zero-Day in den Catalog of Known Exploited Vulnerabilities (KEV) aufgenommen. Die Schwachstelle betrifft die Cisco Secure Firewall Management Center (FMC) Software – eine Plattform für die zentrale Verwaltung von Cisco-Firewalls, die in Unternehmens- und Regierungsnetzen weit verbreitet ist. Trotz eines moderaten CVSS-Basiswerts von 5.3 ist die tatsächliche Gefahr deutlich höher: Cisco hat der Schwachstelle aufgrund der Möglichkeit, sie mit anderen FMC-Schwachstellen zur Privilegienerweiterung zu kombinieren, die Auswirkungsstufe High zugewiesen. US-Bundesbehörden sind angewiesen, das Problem bis zum 1. August 2026 zu beheben.

Technische Details der Schwachstelle

Die eigentliche Ursache von CVE-2026-20316 ist das Vorhandensein von fest codierten (statischen) Zugangsdaten für ein Benutzerkonto mit niedrigen Rechten in der Cisco Secure FMC Software. Wie Cisco im Security Advisory ausführt, kann ein nicht authentifizierter entfernter Angreifer diese statischen Zugangsdaten nutzen, um sich anzumelden und im Namen eines Benutzers mit niedrigen Rechten Zugriff auf vertrauliche Daten zu erhalten.

Statische Zugangsdaten in Netzwerkausrüstung sind eine Art von Schwachstelle, die regelmäßig zu Kompromittierungen führt. Anders als bei komplexen Fehlern in der Autorisierungslogik ist die Ausnutzung hier trivial: Es genügt, den im Code hinterlegten Login und das Passwort zu kennen. Cisco weist darauf hin, dass sich die Angriffsfläche verringert, wenn das Verwaltungsinterface von FMC nicht aus dem öffentlichen Internet erreichbar ist; in der Praxis sind derartige Interfaces jedoch nicht selten von außen zugänglich.

Die Entdeckung der Schwachstelle wird dem Forscher Jimi Sebree von Horizon3.ai zugeschrieben. Cisco hat bestätigt, dass die Ausnutzung bereits früher im Juli 2026 begonnen hat, hat jedoch weder den zeitlichen Ablauf der Angriffe, noch die dahinterstehenden Akteure oder die konkreten Exploit-Methoden offengelegt.

Angriffskette: Zusammenhang mit CVE-2026-20079

Parallel zur Veröffentlichung des Advisory zu CVE-2026-20316 hat Cisco die Empfehlung zu CVE-2026-20079 aktualisiert – einer kritischen Schwachstelle zur Umgehung der Authentifizierung im selben Produkt mit der Höchstbewertung CVSS 10.0. Das Update enthält eine zusätzliche Fehlerkennung (CSCwt95974), dieselben Indikatoren für eine Kompromittierung sowie dieselben Fixes.

CVE-2026-20079 ermöglicht die Ausführung beliebiger ausführbarer Skripte mit Erlangung von Root-Rechten. Wesentlich ist: Beide Schwachstellen weisen denselben Indicator of Compromise auf – die Datei /var/tmp/license.tmp. Dies deutet auf ein wahrscheinliches Szenario einer Angriffskette hin: CVE-2026-20316 verschafft durch statische Zugangsdaten den anfänglichen Zugriff, während CVE-2026-20079 die Privilegieneskalation bis Root und die Codeausführung ermöglicht. Cisco weist jedoch darauf hin, dass für CVE-2026-20079 bislang keine aktive Ausnutzung beobachtet wurde.

Gerade die Möglichkeit einer solchen Kombination erklärt, warum Cisco die Auswirkungsstufe von CVE-2026-20316 trotz des CVSS-Basiswerts von 5.3 von Medium auf High angehoben hat. Die Bewertung nach CVSS spiegelt den isolierten Einfluss einer einzelnen Schwachstelle wider, während die reale Bedrohung durch den Kontext bestimmt wird – und in diesem Fall ist der Kontext kritisch.

Bewertung der Auswirkungen

Cisco Secure FMC ist eine zentrale Management-Komponente für Firewalls in großen Infrastrukturen. Eine Kompromittierung dieser Plattform verschafft einem Angreifer potenziell die Möglichkeit:

• Zugriff auf Firewall-Konfigurationen und Sicherheitsrichtlinien zu erhalten
• Informationen über die Topologie des geschützten Netzwerks zu extrahieren
• Bei Nutzung der Kette mit CVE-2026-20079 – beliebigen Code mit Root-Rechten auf der Management-Plattform auszuführen
• Möglicherweise die Filterregeln für den Datenverkehr auf den verwalteten Firewalls zu verändern

Am stärksten gefährdet sind Organisationen, deren FMC-Management-Interfaces aus dem Internet erreichbar sind, sowie Einrichtungen, die die Fixes nicht kurzfristig einspielen. Angesichts der bestätigten Zero-Day-Ausnutzung stellt ein Zögern bei der Installation der Patches eine unmittelbare Bedrohung dar.

Patches und Indicators of Compromise

Cisco hat für alle unterstützten Versionen der Cisco Secure FMC Software Fixes veröffentlicht:

• 7.0 — Cisco_Firepower_Mgmt_Center_Hotfix_GB-7.0.9.1-3.sh.REL.tar
• 7.2 — Cisco_Secure_FW_Mgmt_Center_Hotfix_HL-7.2.11.1-4.sh.REL.tar
• 7.4 — Cisco_Secure_FW_Mgmt_Center_Hotfix_HG-7.4.7.1-3.sh.REL.tar
• 7.6 — Cisco_Secure_FW_Mgmt_Center_Hotfix_CY-7.6.5.1-2.sh.REL.tar
• 7.7 — Cisco_Secure_FW_Mgmt_Center_Hotfix_AM-7.7.12.1-2.sh.REL.tar
• 10.0 — Cisco_Secure_FW_Mgmt_Center_Hotfix_P-10.0.1.1-2.sh.REL.tar

Prüfung auf Kompromittierung

Cisco empfiehlt, auf dem FMC-System im Expert Mode den folgenden Befehl auszuführen:

cat /var/log/messages | grep license

Wenn in der Ausgabe der Pfad /var/tmp/license.tmp erscheint, könnte das Gerät kompromittiert worden sein. Ein charakteristischer Log-Eintrag sieht wie folgt aus:

Jul 23 16:16:33 firepower sudo: www : PWD=/ ; USER=root ; COMMAND=/usr/local/sf/bin/package_info.pl /var/tmp/license.tmp --lsm

Achten Sie auf die Ausführung von package_info.pl mit Root-Rechten und dem Argument /var/tmp/license.tmp – dies ist ein zentrales Muster, das auf eine mögliche Ausnutzung hinweist.

Empfehlungen zur Reaktion

1. Überprüfen Sie umgehend die Logs aller Cisco Secure FMC-Instanzen auf den Indikator /var/tmp/license.tmp
2. Installieren Sie den entsprechenden Hotfix für Ihre FMC-Version. Wenn Anzeichen einer Kompromittierung vorliegen, führen Sie vor dem Einspielen des Patches eine vollständige Incident-Analyse durch
3. Beschränken Sie den Zugriff auf das FMC-Management-Interface – es sollte nicht aus dem öffentlichen Internet erreichbar sein. Nutzen Sie dedizierte Management-Netze oder VPN
4. Überprüfen Sie die Konfigurationen der verwalteten Firewalls auf unautorisierte Änderungen, insbesondere wenn Indicators of Compromise festgestellt wurden
5. Berücksichtigen Sie die Kombination der Schwachstellen: Auch wenn CVE-2026-20079 derzeit noch nicht aktiv ausgenutzt wird, sind die Fixes für beide Schwachstellen in denselben Hotfix-Paketen enthalten – die Installation eines Updates schließt beide Vektoren

Die Frist zur Behebung für US-Bundesbehörden endet am 1. August 2026. Angesichts der bestätigten aktiven Ausnutzung und der trivialen Nutzung statischer Zugangsdaten sollte jedoch jede Organisation, die Cisco Secure FMC einsetzt, die Installation der Fixes als Aufgabe mit höchster Priorität betrachten. Der erste Schritt sollte die Überprüfung der Logs auf /var/tmp/license.tmp sein – dies dauert nur wenige Minuten und zeigt sofort, ob Incident Response erforderlich ist oder ob ein planmäßiges Update ausreicht.