Was ist passiert?
Cisco hat am 16. September 2026 neue Informationen zu einer bereits bekannten, aber besonders kritischen Schwachstelle im Cisco Secure Firewall Management Center (FMC) veröffentlicht. Die Sicherheitslücke trägt die Kennung CVE-2026-20079 und erreicht mit einem CVSS-Wert von 10,0 die höchste Stufe der üblichen technischen Risikobewertung.
Die Schwachstelle befindet sich in der Weboberfläche des Firewall Management Centers. Nach Angaben von Cisco kann ein nicht authentifizierter Angreifer speziell präparierte HTTP-Anfragen an ein betroffenes System senden und dadurch die Anmeldung umgehen. Bei erfolgreicher Ausnutzung können anschließend Befehle mit Root-Rechten ausgeführt werden – also mit den höchsten Berechtigungen des Systems.
Entscheidend für die aktuelle Einordnung ist eine neue Information des Herstellers: Cisco bestätigt inzwischen, dass aktive Angriffe auf verwundbare Systeme beobachtet wurden. Das Unternehmen aktualisierte sein Advisory am 16. September entsprechend und empfiehlt ausdrücklich den Umstieg auf eine korrigierte Softwareversion.
Wer ist betroffen?
Betroffen ist Cisco Secure Firewall Management Center Software. Auch die cloudbasierte Variante Cisco Security Cloud Control Firewall Management war technisch betroffen; Cisco hat die Korrektur dort jedoch bereits selbst eingespielt, sodass für diese SaaS-Umgebung laut Hersteller keine Kundenaktion notwendig ist. Cisco ASA und Secure Firewall Threat Defense sind von dieser konkreten Schwachstelle nicht betroffen.
Für lokal betriebene FMC-Systeme nennt Cisco unter anderem folgende korrigierte Versionen:
- 7.0.10 für ältere 7.0-Versionen,
- 7.2.12,
- 7.4.8,
- 7.6.6,
- 7.7.13,
- 10.0.2,
- 10.1.0.
Diese Versionen gehören zu den am 16. September veröffentlichten beziehungsweise empfohlenen Hardening-Releases. Sie schließen neben CVE-2026-20079 auch weitere Schwachstellen in der Cisco-Secure-Firewall-Produktfamilie.
Ein wichtiger Punkt: Für CVE-2026-20079 existiert laut Cisco kein Workaround, der ein Update vollständig ersetzen würde. Eine lediglich eingeschränkte Erreichbarkeit der Management-Oberfläche reduziert zwar die Angriffsfläche, beseitigt die Schwachstelle aber nicht.
Warum ist das für Unternehmen und Infrastrukturbetreiber relevant?
Ein Firewall Management Center ist kein gewöhnlicher Arbeitsplatzrechner. Es dient zur zentralen Verwaltung von Sicherheitskomponenten und besitzt dadurch umfangreiche Informationen über Netzwerke, Regeln und angebundene Systeme.
Eine Kompromittierung eines solchen Verwaltungssystems kann daher besonders schwer wiegen. Cisco Talos hat bei untersuchten Angriffen unter anderem das Platzieren von Web-Shells, den Diebstahl von Zugangsdaten, das Einrichten von Tunnelverbindungen und die Erkundung interner Netzwerke beobachtet. In einem dokumentierten Angriffscluster wurden die Schwachstellen im Umfeld eines späteren Ransomware-Angriffs eingesetzt.
Diese Beobachtung bedeutet nicht, dass jede Ausnutzung automatisch zu Ransomware führt. Sie zeigt jedoch, welchen strategischen Wert ein kompromittiertes Sicherheitsmanagement-System für Angreifer haben kann.
Gerade in Unternehmen, Gemeinden sowie bei Betreibern von Energie- und Digitalinfrastruktur werden Firewalls häufig eingesetzt, um Büro-IT, technische Netze, Fernzugänge und weitere Sicherheitszonen voneinander zu trennen. Die Systeme, mit denen diese Schutzmechanismen verwaltet werden, sollten deshalb selbst besonders konsequent aktualisiert und überwacht werden.
Was sollte man daraus ableiten?
Bei einer aktiv ausgenutzten Schwachstelle dieser Kritikalität sollte die Installation des Sicherheitsupdates nicht auf den nächsten regulären Wartungszyklus verschoben werden.
Organisationen sollten zunächst feststellen, ob Cisco Secure Firewall Management Center eingesetzt wird und welche Version installiert ist. Anschließend sollte anhand des Cisco-Advisory geprüft werden, ob ein Update erforderlich ist.
Ebenso wichtig ist die Frage, ob ein System möglicherweise bereits kompromittiert wurde. Cisco stellt dafür konkrete Indicators of Compromise, also technische Hinweise auf einen möglichen Angriff, bereit. Der Hersteller empfiehlt bei entsprechenden Anzeichen ausdrücklich, die weitere Bereinigung nicht ausschließlich mit einem nachträglichen Patch gleichzusetzen, sondern Unterstützung durch Cisco beziehungsweise den zuständigen IT-Security-Dienstleister einzubeziehen.
Das Beispiel zeigt außerdem einen grundsätzlichen Punkt: Firewalls, VPN-Systeme, E-Mail-Gateways und andere Sicherheitsprodukte gehören zu den besonders schützenswerten Komponenten einer IT-Infrastruktur. Sie benötigen mindestens denselben konsequenten Patch-, Zugriffs- und Überwachungsprozess wie klassische Server.
Handlungsempfehlungen
- FMC-Bestand prüfen: Ermitteln, ob Cisco Secure Firewall Management Center eingesetzt wird und welche Softwareversion installiert ist.
- Korrigierte Version installieren: Betroffene Systeme sollten zeitnah auf eine von Cisco freigegebene Fixed Release aktualisiert werden.
- Management-Oberfläche abschotten: Die Administrationsoberfläche sollte nur aus ausdrücklich freigegebenen Management-Netzen erreichbar sein und nicht unnötig direkt aus dem Internet.
- Auf Kompromittierungsindikatoren prüfen: Administratoren sollten die von Cisco veröffentlichten Indicators of Compromise und relevante System- sowie Netzwerkprotokolle kontrollieren.
- Bei Verdacht nicht nur patchen: Bestehen Hinweise auf eine erfolgreiche Ausnutzung, sollte zusätzlich eine strukturierte Incident-Response- und forensische Untersuchung erfolgen.
- Zugangsdaten überprüfen: Bei einem bestätigten oder wahrscheinlichen Einbruch sollten administrative Zugangsdaten und weitere auf dem Management-System erreichbare Geheimnisse als potenziell gefährdet betrachtet und nach einer abgestimmten Bereinigung erneuert werden.
- Security-Systeme priorisiert patchen: Firewall-Management, VPN-Gateways, E-Mail-Security und vergleichbare Komponenten sollten in Patchmanagement und Schwachstellenüberwachung eine besonders hohe Priorität erhalten.
Quellen
„Cisco Secure Firewall Management Center Software Authentication Bypass Vulnerability“ – Cisco Security Advisory, aktualisiert am 16. September 2026.
Cisco bestätigt die aktive Ausnutzung von CVE-2026-20079, beschreibt Auswirkungen, betroffene Produkte, Indicators of Compromise und korrigierte Softwareversionen.
Cisco Security Advisory zu CVE-2026-20079
„Cisco Secure Firewall ASA, FTD and FMC Software Hardening Release: September 2026“ – Cisco, 16. September 2026.
Der Hersteller veröffentlicht neue Hardening-Releases für seine Secure-Firewall-Produkte und bestätigt, dass zwei FMC-Schwachstellen bereits aktiv ausgenutzt werden.
Cisco: Secure Firewall Hardening Release September 2026
„Active exploitation of Cisco Secure Firewall Management Center vulnerabilities“ – Cisco Talos, 9. September 2026.
Cisco Talos dokumentiert beobachtete Angriffe auf verwundbare FMC-Systeme sowie Aktivitäten nach einer erfolgreichen Kompromittierung.
Cisco Talos: Active exploitation of FMC vulnerabilities
„CVE-2026-20079“ – CVE Program.
Der offizielle CVE-Eintrag beschreibt die Authentifizierungsumgehung und bestätigt die Einstufung mit CVSS 10,0.
CVE Record CVE-2026-20079