Angreifer missbrauchen Backdoor in Ciscos Firewall-Verwaltungssoftware

Sicherheitslücke durch fest programmierte Zugangsdaten

Aktuelle Berichte aus dem IT-Sicherheitssektor verdeutlichen ein kritisches Problem in der Infrastruktur von Cisco. Angreifer nutzen derzeit gezielt eine Schwachstelle im Secure Firewall Management Center (FMC) aus, um sich unbefugten Zugriff auf verwundbare Instanzen zu verschaffen. Die Ursache liegt in hartkodierten Zugangsdaten, die für ein Konto mit eingeschränkten Rechten fest in der Software hinterlegt wurden. Diese Konfiguration wirkt faktisch wie eine Backdoor, die es externen Akteuren ermöglicht, sensible Daten aus dem Netzwerk abzugreifen.

Die US-amerikanische Cybersecurity-Behörde CISA hat die Schwachstelle, die unter der Kennung CVE-2026-20316 geführt wird, bereits in ihren Katalog der aktiv ausgenutzten Sicherheitslücken („Known Exploited Vulnerabilities“) aufgenommen. Dies unterstreicht die Dringlichkeit der Situation für IT-Verantwortliche weltweit.

Risikobewertung und Eskalationspotenzial

Obwohl die Schwachstelle offiziell mit einem CVSS-Wert von 5.3 als „mittel“ eingestuft wird, bewertet Cisco das tatsächliche Risiko deutlich höher. Die Begründung hierfür liegt in der Kombinierbarkeit mit anderen Sicherheitslücken innerhalb der FMC-Software. Durch die Verknüpfung der hartkodierten Zugangsdaten mit weiteren Schwachstellen – etwa einer kritischen Lücke aus dem März dieses Jahres (CVE-2026-20079), die das Ausführen von Skripten mit Root-Rechten erlaubt – können Angreifer ihre Privilegien im System massiv ausweiten.

Die Kombination dieser Schwachstellen ermöglicht es Angreifern, von einem initialen Zugriff mit niedrigen Rechten zu einer vollständigen Kontrolle über das System zu gelangen. Da Cisco selbst vor einem aktiven Missbrauch warnt, sollten Administratoren davon ausgehen, dass bereits kompromittierte Instanzen existieren könnten.

Keine Workarounds: Updates sind alternativlos

Für IT-Sicherheitsverantwortliche gibt es derzeit keine temporären Gegenmaßnahmen oder Workarounds, um die Gefahr ohne ein Software-Update einzudämmen. Zwar reduziert der Verzicht auf eine direkte Erreichbarkeit des FMC aus dem öffentlichen Internet das Risiko, doch bleibt das System intern verwundbar. Die einzige wirksame Schutzmaßnahme ist die Installation der von Cisco bereitgestellten Hotfixes.

Folgende Versionen stehen für die betroffenen Systeme zur Verfügung:

* Cisco Firepower Management Center: Hotfix_GB-7.0.9.1-3

* Secure Firewall Management Center: Hotfix_HL-7.2.11.1-4, Hotfix_HG-7.4.7.1-3, Hotfix_CY-7.6.5.1-2, Hotfix_AM-7.7.12.1-2 sowie Hotfix_P-10.0.1.1-2

Maßnahmen zur Wiederherstellung

Angesichts der bestätigten aktiven Angriffe sollten Administratoren ihre Systeme auf Anzeichen einer Kompromittierung prüfen. Cisco stellt hierfür spezifische Indicators of Compromise (IOCs) bereit, die in den Systemprotokollen identifiziert werden können. Sollten in den Logs verdächtige Einträge gefunden werden, die auf einen unbefugten Zugriff hindeuten, empfiehlt der Hersteller dringend, das Technical Assistance Center (TAC) für eine professionelle Unterstützung bei der Systemwiederherstellung zu kontaktieren.

Die aktuelle Situation verdeutlicht die Notwendigkeit einer proaktiven Patch-Strategie. Erst vor wenigen Wochen warnte die CISA vor einer weiteren, langjährigen Sicherheitslücke im Cisco IOS-Betriebssystem, was die Bedeutung regelmäßiger Sicherheitsupdates für die Netzwerkinfrastruktur erneut unterstreicht.