Cisco FMC Zero-Day CVE-2026-20316 und CVE-2026-20079: Kritisches Firewall-Management sofort prüfen

Cisco hat am 30. Juli 2026 zwei kritische Sicherheitslücken im Cisco Secure Firewall Management Center (FMC) veröffentlicht. Die erste Schwachstelle (CVE-2026-20316) wird bereits als Nulltag aktiv ausgenutzt, die zweite (CVE-2026-20079) erreicht das maximale Schweregrad-Score von 10.0. Wer ein Cisco FMC on-premises betreibt, muss die Instanz heute prüfen.

Was ist passiert?

Cisco meldete am 30. Juli 2026 zwei Sicherheitslücken im Firewall Management Center. CVE-2026-20316 basiert auf statischen Credentials eines internen Low-Privilege-Accounts. Ein unautorisierter Angreifer, der diese Anmeldedaten kennt, kann sich remote am FMC anmelden und auf gespeicherte Konfigurationsdaten zugreifen. CISA hat diesen Eintrag am selben Tag in den Known Exploited Vulnerabilities (KEV) Katalog aufgenommen, weil die Schwachstelle bereits aktiv ausgenutzt wird.

CVE-2026-20079 ist eine Authentication-Bypass-Schwachstelle mit einem CVSS-Score von 10.0. Sie erlaubt es einem unautentifizierten Angreifer, über speziell gestaltete HTTP-Anfragen beliebige Skripte als Root auszuführen. Cisco betont, dass es keinen Workaround gibt und nur ein Patch die Lösung ist.

Wer ist betroffen?

1. Betroffen: Alle Versionen des Cisco Secure Firewall Management Center (FMC) Software on-premises vor dem jeweiligen Hotfix.
2. Nicht betroffen: Cisco FMC in der Cloud, andere Cisco-Produkte (ISE, SD-WAN, Unified CM haben eigene Advisory), FMC-Instanzen mit installiertem Hotfix.
3. Angriffspfad CVE-2026-20316: Remote, über das Management-Interface, Credentials werden hardcoded im System erwartet.
4. Angriffspfad CVE-2026-20079: Remote, unauthentifiziert, über HTTP, führt zu Root-Zugriff.

Wie kritisch ist das?

Die Kombination beider Schwachstellen ist hochkritisch. CVE-2026-20316 erlaubt den initialen Zugriff, CVE-2026-20079 liefert die Eskalation bis Root. Cisco bewertet CVE-2026-20316 trotz des CVSS 5.3 als High Severity, weil die statischen Credentials mit anderen FMC-Schwachstellen kombiniert werden können. CISA hat den Patch-Termin auf den 1. August 2026 gesetzt, was die Dringlichkeit unterstreicht.

Was sollten Admins jetzt tun?

1. Sofort prüfen: Cisco FMC-Version im Dashboard unter System > Configuration > Updates prüfen. Gesuchte Version: Alle vor dem jeweiligen Hotfix.
2. Hotfix installieren: Cisco stellt Hotfixes für beide CVEs bereit. Nach Cisco Advisory anwenden.
3. Management-Interface absichern: FMC Management-Interface nicht im Internet exponieren. Nur aus vertrauenswürdigen Netzwerken erreichbar machen.
4. Logs prüfen: Unbekannte Login-Versuche auf dem FMC im Zeitraum seit Ende Juli 2026 prüfen. Verdächtige Sessions identifizieren.
5. Credential-Rotation: Alle Admin-Passwörter auf dem FMC ändern, auch wenn der Hotfix installiert ist.

Einordnung für Unternehmen

Für Unternehmen mit Cisco-Firewall-Umgebungen ist diese Meldung akut zu priorisieren. Das FMC ist die zentrale Verwaltungskonsole für Cisco-Firewalls. Ein kompromittiertes FMC gibt dem Angreifer Zugriff auf die gesamte Netzwerkkonfiguration, VPN-Zugangsdaten und Firewall-Regeln. Gerade in Umgebungen mit mehreren Standorten oder Remote-Zweigniederlassungen ist das FMC oft zwischen den Firewall-Geräten geschaltet und damit ein attraktives Angriffsziel.

Small und Midsize-Unternehmen, die Cisco Secure Firewalls einsetzen, sollten die Prüfung heute durchführen. Die Schwachstelle betrifft on-premises Instanzen, nicht Cloud-Managed Varianten.

Passende Anleitungen auf S-EDV

1. Cisco ISE Sicherheitslücke kritisch (Juni 2026) – Hintergrund zu Cisco-Sicherheitslücken und wie man Cisco-Produkte in der Verwaltung absichert.

Quellen

1. BleepingComputer: Cisco warns of FMC static credential flaw exploited in zero-day attacks
2. The Hacker News: Cisco FMC Zero-Day Actively Exploited
3. SecPod: CISA Confirms Active Exploitation of Cisco FMC Zero-Day
4. HelpNetSecurity: Cisco FMC static credentials exploited
5. CISA KEV Catalog