// HEISE ONLINE — CYBERSECURITY
Angreifer missbrauchen Backdoor in Ciscos Firewall-Verwaltungssoftware
Angreifer missbrauchen fest einprogrammierte Zugangsdaten in Ciscos Firewall-Verwaltungssoftware. Updates sollen dagegen helfen.
This article is also available in
English.
It was translated with technical assistance and editorially reviewed before publication.
Angreifer attackieren derzeit Ciscos Secure Firewall Management Center. Der Hersteller hat darin durch fest einprogrammierte Zugangsdaten für ein Konto faktisch eine Backdoor hinterlassen, die bösartigen Akteuren nun zur Anmeldung auf verwundbaren Instanzen dient.
Die US-amerikanische IT-Sicherheitsbehörde CISA hat die Schwachstelle in den „Known Exploited Vulnerabilities“-Katalog aufgenommen. Cisco reagiert mit einer eigenen Sicherheitsmitteilung auf das Problem. Die Schwachstelle betrifft das Webinterface der Secure-Firewall-Management-Center-(FMC)-Software. Aufgrund hartkodierter Zugangsdaten für ein Konto mit niedrigen Berechtigungen im System können Angreifer aus dem Netz auf die Instanzen und darauf verfügbare sensible Daten zugreifen (CVE-2026-20316, CVSS 5.3, Risiko „mittel“).
Cisco stufte die Auswirkungen abweichend vom reinen CVSS-Rating als „hohes“ Risiko ein. Als Grund nennen die Mitarbeiter, dass die Lücke sich mit anderen Schwachstellen in der Secure-FMC-Software verquicken lässt, um die Rechte im System auszuweiten. Ohne diese Lücke konkret zu nennen, hat Cisco zeitgleich eine Sicherheitsmitteilung zu einer Sicherheitslücke aus dem März dieses Jahres aktualisiert, die das Ausführen von Skripten mit root-Rechten ermöglicht (CVE-2026-20079, CVSS 10, Risiko „kritisch“). Darin ergänzt Cisco dieselben Software-Hotfixes und nennt auch die IOCs. Allerdings fehlt im Abschnitt zu Exploits noch immer, dass Cisco um keinen Missbrauch im Netz wisse – das ist eher ein Hinweis darauf, dass Cisco die Meldung in Hast aktualisiert hat.
Zwar reduziere sich das Risiko, wenn das FMC nicht aus dem öffentlichen Internet erreichbar sei, erörtert Cisco. Jedoch gibt es keine (temporären) Gegenmaßnahmen, um die Sicherheitslücke anderweitig einzudämmen. Nur die Aktualisierung auf einen korrigierten Softwarestand helfe. Cisco stellt die Hotfixes auf die Versionen Cisco Firepower Management Center Hotfix_GB-7.0.9.1-3 sowie Secure Firewall Management Center Hotfix_HL-7.2.11.1-4, Hotfix_HG-7.4.7.1-3, Hotfix_CY-7.6.5.1-2, Hotfix_AM-7.7.12.1-2 und Hotfix_P-10.0.1.1-2 zum Herunterladen und Installieren bereit. IT-Verantwortliche sollten die Korrekturen umgehend anwenden.
Da Cisco selbst auf aktiven Missbrauch der Schwachstelle hinweist, sollten Admins der FMC-Software davon ausgehen, dass ihre Installation kompromittiert wurde. Der Hersteller liefert auch Hinweise auf erfolgreiche Angriffe (Indicators of Compromise, IOC). Sofern bestimmte Einträge in den Logs auf Angriffe hindeuten, sollen Betroffene Ciscos Technical Assistance Center (TAC) um Unterstützung bei der Wiederherstellung bitten.
Vor zwei Wochen warnte die CISA ebenfalls vor Angriffen auf eine Schwachstelle in Cisco-Produkten. Es handelte sich um eine Cross-Site-Request-Forgery-Sicherheitslücke in Ciscos IOS-Betriebssystem, die bereits seit 18 Jahren im Code geschlummert hat.
Ob Sicherheitslücken, Viren oder Trojaner – alle sicherheitsrelevanten Meldungen gibts bei heise security
Ausführliche Informationen zum Versandverfahren und zu Ihren
Widerrufsmöglichkeiten erhalten Sie in unserer
Datenschutzerklärung.