Was ist passiert?
Cisco warnt vor aktiv ausgenutzten Sicherheitslücken in zentralen Produkten der Netzwerksicherheit: dem Secure Firewall Management Center (FMC) und der Identity Services Engine (ISE). Insgesamt fünf Schwachstellen erreichen den maximalen CVSS-Score von 10 von 10 – die höchstmögliche Einstufung. Betroffen sind CVE-2026-20079 (FMC) sowie CVE-2026-20130, CVE-2026-20192, CVE-2026-76460 und CVE-2026-76423 (ISE). Nach Angaben des Herstellers nutzen Angreifer diese Lücken bereits aktiv aus. Wer die Patches noch nicht eingespielt hat, sollte umgehend handeln.
Die Details
Die FMC-Schwachstelle CVE-2026-20079 ist bereits seit März bekannt, offenbar wurden die verfügbaren Sicherheitspatches jedoch nicht flächendeckend installiert. Besonders kritisch: Entfernte Angreifer benötigen keine Authentifizierung. Es reicht, eine präparierte HTTP-Anfrage an ein verwundbares Gerät zu schicken, um Root-Rechte zu erlangen. Mit diesen Rechten lassen sich anschließend Sicherheitsrichtlinien verändern oder Sicherheitsfunktionen komplett deaktivieren – ein Albtraumszenario für jede Firewall-Infrastruktur.
Geschützt vor dieser Lücke sind laut Cisco folgende FMC-Versionen: 7.0.10, 7.2.12, 7.4.8, 7.6.6, 7.7.13, 10.0.2 und 10.1.0.
Bei der Identity Services Engine, die für Netzwerkzugriffskontrolle zuständig ist, können Angreifer unter anderem die Anmeldung umgehen oder sogar Schadcode zur Ausführung bringen. Für ISE-Versionen bis einschließlich 3.0 ist der Support bereits ausgelaufen – betroffene Admins müssen zwingend auf eine noch unterstützte Version upgraden. Die relevanten Patches lauten: 3.1 Patch 12, 3.2 Patch 11, 3.3 Patch 12, 3.4 Patch 7 und 3.5 Patch 4.
Neben den kritischen Lücken listet Cisco in seinem Sicherheitsbereich weitere Schwachstellen auf, darunter Hardening-Hinweise für ISE und FMC sowie zusätzliche Probleme wie eine sftunnel-Root-Code-Ausführung, Java-Deserialisierungs-Schwachstellen und Command-Injection-Lücken in ISE.
Einordnung
Dass gleich fünf Schwachstellen mit dem höchsten CVSS-Wert von 10 bewertet werden, unterstreicht die Brisanz dieser Sicherheitslücken. FMC und ISE sind zentrale Verwaltungskomponenten in Unternehmensnetzwerken – wer hier Root-Zugriff erlangt oder die Authentifizierung umgeht, kann im schlimmsten Fall die gesamte Sicherheitsarchitektur eines Netzwerks aushebeln. Besonders brisant ist, dass die FMC-Lücke bereits seit März bekannt ist, Angreifer sie aber erst jetzt aktiv ausnutzen. Das zeigt ein wiederkehrendes Muster in der IT-Sicherheit: Zwischen Veröffentlichung eines Patches und dessen flächendeckender Installation vergeht oft wertvolle Zeit, die Angreifer gezielt ausnutzen.
Für Betreiber von Sicherheitsinfrastruktur – von Netzwerk-Firewalls bis hin zu physischen Schutzsystemen wie Einwurftresoren oder Zutrittskontrollen – gilt derselbe Grundsatz: Eine Schutzmaßnahme ist nur so gut wie ihre aktuelle Wartung. Ein ungepatchtes FMC ist im übertragenen Sinn vergleichbar mit einem Opferstock, dessen Schloss seit Monaten als manipulierbar bekannt ist, aber nicht ausgetauscht wurde.
Praxis-Tipps
- Prüfen Sie umgehend, welche FMC- und ISE-Versionen in Ihrer Infrastruktur im Einsatz sind.
- Installieren Sie die von Cisco bereitgestellten Patches ohne Verzögerung – insbesondere für CVE-2026-20079, da diese Lücke bereits seit März bekannt ist und jetzt aktiv ausgenutzt wird.
- Migrieren Sie ISE-Installationen bis Version 3.0 zwingend auf eine unterstützte Version, da hierfür kein Support mehr existiert.
- Überprüfen Sie die vollständige Liste der geschlossenen Schwachstellen im Sicherheitsbereich der Cisco-Website, da neben den kritischen Lücken weitere Patches relevant sein können.
- Kontrollieren Sie nach dem Patchen, ob Sicherheitsrichtlinien und -funktionen unverändert und aktiv sind, falls bereits ein Angriff stattgefunden haben könnte.
Ausblick
Da Cisco-Produkte wie FMC und ISE in vielen Unternehmensnetzwerken als zentrale Sicherheitsinstanzen fungieren, dürfte die aktive Ausnutzung dieser Schwachstellen weitere Aufmerksamkeit von Sicherheitsforschern und Angreifern gleichermaßen auf sich ziehen. Unternehmen, die ihre Systeme nicht zeitnah patchen, laufen Gefahr, zum Ziel automatisierter Angriffswellen zu werden, sobald Exploit-Code breiter verfügbar wird. Die Vorfälle unterstreichen erneut, wie wichtig ein konsequentes Patchmanagement gerade bei sicherheitskritischer Infrastruktur ist – unabhängig davon, ob es sich um digitale Firewalls oder physische Schutzmechanismen wie Zutrittskontrollsysteme handelt.
