Kritische Cisco FMC-Schwachstelle in Qilin-Ransomware-Angriffen ausgenutzt
Zwei gepatchte Cisco FMC-Schwachstellen, darunter ein kritischer Authentifizierungs-Bypass, werden ausgenutzt, um Anmeldeinformationen zu stehlen und Qilin-Ransomware zu verbreiten.
Cisco FMC-Schwachstellen werden aktiv von drei separaten Bedrohungsclustern ausgenutzt, um Anmeldeinformationen zu stehlen, Konfigurationen verwalteter Geräte zu sammeln und Qilin-Ransomware zu verbreiten, wie aus neuen Details hervorgeht, die von Cisco Talos veröffentlicht wurden. Die Angriffe zielen auf zwei kürzlich gepatchte Schwachstellen in Cisco Secure Firewall Management Center (FMC) ab, einer zentralen Plattform, mit der Netzwerkteams Firewall-Richtlinien und -Geräte in einer Organisation verwalten können.
Das schwerwiegendere Problem, CVE-2026-20079, hat einen CVSS-Score von 10,0, die höchstmögliche Schweregradbewertung. Es handelt sich um eine Authentifizierungs-Bypass-Schwachstelle in der Web-Oberfläche der FMC-Software. Ein nicht authentifizierter, entfernter Angreifer kann sie ausnutzen, um den normalen Anmeldevorgang zu umgehen und Skriptdateien auf einem betroffenen Gerät auszuführen, wodurch er letztendlich Root-Zugriff auf das zugrunde liegende Betriebssystem erlangt. Root-Zugriff bedeutet vollständige administrative Kontrolle über den FMC-Server, sodass ein Angreifer alles auf diesem System lesen oder ändern kann.
Die zweite Schwachstelle, CVE-2026-20316, hat einen CVSS-Score von 5,3. Sie ermöglicht es einem nicht authentifizierten, entfernten Angreifer, sich mit einem Konto mit geringen Rechten bei einem betroffenen Gerät anzumelden und dann auf sensible Daten in anfälligen Systemen zuzugreifen. Cisco weist darauf hin, dass diese Schwäche mit anderen Cisco Secure FMC-Schwachstellen kombiniert werden kann, um Privilegien zu erweitern, was bedeutet, dass ein Angreifer, der zunächst nur eingeschränkten Zugriff erhält, diesen Fehler mit einer anderen Schwachstelle kombinieren kann, um viel höhere Kontrolle zu erlangen.
Cisco Talos identifizierte drei verschiedene Cluster von Aktivitäten nach der Kompromittierung auf FMC-Instanzen, die sowohl staatlich unterstützten als auch kriminellen Bedrohungsakteuren zugeordnet werden. Der erste, als UAT-12197 verfolgte Cluster nutzte CVE-2026-20079 aus, um JSP-basierte Web-Shells und einen Java Archive (JAR)-basierten Befehlsausführer bereitzustellen. Diese Tools ermöglichten es den Angreifern, interne Datenbanken abzufragen und Benutzerauthentifizierungsdaten und Anmeldeinformationen zu erhalten, wodurch sie effektiv die Anmeldeinformationen sammelten, die benötigt werden, um weiter in ein Opfernetzwerk vorzudringen.
Der zweite Cluster, UAT-11823, nutzte sowohl CVE-2026-20079 als auch CVE-2026-20316 aus. Er lieferte eine Netcat-basierte Reverse Shell, zwei Bash-Skripte zum Sammeln von Konfigurationen verwalteter Geräte und eine Variante von Cyclops Blink. Cyclops Blink ist ein modulares ELF-Implantat, das zuvor der russischen staatlich unterstützten Hackergruppe Sandworm zugeschrieben wurde. Dieser Cluster konzentrierte sich auf das Sammeln von Konfigurationsdetails von Geräten, die vom FMC verwaltet werden, was Netzwerktopologie, Zugriffsregeln und andere sensible Sicherheitseinstellungen offenlegen könnte.
Der dritte Cluster, UAT-11988, ist eine Ransomware-Operation. Er nutzte CVE-2026-20316 für den anfänglichen Zugriff und stützte sich dann auf legitime integrierte FMC-Tools in einem Living-off-the-Land (LotL)-Angriff. LotL bedeutet, dass die Angreifer bereits auf dem System vorhandene Tools verwendeten, anstatt offensichtliche Malware zu installieren, wodurch ihre Aktivitäten schwerer zu erkennen sind. Mit diesem Ansatz führte UAT-11988 eine umfangreiche Aufklärung der Opferumgebung durch, setzte Tunneling-Tools ein, um den Netzwerkzugriff aufrechtzuerhalten, sammelte Anmeldeinformationen, erstellte eine Zielliste von Endpunkten zur Verschlüsselung, beendete Sicherheitstools und setzte Qilin-Ransomware auf ausgewählten Systemen ein.
Cisco empfiehlt Kunden dringend, Hotfixes für betroffene Softwareversionen anzuwenden, die bereits für CVE-2026-20079 und CVE-2026-20316 veröffentlicht wurden. Das Unternehmen kündigte außerdem an, nächste Woche ein umfassendes Härtungs-Release für verschiedene intern entdeckte Schwachstellen zu veröffentlichen. Darüber hinaus hat die U.S. Cybersecurity and Infrastructure Security Agency (CISA) CVE-2026-20079 in ihren Katalog bekannter ausgenutzter Schwachstellen (Known Exploited Vulnerabilities, KEV) aufgenommen, was bedeutet, dass Bundesbehörden der Exekutive die Patches bis zum 12. September 2026 anwenden müssen. CVE-2026-20316 wurde Ende Juli 2026 in den KEV-Katalog aufgenommen.
Für Organisationen, die Cisco FMC oder ähnliche zentrale Netzwerkmanagement-Plattformen betreiben, sind die unmittelbaren Prioritäten die Installation der verfügbaren Hotfixes, die Einschränkung des Zugriffs auf die Management-Oberfläche und die Überprüfung von Administratorkonten auf Anzeichen unbefugter Nutzung. Für Website-Betreiber und Unternehmen, die auf Managed Hosting angewiesen sind, ist es ebenso wichtig, alle Management-Konsolen und Plugins aktuell zu halten, da Angreifer routinemäßig nicht gepatchte Web-Oberflächen und Admin-Panels ins Visier nehmen. AEU-I bietet sicherheitsorientierte IT-, Infrastruktur- und Beratungsdienstleistungen an, um Teams bei der Verwaltung von Patches, der Härtung exponierter Management-Oberflächen und der Reaktion auf mögliche Eindringlinge zu unterstützen.
So schützen Sie sich
- Wenn Ihr Unternehmen Cisco Secure Firewall Management Center verwendet, bitten Sie Ihr IT-Team, sofort den Hotfix von Cisco für CVE-2026-20079 und CVE-2026-20316 zu installieren.
- Halten Sie die FMC-Management-Oberfläche vom öffentlichen Internet fern oder beschränken Sie sie nur auf vertrauenswürdige interne Netzwerke.
- Aktivieren Sie einen zusätzlichen Anmeldeschritt, wie einen Code aus einer Handy-App, für jedes Administratorkonto, das auf die Firewall-Management-Konsole zugreifen kann.
- Lassen Sie Ihr IT-Team nach dem Patchen die FMC-Protokolle auf unerwartete Administrator-Anmeldungen oder neue Benutzerkonten überprüfen.
- Ändern Sie alle Firewall-Administratorpasswörter, die möglicherweise offengelegt wurden, und verwenden Sie diese Passwörter nirgendwo anders erneut.
Schwachstellen & Lösungen
- CVE-2026-20079 Authentication bypass vulnerability in Cisco Secure Firewall Management Center web interface that can give root access; fixed by Cisco hotfix. Lösung & Details ansehen →
- CVE-2026-20316 Vulnerability allowing unauthenticated low-privilege login and sensitive data access in Cisco FMC; fixed by Cisco hotfix. Lösung & Details ansehen →
Begriffe Erklärt
- CVE Common Vulnerabilities and Exposures, eine öffentliche Liste, die jeder bekannten Software-Sicherheitslücke eine eindeutige ID-Nummer zuweist.
- CVSS score Eine Zahl von 0 bis 10, mit der bewertet wird, wie schwerwiegend eine Software-Schwachstelle ist, wobei 10 die kritischste ist.
- authentication bypass Eine Schwäche, die es jemandem ermöglicht, den normalen Anmeldeschritt zu überspringen und ohne gültiges Passwort in ein System zu gelangen.
- web shell Ein kleines verstecktes Programm auf einem Server, das einem Angreifer ermöglicht, Befehle über einen Webbrowser zu senden.
- root access Vollständige administrative Kontrolle über einen Computer, die es dem Benutzer erlaubt, alles zu lesen, zu ändern oder zu löschen.
- reverse shell Eine Verbindung, die es einem Angreifer ermöglicht, einen Computer remote zu steuern, indem der Zielcomputer eine Verbindung zum Angreifer herstellt.
- ransomware Bösartige Software, die Dateien sperrt oder verschlüsselt und eine Zahlung verlangt, um sie zu entsperren.
- living-off-the-land Eine Taktik, bei der Angreifer bereits im System vorhandene Tools verwenden, anstatt offensichtliche Malware zu installieren, was sie schwerer erkennbar macht.