Cisco Firewall: Zwei kritische Lücken von Ransomware und Staaten genutzt
Veröffentlicht am: 11.09.2026 um 11:24 Uhr | Redaktion boerse-global.de
Die Sicherheitsabteilung Cisco Talos hat die aktive Ausnutzung von zwei Sicherheitslücken im Cisco Secure Firewall Management Center (FMC) durch mehrere Angreifergruppen gemeldet. Wie das Unternehmen bestätigte, werden die Schwachstellen bereits seit August 2026 für Cyberangriffe instrumentalisiert.
Betroffen sind drei separate Bedrohungscluster, die sowohl aus Ransomware-Akteuren als auch aus staatlich unterstützten Hackern bestehen. Als Reaktion wurden dringende Hotfixes für eine Vielzahl von Softwareversionen bereitgestellt.
Kritische Sicherheitslücken und technisches Ausmaß
Im Zentrum der Analyse stehen zwei spezifische Schwachstellen. Die als besonders kritisch eingestufte Lücke CVE-2026-20079 weist eine Bewertung von 10.0 auf der CVSS-Skala auf. Es handelt sich dabei um einen Authentifizierungs-Bypass im Webinterface des FMC, der Angreifern einen unauthentifizierten Root-Zugriff ermöglicht. Diese Lücke wurde ursprünglich von Brandon Sakai von Cisco entdeckt und bereits im März 2026 offengelegt, wobei zeitnah erste Korrekturen erfolgten.
Die zweite Schwachstelle, CVE-2026-20316, hat einen CVSS-Wert von 5.3 und beruht auf statischen beziehungsweise hardcodierten Anmeldedaten. Diese ermöglichen einen Login mit geringen Privilegien.
Die Meldung dieser Lücke erfolgte durch Jimi Sebree von der Sicherheitsfirma Horizon3.ai; ein entsprechender Fix wurde am 29. Juli 2026 veröffentlicht. Die nun beobachteten Angriffe richten sich gegen Systeme, die auf den Versionen 6.4.0.13 bis 10.0.1 basieren.
Angriffe auf professionelle Netzwerkstrukturen zeigen, wie wichtig eine proaktive Absicherung gegen moderne Bedrohungen und neue Gesetze heute ist. Dieses kostenlose E-Book unterstützt Sie dabei, Sicherheitslücken effizient zu schließen und Ihr Unternehmen langfristig zu schützen. Gratis-E-Book: Cyber Security Trends jetzt herunterladen
Aktivitäten von Ransomware-Gruppen und staatlichen Akteuren
Nach Erkenntnissen von Cisco Talos nutzen drei unterschiedliche Akteure die Schwachstellen für ihre Zwecke aus. Der Cluster UAT-12197 setzt dabei auf eine JSP-Webshell sowie einen JAR-Executor namens „cmd.jar“. Ziel dieser Gruppe ist unter anderem der Diebstahl und die Exfiltration von Anmeldedaten über OmniQuery.
Ein weiterer Akteur, identifiziert als Cluster UAT-11823, wird der Gruppierung Sandworm (GRU Unit 74455) zugeschrieben. Diese staatlich unterstützte Einheit nutzt eine Netcat-Reverse-Shell, die über eine Datei namens „license.tmp“ initiiert wird, und setzt das sogenannte Cyclops-Blink-Implantat ein.
Zudem ist der Cluster UAT-11988 aktiv, der mit der Ransomware-Gruppe Qilin in Verbindung gebracht wird. Diese Gruppe führt umfangreiche Aufklärungsmaßnahmen im Netzwerk durch und verwendet SOCKS5-Proxys sowie SSH-Tunnel zur Absicherung ihrer Kommunikation.
Zum Einsatz kommen dabei Werkzeuge wie Impacket und Invoke-TheHash sowie spezielle Programme zur Deaktivierung von Sicherheitssoftware (EDR-Killer), bevor die eigentliche Verschlüsselung durch die Qilin-Ransomware erfolgt. Berichten zufolge sind neben Cisco-Systemen auch VPN-Ziele des Herstellers Check Point von diesen Aktivitäten betroffen.
Wer sich mit dem Schutz vor komplexen Cyberangriffen befasst, erkennt schnell die Bedeutung gezielter Präventionsmaßnahmen gegen Hacker-Taktiken. Ein kostenloser Leitfaden zeigt in vier praktischen Schritten, wie Unternehmen ihre Abwehr gegen aktuelle Bedrohungen effektiv verstärken können. Anti-Phishing-Paket für Unternehmen kostenlos sichern
Sofortmaßnahmen und administrative Schritte
Cisco fordert Administratoren zur sofortigen Installation der bereitgestellten Hotfixes auf. Diese stehen für verschiedene Versionszweige zur Verfügung, darunter die Versionen 7.0.9.1-3, 7.2.11.1-4, 7.4.7.1-3, 7.6.5.1-2, 7.7.12.1-2 sowie 10.0.1.1-2. Ergänzend dazu wurde für die Woche ab dem 16. September 2026 ein spezielles Hardening-Release angekündigt, um die Systemsicherheit weiter zu stärken.
Auch staatliche Stellen haben auf die Bedrohung reagiert. Die US-Cybersicherheitsbehörde CISA hat CVE-2026-20079 in ihren Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen. Damit verbunden ist die Anweisung an US-Bundesbehörden, entsprechende Schutzmaßnahmen bis zum 12. September 2026 abzuschließen. Es ist bereits die dritte Sicherheitslücke im Umfeld des Firewall Management Centers, die im Jahr 2026 nach CVE-2026-20316 und CVE-2026-20131 in dieses Verzeichnis aufgenommen wurde.
