Cisco FMC: Zero-Day CVE-2026-20316 aktiv ausgenutzt

Stell dir vor, die Verwaltungszentrale deiner Firewalls hat ab Werk ein eingebautes Geheim-Passwort — und Angreifer haben es gefunden. Genau das ist bei Cisco passiert: Die Lücke CVE-2026-20316 im Secure Firewall Management Center (FMC) wird bereits aktiv ausgenutzt, bevor Cisco überhaupt patchen konnte. Ein klassischer Zero-Day.

GEFAHR! Statische Zugangsdaten in der Firewall-Zentrale

Das FMC ist die Kommandobrücke für Ciscos Firewall-Flotte: Von hier aus werden Regeln, Richtlinien und Logs für Secure-Firewall-Installationen verwaltet. Der Fehler klingt banal, ist aber brandgefährlich: In der Software stecken statische Zugangsdaten für ein Konto mit niedrigen Rechten. Ein Angreifer kann sich damit aus der Ferne und ohne jede Authentifizierung anmelden und sensible Daten einsehen.

Der CVSS-Wert von 5.3 wirkt auf den ersten Blick harmlos — lass dich davon nicht täuschen. Cisco selbst stuft die Lücke als hochriskant ein, denn sie lässt sich mit anderen FMC-Schwachstellen verketten, um die Rechte auszuweiten. Erst der Fuß in der Tür, dann die Eskalation: ein Muster, das wir aus etlichen Angriffskampagnen kennen.

JETZT zählt jede Stunde: KEV-Frist endet heute

Entdeckt hat die Lücke Sicherheitsforscher Jimi Sebree von Horizon3.ai. Cisco wurde im Juli auf laufende Angriffe aufmerksam — und die US-Cyberbehörde CISA hat CVE-2026-20316 umgehend in ihren Katalog aktiv ausgenutzter Schwachstellen (KEV) aufgenommen. Die Deadline für US-Bundesbehörden ist bemerkenswert knapp: Heute, am 1. August, läuft die Frist ab. Kürzer geht es kaum — ein deutliches Signal, wie ernst die Lage ist.

So rettest du deine FMC-Installation in 3 Schritten

Schritt 1 — Patchen: Cisco hat Hotfixes für die FMC-Versionen 7.0, 7.2, 7.4, 7.6, 7.7 und 10.0 veröffentlicht. Einspielen, und zwar sofort — nicht am nächsten Wartungsfenster.

Schritt 2 — Zugriff einschränken: Das FMC-Webinterface hat im offenen Netz nichts verloren. Beschränke den Zugriff auf ein dediziertes Management-Netz oder eine kurze Liste vertrauenswürdiger Admin-Hosts.

Schritt 3 — Logs prüfen: Da die Lücke bereits vor dem Patch ausgenutzt wurde, gilt: Anmelde-Protokolle auf unbekannte Logins durchsehen — besonders auf Zugriffe mit dem betroffenen Low-Privilege-Konto aus ungewöhnlichen Quellen.

FAZIT: Hersteller-Hintertüren bleiben ein Systemproblem

Ob vergessenes Testkonto oder bequemer Support-Zugang: Statische Zugangsdaten in Sicherheitsprodukten sind ein wiederkehrender Albtraum. Ausgerechnet die Werkzeuge, die dein Netz schützen sollen, werden damit selbst zum attraktivsten Ziel. Für Homelab und Firma gilt derselbe Grundsatz: Management-Oberflächen niemals direkt erreichbar machen — egal, wie vertrauenswürdig der Hersteller klingt.

Häufige Fragen

Welche Versionen sind von CVE-2026-20316 betroffen?

Cisco hat Hotfixes für die Secure-Firewall-Management-Center-Versionen 7.0, 7.2, 7.4, 7.6, 7.7 und 10.0 veröffentlicht — diese Zweige gelten als betroffen. Wer eine dieser Versionen betreibt, sollte den passenden Hotfix umgehend einspielen und nicht auf das reguläre Update-Fenster warten.

Wie merke ich, ob mein FMC angegriffen wurde?

Prüfe die Anmelde- und Audit-Logs des Management Centers auf Logins, die du nicht zuordnen kannst — insbesondere über das betroffene Konto mit niedrigen Rechten und von unbekannten IP-Adressen. Da die Lücke ohne Authentifizierung aus der Ferne funktioniert, sind auch fehlgeschlagene Zugriffe aus dem Internet ein Warnsignal.

Wie gefährlich ist die Lücke wirklich, wenn der CVSS-Wert nur 5.3 beträgt?

Der Wert bildet nur den direkten Effekt ab: Zugriff auf sensible Daten über ein Konto mit niedrigen Rechten. In der Praxis lässt sich die Lücke aber mit weiteren FMC-Schwachstellen verketten, um Rechte auszuweiten. Aktive Ausnutzung plus KEV-Eintrag mit extrem kurzer Frist sprechen eine deutliche Sprache: patchen, sofort.

Gab es schon aktive Angriffe?

Ja. Cisco wurde im Juli auf die Ausnutzung aufmerksam — die Lücke wurde also als Zero-Day missbraucht, bevor ein Patch existierte. Die US-Cyberbehörde CISA hat CVE-2026-20316 deshalb in den KEV-Katalog aufgenommen und US-Behörden eine Frist bis zum 1. August gesetzt.

Quellen: Cisco Security Advisory, CISA KEV, SecurityWeek, BleepingComputer, Help Net Security

ZERO-DAY-ALARM! Ciscos Firewall-Zentrale hat ein eingebautes Geheim-Passwort — und Angreifer nutzen es JETZT aus