Es ist die Art von Ankündigung, die Netzwerkadministratoren am Mittwochabend noch mal an den Schreibtisch zurückholt: Cisco hat am 16. September ein geschlossenes Bündel von 18 Sicherheitslücken in seiner Secure-Firewall-Familie veröffentlicht — Adaptive Security Appliance (ASA), Firepower Threat Defense (FTD) und die zentrale Verwaltung Firewall Management Center (FMC). Vier davon erreichen den kritischen CVSS-Wert von 9,9.
DIE SCHLIMMSTEN VIER IM ÜBERBLICK
Am schwersten wiegt CVE-2026-20324: eine unsichere Deserialisierung im internen sftunnel-Protokoll, über das FMC und die angeschlossenen Firewalls miteinander sprechen. Wer das ausnutzt, führt beliebigen Code als Root aus — ganz ohne Anmeldung. Direkt daneben steht CVE-2026-20242 mit CVSS 9,8: eine Java-Deserialisierungslücke in der Weboberfläche, bei der ein präparierter Datenstrom genügt, damit FMC Befehle als Root ausführt. Ergänzt wird das Duo durch CVE-2026-20341 (9,1, ebenfalls sftunnel-Deserialisierung) und CVE-2026-76420 (9,0, manipulierte sftunnel-Verbindung durch Identitätsvortäuschung). Dazu kommen drei weitere Lücken mit CVSS 9,9, die gleich mehrere Produkte auf einmal betreffen: CVE-2026-20329, -20330 und -20332 wirken sowohl in FMC als auch in ASA und FTD.
KEINE PANIK, ABER KEINE ZEIT ZU VERLIEREN
Die gute Nachricht zuerst: Für keine der 18 Lücken in diesem Paket ist bislang eine aktive Ausnutzung bekannt geworden — anders als bei der berüchtigten Authentifizierungs-Umgehung CVE-2026-20079 vom August, die bereits für Ransomware-Angriffe der Qilin-Gruppe missbraucht wurde und hier schon eigene Berichterstattung wert war. Die schlechte Nachricht: Cisco selbst schreibt in den Advisories unmissverständlich, dass es keine Workarounds gibt. Wer die Lücken schließen will, kommt am Update nicht vorbei.
Bei kritischer Netzwerk-Infrastruktur wie einer Firewall-Zentrale ist das kein triviales Unterfangen — FMC-Updates bedeuten in der Regel einen geplanten Wartungsfenster, oft nachts oder am Wochenende. Genau dieses Zeitfenster zwischen Bekanntwerden und flächendeckendem Patchen ist erfahrungsgemäß das Fenster, in dem Angreifer aktiv nach ungepatchten Systemen suchen.
WER BETROFFEN IST
Betroffen sind alle Standorte, die Cisco Secure Firewall ASA, Secure Firewall Threat Defense (FTD) oder das Firewall Management Center (FMC) einsetzen — von kleineren Firmenstandorten mit einer einzelnen ASA bis zu Rechenzentren, die FMC zentral für dutzende Firewalls nutzen. Cisco nennt in den Advisories konkrete Fix-Versionen: für ASA ab 9.16.4.103, für FTD und FMC je nach Zweig ab 7.0.10, 7.2.12, 7.4.8, 7.6.6, 7.7.13 oder in den neueren Reihen 10.0.2 und 10.1.0. Wer eine ältere, nicht mehr gepflegte Version fährt, bekommt keinen Patch mehr und sollte den Umstieg auf eine unterstützte Version einplanen.
WARUM DAS AUCH DICH INTERESSIEREN SOLLTE
Cisco-Firewalls sind kein reines Konzernthema. Gerade kleinere Systemhäuser und ambitionierte Homelab-Betreiber, die gebrauchte ASA- oder Firepower-Hardware günstig gebraucht kaufen, setzen sie gerne für den Internetzugang ein. Dieses Notfallpaket ist bereits das dritte in Folge seit August, in dem kritische FMC-Lücken auftauchen — ein Muster, das zeigt: Wer eine Cisco-Firewall-Zentrale betreibt, sollte Update-Ankündigungen von Cisco inzwischen so ernst nehmen wie einen Kalendertermin, nicht als optionale Lektüre.
FAZIT: Patchen ohne Wenn und Aber
Kein aktiver Angriff heißt nicht ungefährlich — bei CVSS 9,9 ohne Anmeldung und ohne Workaround ist es reine Glückssache, wie lange das so bleibt. Wer FMC, ASA oder FTD betreibt, sollte das nächste Wartungsfenster für dieses Update reservieren, statt auf die übernächste Routinepflege zu warten.