Cisco hat die Authentifizierungsumgehung CVE-2026-20079 im Secure Firewall Management Center am 4. März 2026 beschrieben und den Hinweis am 16. September 2026 um aktive Ausnutzung ergänzt. Die Lücke hat den Höchstwert CVSS 10.0, einen Workaround gibt es nicht. CISA nahm sie am 9. September in den Katalog ausgenutzter Lücken auf. Der Artikel nennt die Fix-Versionen und die Schritte für Admins.
Ein Angreifer ohne Konto kann sich im Cisco Secure Firewall Management Center Root-Rechte verschaffen. Der Hersteller kennt aktive Angriffe seit August 2026, und es gibt keinen Workaround.
Das Wichtigste in Kürze
- Die Lücke CVE-2026-20079 erreicht den Höchstwert CVSS 10.0. Ein Angreifer umgeht über die Weboberfläche die Anmeldung und erhält Root-Zugriff auf das Betriebssystem.
- Cisco kennt aktive Angriffe seit August 2026. In der Meldung steht seit dem 16. September ausdrücklich, dass Ausnutzung beobachtet wurde.
- Einen Workaround gibt es nicht. Nur ein Update auf eine behobene Version schliesst die Lücke.
- Ein Patch bereinigt keine bereits übernommenen Geräte. So berichtet BleepingComputer.
Was Cisco meldet
Cisco hat den Hinweis am 4. März 2026 erstmals veröffentlicht und zuletzt am 16. September 2026 aktualisiert. Die Revision vom 16. September ergänzt die aktive Ausnutzung und ersetzt die früheren Hotfixes durch Versionen mit Sicherheitshärtung. Zuvor hatte Cisco am 31. Juli und am 5. August Hinweise auf Kompromittierung und Hotfixes nachgetragen.
Dabei liegt die Ursache laut Cisco in einem falsch angelegten Systemprozess beim Start. Er erlaubt es einem Angreifer aus der Ferne, Skriptdateien auszuführen und Root-Rechte zu erlangen. Betroffen sind das Secure Firewall Management Center und die Verwaltung Security Cloud Control. Die Cloud-Variante aktualisiert Cisco selbst.
Zudem nahm CISA CVE-2026-20079 am 9. September 2026 in ihren Katalog ausgenutzter Lücken auf und setzte US-Behörden eine Frist bis zum 12. September.
Welche Versionen den Fix enthalten
| Zweig | Erste behobene Version | Bemerkung |
|---|---|---|
| 7.0 und älter | 7.0.10 | Gilt auch für alle früheren Zweige |
| 7.2 | 7.2.12 | Update nötig, kein Workaround |
| 7.4 | 7.4.8 | Update nötig, kein Workaround |
| 7.6 | 7.6.6 | Update nötig, kein Workaround |
| 7.7 | 7.7.13 | Update nötig, kein Workaround |
| 10.0 | 10.0.2 | Neuer Zweig, Update nötig |
| 10.1 | 10.1.0 | Schon die erste Version enthält den Fix |
Quelle: Cisco Security Advisory, Stand der Revision 2.6 vom 16. September 2026.
Was Admins jetzt tun
- Ermittle die Version jedes Firewall Management Centers und plane das Update auf die Zeile der Tabelle.
- Nimm das Management-Netz aus dem Internet, soweit möglich. Das ersetzt den Patch nicht, senkt aber das Risiko.
- Prüfe nach den Indikatoren für eine Kompromittierung, die Cisco im Hinweis beschreibt. Bei Verdacht wendest du dich an das Cisco TAC.
- Behandle ein schon übernommenes System als kompromittiert: Das Update schliesst die Lücke, entfernt aber keine Hintertür.
Zum selben Muster passt der Beitrag zu N-able N-central: Verwaltungsserver sind Ziele, weil von dort viele Geräte erreichbar sind.
Fazit
Deshalb gilt: Die Meldung ist seit März bekannt, die Ausnutzung seit August, und seit dem 16. September steht beides in Ciscos Hinweis. Wer FMC betreibt, patcht auf die genannte Version und prüft danach, ob jemand schon drin war. Ein Workaround existiert nicht.
Quellen: Cisco Security Advisory, BleepingComputer, CISA-Katalog bekannter ausgenutzter Lücken. Foto: TheDigitalArtist / Pixabay. Stand: 16. September 2026.
Recherche und Entwurf KI-gestützt, geprüft und freigegeben von Andreas Brauckmann · So arbeitet die Redaktion
Änderungshistorie
- — Artikel veröffentlicht.