Sandworm und Qilin nutzen Cisco-FMC-Lücke mit CVSS 10.0 aus

Ciscos Bedrohungsforschung Talos hat am 9. September 2026 bestätigt, dass Angreifer eine Schwachstelle mit maximalem Schweregrad in der Software Secure Firewall Management Center (FMC) ausnutzen - jener zentralen Konsole, über die Administratoren die Firewalls einer Organisation steuern. Ciscos Advisory bewertet die als CVE-2026-20079 geführte Lücke mit einem CVSS-Wert von 10.0, dem höchsten Wert der Skala.

Cisco beschreibt sie als Umgehung der Authentifizierung: Ein nicht authentifizierter Angreifer kann aus der Ferne präparierte HTTP-Anfragen an die FMC-Weboberfläche senden und Skripte sowie Befehle mit Root-Rechten ausführen. Wer die Verwaltungskonsole über das Netzwerk erreicht, übernimmt sie ohne Passwort - und mit ihr die Firewalls, die sie verwaltet.

Die Chronologie erklärt den Alarm im September. Cisco veröffentlichte das Advisory erstmals am 4. März 2026, nachdem Brandon Sakai von Cisco die Lücke bei internen Sicherheitstests gefunden hatte; Hinweise auf Missbrauch gab es damals nicht. Inzwischen heißt es dort, das Cisco PSIRT habe im August 2026 von aktiver Ausnutzung erfahren; am 9. September 2026 aktualisierte Cisco das Dokument auf Version 2.5. Die US-Cybersicherheitsbehörde CISA nahm CVE-2026-20079 am selben Tag in ihren Katalog bekannt ausgenutzter Schwachstellen (KEV) auf und setzte zivilen Bundesbehörden eine Frist bis zum 12. September 2026 - drei Tage.

Talos verfolgt drei getrennte Angriffs-Cluster. UAT-11823 stuft das Team mit hoher Zuversicht als APT-Akteur ein, dessen Werkzeuge sich mit denen der russischen Gruppe Sandworm überschneiden; dieses Cluster installierte die Schadsoftware Cyclops Blink, die zuvor Sandworm zugeschrieben wurde. UAT-11988 hält Talos ebenfalls mit hoher Zuversicht für einen Ransomware-Betreiber, dessen Vorgehen zu dem von Qilin-Partnern passt - eine direkte Zuordnung vermeidet das Team. Das dritte Cluster, UAT-12197, setzte Web-Shells und einen JAR-basierten Befehlsausführer ein und stahl Zugangsdaten; dazu nennt Talos keine Zuordnung.

Eine zweite FMC-Schwachstelle taucht in derselben Berichterstattung auf und sollte nicht mit dieser verwechselt werden: CVE-2026-20316, ein fest einprogrammiertes Passwort, von Talos mit 5.3 bewertet und von Jimi Sebree von Horizon3.ai gemeldet. CISA nahm sie am 29. Juli 2026 in den KEV-Katalog auf, Frist war der 1. August. Laut Talos kombinierten sowohl das Sandworm-nahe als auch das Qilin-nahe Cluster diese Lücke mit der Authentifizierungsumgehung.

Warum das wichtig ist: Cisco zufolge gibt es keinen Workaround, sondern nur das Upgrade auf eine fehlerbereinigte Version; für die FMC-Versionen 7.0 bis 10.0 liegen Hotfixes vor. Unbekannt bleibt das Ausmaß - weder Cisco noch Talos nannten, wie viele Organisationen kompromittiert oder wie viele FMC-Systeme exponiert sind. BleepingComputer berichtete am 10. September 2026, Cisco plane für die Folgewoche ein umfassenderes Härtungs-Release.