FlawOpen

flawopen.com/Incidents/cisco-fmc-auth-bypass-qilin-sandworm-intrusions-september-2026

● Cisco Secure Firewall Management Center · CVE-2026-20079 · 2026-09-09 · CVSS 10.0 · Redaktionelle Schwere: Kritisch
Sicherheitsforschung · FlawOpen

Angriffe auf Cisco FMC: Auth-Bypass, Sandworm und Qilin

Cisco Talos dokumentierte drei getrennte Angriffsgruppen gegen das Cisco Secure Firewall Management Center (FMC). Die Aktivitäten umfassten eine Authentifizierungsumgehung mit CVSS 10.0, eine separate Schwachstelle durch statische Zugangsdaten und Folgeaktivitäten vom Diebstahl von Zugangsdaten bis zu Cyclops Blink und Qilin-Ransomware.[1], [2], [3]

💡 Einfache Erklärung (ELI5)

Ein Firewall-Manager ist der Kontrollraum für viele Netzwerktüren. Wer diesen Raum übernimmt, kann Schlüssel stehlen, die Überwachung ändern oder einen versteckten Zugang ins Gebäude schaffen. Talos beobachtete drei Gruppen, die kompromittierte FMC-Systeme unterschiedlich nutzten. Deshalb sind sowohl das Update des Managers als auch die Suche nach bereits erfolgter Kompromittierung nötig.[1]

Kernkonzepte & Begriffe

Management-Ebene
FMC-Oberfläche und -Dienste zur Verwaltung von Firewall-Geräten. Eine Kompromittierung kann Zugangsdaten offenlegen und als Sprungbrett in verwaltete Netze dienen.[1], [2]
CVE-2026-20079 (CWE-288)
Cisco stuft diese Authentifizierungsumgehung mit CVSS 10.0 ein. Laut Advisory kann ein beim Start angelegter, fehlerhafter Systemprozess einem nicht authentifizierten Angreifer aus der Ferne ermöglichen, Skripte auszuführen und Root-Zugriff zu erhalten.[2]
CVE-2026-20316 (CWE-259)
Eine separate Schwachstelle mit statischen Zugangsdaten und CVSS 5.3 erlaubt die Anmeldung mit einem Konto mit geringen Rechten. Cisco zufolge kann sie mit anderen FMC-Schwachstellen kombiniert werden; sie ist nicht dieselbe Schwachstelle wie CVE-2026-20079.[3]
Angriffsgruppe
Eine nachverfolgte Gruppe zusammenhängender Aktivitäten nach einer Kompromittierung. Talos unterscheidet drei Gruppen; ihre Zugriffswege und Ziele dürfen nicht zu einer einzigen Kette verallgemeinert werden.[1]
Einstufung der Vorfallauswirkungen
FlawOpen stuft die Auswirkungen redaktionell als Kritisch ein, weil Cisco CVE-2026-20079 mit CVSS 10,0 bewertet und Talos Folgepfade nach der Kompromittierung bis zu Cyclops Blink oder Qilin-Ransomware dokumentiert. Diese Einstufung des Vorfalls bedeutet nicht, dass CVE-2026-20316 selbst Kritisch ist; Cisco bewertet diese separate Schwachstelle mit CVSS 5,3.[2], [1], [3]

Framework-Zuordnungen

Vorfall-Zeitstrahl

2026-03-04

Cisco veröffentlichte CVE-2026-20079; CVE-2026-20316 wurde am 29. Juli offengelegt.[2], [3]

2026-07 bis 2026-08

Cisco gab später an, dass PSIRT im Juli von aktiver Ausnutzung von CVE-2026-20316 und im August von CVE-2026-20079 erfuhr.[2], [3]

2026-09-09

Talos beschrieb drei Gruppen und ihre unterschiedlichen Aktivitäten nach der Kompromittierung.[1]

2026-09-16

Cisco veröffentlichte Hardening-Versionen mit Korrekturen für beide CVEs und weitere intern entdeckte Schwachstellen.[4], [2], [3]

Schritt-für-Schritt Angriffsablauf

Schritt 1

Zwei getrennte Zugriffsschwachstellen

CVE-2026-20079 umgeht die Authentifizierung der Weboberfläche ohne Anmeldedaten und ermöglicht Skriptausführung mit Root-Rechten. CVE-2026-20316 betrifft statische Zugangsdaten für ein Konto mit geringen Rechten. Einige Angriffe verbanden beide; es handelt sich dennoch um zwei Schwachstellen.[2], [3]

Schritt 2

Talos verfolgte drei unterschiedliche Gruppen

UAT-12197 nutzte CVE-2026-20079 und setzte ein Webshell sowie einen JAR-basierten Kommandoausführer zum Zugriff auf Zugangsdaten ein. UAT-11823 nutzte beide CVEs, setzte Proxy-/Reverse-Shell-Werkzeuge und eine Cyclops-Blink-Variante ein; Talos berichtet von Werkzeugüberschneidungen mit Sandworm.[1], [2], [3]

Schritt 3

Die Qilin-Aktivität verlief separat

Laut Talos meldete sich UAT-11988 mit den statischen Zugangsdaten an, führte Aufklärung und Zugangsdatendiebstahl durch, richtete Tunnel ein und setzte Qilin-Ransomware auf ausgewählten Endpunkten ein. Talos bewertet mit hoher Zuversicht, dass es sich um einen Ransomware-Operator handelte.[1], [3]

Schritt 4

Aktualisieren und getrennt auf Kompromittierung prüfen

Die von Cisco dokumentierte Protokollsuche kann auf eine mögliche Ausnutzung hinweisen. Hotfix oder Hardening-Version verhindern künftige Ausnutzung, beseitigen laut Cisco aber nicht unbedingt eine bereits bestehende Kompromittierung; wenden Sie sich bei diesem Hinweis an den TAC.[2], [3], [4]

Quellcode: Verwundbar vs. Sicher

Dieses kurze Python-Beispiel veranschaulicht eine Autorisierungsgrenze; es ist weder Cisco-FMC-Quellcode noch eine Rekonstruktion der CVEs. Die verwundbare Variante löst eine privilegierte Aktion ohne Identitäts- oder Rechteprüfung aus; die gehärtete Variante verlangt Authentifizierung und eine ausdrückliche Verwaltungsberechtigung. Cisco beschreibt CVE-2026-20079 nur als fehlerhaften Systemprozess beim Start und veröffentlicht weder die betroffene Implementierung noch den Patch-Diff. Das Beispiel erklärt daher die Kontrollgrenze, ohne Cisco-Code zu behaupten.[2], [3]

VERWUNDBARE IMPLEMENTIERUNG
def invoke_management_action(identity, action):
    return action.execute()
GEHÄRTETER SICHERHEITS-PATCH
def invoke_management_action(identity, action):
    if identity is None:
        raise PermissionError('authentication required')
    if not identity.can_manage_firewall:
        raise PermissionError('management authorization required')
    return action.execute()

Checkliste für Engineering & Systemsicherheit

Quellen