Die US-Behörde CISA hat drei aktiv ausgenutzte Sicherheitslücken in Firewalls von Cisco, Citrix und Fortinet in ihren Pflichtkatalog aufgenommen. Die schwerste sitzt in Ciscos Firewall Management Center und trägt die CVSS-Höchstwertung 10.0: Angreifer erhalten Root-Rechte ohne gültiges Passwort. Mindestens drei Angreifergruppen nutzen die Lücke bereits, darunter die russische Militär-Hackereinheit Sandworm.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Eine Firewall soll das Netzwerk schützen, nicht öffnen. Genau das kehrt die Sicherheitslücke in Ciscos Firewall Management Center um, denn die gekaperte Verwaltungszentrale steuert die gesamte Firewall-Flotte dahinter.
Das Wichtigste in Kürze
- CVE-2026-20079 im Cisco Firewall Management Center: Die Authentifizierung lässt sich umgehen, danach winken Root-Rechte auf dem System (CVSS 10.0).
- CISA setzte am 9. September drei Appliance-Lücken bei Cisco, Citrix NetScaler und Fortinet auf ihren Katalog bekannter ausgenutzter Schwachstellen; US-Behörden müssen bis zum 12. September patchen.
- Mindestens drei Angreifergruppen sind aktiv, darunter Sandworm mit der Schadsoftware Cyclops Blink und ein Partner der Qilin-Ransomware.
- Ciscos vollständige Hotfixes kommen erst in der Woche ab dem 14. September; bis dahin zählen abgeschottete Zugänge und eine gezielte Spurensuche.
Wie wird die Schutz-Appliance zum Generalschlüssel?
Das Cisco Firewall Management Center verwaltet ganze Flotten von Firewalls von einer Stelle aus. Verwaltungsebene als Ziel: Die Lücke CVE-2026-20079 gehört zur Klasse der Authentifizierungs-Umgehung über einen alternativen Pfad. Ein unauthentifizierter Angreifer schleust darüber Skripte ein und landet mit Root-Rechten auf dem Betriebssystem.[1] Dieselbe Schwachstellenklasse steckt in der zweiten Katalog-Lücke, dem Citrix NetScaler ADC und Gateway im Betrieb als AAA- oder VPN-Server.[1] Nicht der Arbeitsplatz fällt zuerst, sondern das Gerät, das den Perimeter absichern soll.
Wer nutzt die Lücke bereits aus?
Cisco Talos beobachtet drei getrennte Angriffscluster auf ungepatchten Systemen.[2] Sandworm im Spiel: Eine Gruppe rechnet Talos der russischen GRU-Einheit Sandworm zu, die das modulare Implantat Cyclops Blink absetzt; ein weiterer Cluster brachte nach dem Einbruch die Qilin-Ransomware aus.[2] Das Muster ist bekannt: Erst im Juli kaperten Angreifer Fortinets FortiSandbox, dieselbe Qilin-Bande öffnete zuvor eine Palo-Alto-VPN-Lücke, und selbst CrowdStrikes Falcon-Sensor wurde zur Angriffsfläche. Sicherheitsprodukte am Netzrand sind zur bevorzugten Beute geworden.
Eine Firewall-Zentrale mit Root-Zugang in fremder Hand ist kein Einzelschaden, sondern ein Generalschlüssel zum ganzen Netz. Cisco, Citrix und Fortinet gehören jetzt auf den Prüfstand, nicht erst nächste Woche.
— Markus Seyfferth, Chefredakteur Dr. Web
Was müssen DACH-Unternehmen jetzt tun?
Die Frist zum 12. September bindet nur US-Behörden, die Lücken stehen aber in Rechenzentren weltweit.[1] NIS2 verschärft die Pflicht: Unter der NIS2-Richtlinie und dem deutschen Umsetzungsgesetz müssen betroffene Betreiber bekannte, ausgenutzte Schwachstellen unverzüglich schließen und schwere Vorfälle dem BSI melden. Ciscos vollständige Hotfixes erscheinen laut Talos erst in der Woche ab dem 14. September.[2] Bis dahin sollten Betreiber die Verwaltungsoberflächen vom offenen Internet trennen, Zugangsdaten rotieren, nach den von Talos genannten Spuren wie Web-Shells und ungewöhnlichen Prozessen suchen und kompromittierte Systeme forensisch sichern. Die Cybersecurity-Grundlagen für KMU und das Cybersecurity-Glossar ordnen die Begriffe für Entscheider ein.
Drei Angreifer, ein Ziel
Quellen
[1] CISA: „CISA Adds Four Known Exploited Vulnerabilities to Catalog“
[2] Cisco Talos: „Active exploitation of Cisco Secure Firewall Management Center vulnerabilities“
Mehr Newshunger?
- CrowdStrike Falcon: Zero-Day macht die Schutzsoftware zur Angriffsfläche
- Vom Schutzschild zum Einfallstor: Angreifer kapern Fortinets FortiSandbox
- Qilin-Ransomware nutzt Palo-Alto-VPN-Lücke: Wenn ein Cookie die Firewall öffnet
- Berliner Datenleck: 5,8 Terabyte Behördendaten im Darknet
- Münchener Rück: KI macht den Cyberangriff zum Massengeschäft
- Gunra-Ransomware: Zwei alte Fortinet-Lücken öffnen die Firewall
