Eine kritische Schwachstelle in Ciscos Secure Firewall Management Center, die auf dem Common Vulnerability Scoring System die maximal mögliche Schweregradbewertung von 10 von 10 Punkten trägt, wird in Deutschland mehr als sechs Monate nach Veröffentlichung der Patches weiterhin aktiv ausgenutzt. Cisco aktualisierte seine Sicherheitswarnung am 10. September 2026, um fortlaufende Angriffe zu bestätigen, wobei die ersten dokumentierten Vorfälle auf den August zurückgehen.

Die Schwachstelle ermöglicht es einem unauthentifizierten Angreifer, eine manipulierte HTTP-Anfrage an eine verwundbare FMC-Appliance zu senden und Root-Zugang zu erlangen. Root ist die höchste Privilegienstufe auf dem System. Ein Angreifer mit Root-Zugang kann Firewall-Regeln ändern, Sicherheitsfunktionen deaktivieren und persistente Hintertüren installieren. Es sind keine Zugangsdaten erforderlich. Es ist keine Benutzerinteraktion nötig.

Was der FMC tatsächlich steuert

Das Secure Firewall Management Center, bekannt als FMC, ist die zentrale Plattform zur Konfiguration und Überwachung von Cisco-Firewalls in Unternehmensnetzwerken. Es ist kein peripheres Werkzeug. Eine Kompromittierung des FMC bedeutet nicht die Kompromittierung einer einzelnen Firewall. Sie bedeutet die Kompromittierung des Systems, das jede Firewall am Perimeter der Organisation steuert, von Regelsätzen über Traffic-Inspektionsrichtlinien bis hin zu Konfigurationen der Bedrohungsabwehr.

Der Angriff selbst ist unkompliziert. Ein Angreifer sendet eine speziell manipulierte HTTP-Anfrage an das FMC-Webinterface, und wenn das System nicht gepatcht ist, wird die Anfrage mit Root-Privilegien ausgeführt. CVSS-10-Schwachstellen sollen die dringendste Klasse von Sicherheitslücken darstellen: trivial auszunutzen, mit schwerwiegenden Folgen und ohne mildernde Faktoren.

Was Angreifer mit ihrem Zugang getan haben, bleibt unklar. Ciscos Warnung führt keine spezifischen Aktivitäten nach der Kompromittierung auf, und unabhängige Analysen haben die Lücke noch nicht geschlossen. Sicherheitsexperten, die mit den Vorfällen vertraut sind, gehen davon aus, dass Angreifer mindestens Firewall-Regeln deaktiviert, Sicherheitsrichtlinien geschwächt oder persistenten Zugang für spätere Nutzung etabliert haben. Das Fehlen dokumentierter bösartiger Aktivitäten bedeutet nicht, dass keine stattgefunden haben. Eine kompromittierte Firewall-Management-Plattform ist ein idealer Ausgangspunkt für langfristige Spionage oder seitliche Bewegungen in Unternehmensnetzwerken, genau die Art von Zugang, den versierte Angreifer bevorzugt geheim halten.

Sechs Monate verfügbare Patches

Cisco offenbarte die Schwachstelle und veröffentlichte Patches im März 2026. Dass Systeme im September weiterhin ausgenutzt werden, offenbart eine erhebliche Lücke zwischen der Offenlegung von Schwachstellen und deren Behebung in deutschen Unternehmensnetzwerken. Der Heise-Bericht, der die fortlaufende Ausnutzung stärker in den Blick rückte, stellte fest, dass Administratoren offensichtlich nicht alle FMC-Installationen auf den neuesten Stand gebracht hatten.

Die Formulierung ist zurückhaltend. Die Situation ist es nicht: Eine Schwachstelle mit maximalem Schweregrad in einer Sicherheitsmanagement-Plattform, für die seit einem halben Jahr ein Patch verfügbar ist, wird weiterhin erfolgreich ausgenutzt. Jeder Tag, an dem ein FMC ungepatcht bleibt, ist ein Tag, an dem ein Angreifer mit einer einfachen HTTP-Anfrage die vollständige Kontrolle über die Firewall-Infrastruktur einer Organisation übernehmen kann.

Warum Administratoren nicht gepatcht haben

Das Patchen von kritischer Infrastruktur in Unternehmen ist oft langsam. Change-Management-Prozesse, Testanforderungen und Freigabeworkflows können die Bereitstellung um Wochen oder Monate verzögern. Einigen Organisationen fehlt möglicherweise die vollständige Übersicht darüber, welche Geräte verwundbar sind. Andere betreiben möglicherweise FMC-Versionen, die den Patch nicht ohne ein umfassenderes Plattform-Update akzeptieren können, was aus einer Sicherheitskorrektur ein Großprojekt macht.

In einigen Fällen wird die Firewall-Management-Plattform selbst schlicht übersehen. Firewalls ziehen Aufmerksamkeit auf sich. Die Systeme, die sie verwalten und in internen Netzwerken mit weniger direkter Exposition liegen, können von der Prioritätenliste verschwinden. Das Bundesamt für Sicherheit in der Informationstechnik, das BSI, hat Organisationen wiederholt aufgerufen, ihre Patch-Praktiken zu verbessern, aber das Tempo der Behebung von Schwachstellen in kritischer Infrastruktur bleibt eine landesweite Schwachstelle.

Das gesamteuropäische Patch-Defizit

Deutschland ist nicht allein mit Problemen bei der Patch-Disziplin, obwohl die aktuelle Ausnutzung dort konzentriert zu sein scheint. In ganz Europa überschreiten die Patch-Zeitlinien von Unternehmen für kritische Schwachstellen routinemäßig das 48-bis-72-Stunden-Fenster, das Sicherheitsexperten für Schwachstellen mit maximalem Schweregrad empfehlen. Die Agentur der Europäischen Union für Cybersicherheit hat die Lücke zwischen Schwachstellenoffenlegung und Behebung in ihren jährlichen Berichten zur Bedrohungslage als systemisches Problem hervorgehoben.

Der Cisco-FMC-Fall veranschaulicht eine spezifische Gefahr: Das Gerät, das die Sicherheitsrichtlinien verwaltet, wird zum Angriffsvektor. Organisationen, die in Next-Generation-Firewalls investieren, aber die Management-Plattform vernachlässigen, bauen faktisch eine Festung mit einer unverschlossenen Hintertür. Wenn die Management-Ebene kompromittiert ist, können die von ihr gesteuerten Firewalls nicht mehr als vertrauenswürdig gelten, selbst wenn die Firewalls selbst vollständig gepatcht sind.

Sofortmaßnahmen für betroffene Organisationen

Ciscos Warnung ist eindeutig: Die Patches vom März 2026 sofort installieren. Organisationen, die nicht sofort patchen können, sollten den Netzwerkzugang zum FMC-Management-Interface einschränken und Verbindungen auf vertrauenswürdige interne Netzwerke und spezifische IP-Bereiche begrenzen. Die Überwachung der FMC-Protokolle auf ungewöhnliche HTTP-Anfragen würde helfen, Ausnutzungsversuche gegen noch verwundbare Systeme zu erkennen.

Für Organisationen, die möglicherweise bereits kompromittiert wurden, ist die Reaktion komplexer. Das Patchen eines kompromittierten Systems entfernt keinen Angreifer, der persistenten Zugang etabliert hat. Eine vollständige forensische Untersuchung, einschließlich der Überprüfung von Firewall-Regeländerungen und Netzwerk-Traffic-Protokollen ab mindestens August 2026, wäre erforderlich, um festzustellen, ob eine Sicherheitsverletzung stattgefunden hat. Jede Firewall, die von einer kompromittierten FMC-Instanz verwaltet wird, sollte bis zu einer unabhängigen Überprüfung als potenziell nicht vertrauenswürdig eingestuft werden.

Organisationen

Cisco