Cisco hat die aktive Ausnutzung von zwei kürzlich geschlossenen Schwachstellen in der Software Secure Firewall Management Center bekannt gegeben. Drei verschiedene Gruppen von Bedrohungsakteuren mit Verbindungen zu Ransomware und staatlich unterstützten Angriffen sollen die Lücken genutzt haben, um Zugangsdaten zu stehlen und Qilin-Ransomware einzuschleusen. Eine exponierte Verwaltungsplattform wird damit zu einem Sicherheitsrisiko mit höchster Priorität.
Was Cisco bekannt gegeben hat
Eine der Lücken, CVE-2026-20079, ist eine kritische Schwachstelle zur Umgehung der Authentifizierung in der Weboberfläche des Secure Firewall Management Center. Sie könnte einem nicht angemeldeten Angreifer aus der Ferne erlauben, die Authentifizierung zu umgehen. Cisco berichtet, dass Angreifer die beiden geschlossenen Schwachstellen bereits in realen Kampagnen ausnutzen.
Die bekannt gewordenen Aktivitäten zeigen, wie mehrere Gruppen dieselbe Verwaltungstechnologie mit unterschiedlichen Zielen angreifen können, darunter Diebstahl von Zugangsdaten, Einsatz von Ransomware und staatlich unterstützte Operationen.
Warum Verwaltungssysteme schnelles Handeln erfordern
Systeme zur Firewall-Verwaltung nehmen eine sensible Stellung ein, weil Administratoren mit ihnen die Sicherheitsinfrastruktur steuern. Betrifft eine Schwachstelle diese Verwaltungsebene, müssen Verteidiger schnell klären, welche Systeme im Einsatz sind, welche Softwareversionen sie ausführen und ob die Behebung abgeschlossen ist.
Die wichtigsten Prioritäten der Reaktion:
Jede eingesetzte Instanz des Secure Firewall Management Center ermitteln.
Software- und Firmware-Versionen mit den aktuellen Sicherheitshinweisen von Cisco abgleichen.
Die passenden Patches und Gegenmaßnahmen des Herstellers einspielen.
Zugriffsaktivitäten prüfen und mögliche Offenlegungen von Zugangsdaten untersuchen.
Betroffene Zugangsdaten über einen genehmigten Prozess erneuern.
Die Konfigurationshistorie vor und nach der Behebung sichern.
Sicherstellen, dass der Verwaltungszugriff aus dem Internet angemessen eingeschränkt ist.
Von der Schwachstellenwarnung zur nachgewiesenen Behebung
Eine Schwachstellenmeldung ist nur der Anfang der Reaktion. Organisationen brauchen außerdem einen verlässlichen Weg, die betroffene Technologie realen Geräten zuzuordnen, Aufgaben zur Behebung zu verteilen, Änderungen nachzuverfolgen und zu prüfen, dass kein übersehenes System exponiert bleibt.
Das ist besonders wichtig in Multi-Vendor-Umgebungen, in denen Gerätedaten, Softwareinformationen, Konfigurations-Backups und Sicherheitsbefunde sonst auf verschiedene Werkzeuge und Tabellen verteilt sein können.
Wie ConnectMyAssets hilft
ConnectMyAssets bietet eine On-Premises-Plattform für die Betriebsdaten, die bei solchen Vorfällen benötigt werden, wobei alle Daten in der Umgebung der Organisation bleiben.
Die dynamische CMDB erkennt unterstützte Cisco-Infrastruktur automatisch und pflegt ein Inventar, mit dem Teams potenziell betroffene Geräte finden.
Das CVE-Tracking ordnet Schwachstelleninformationen einzelnen Geräten zu und hilft Teams, Geräte zu priorisieren, die untersucht oder behoben werden müssen.
Das Tracking von End of Life und End of Support zeigt Systeme, für die es möglicherweise keinen vom Hersteller unterstützten Update-Pfad mehr gibt.
Backup und Historie erfasst Konfigurationsstände mit SHA256-Prüfung und liefert Teams einen nachvollziehbaren Vorher-nachher-Nachweis sowie ein Rollback mit einem Klick für Konfigurationsänderungen.
Automatisierung und ZTP unterstützt den kontrollierten Rollout genehmigter Konfigurationsänderungen auf der verwalteten Infrastruktur.
Der Zugangsdaten-Tresor (Vault) zentralisiert die für die Netzwerkadministration genutzten Zugangsdaten, und die SSH-Bastion bietet protokollierten administrativen Zugriff über den Browser.
Die Compliance-Engine misst die Umgebung an Rahmenwerken wie NIS2, ISO 27001, PCI-DSS, CISA, NIST und HIPAA und verknüpft die Behebung mit übergeordneten Kontrollanforderungen.
Diese Funktionen ersetzen weder die Patches von Cisco noch dessen Hinweise zur Incident Response. Sie helfen Netzwerk- und Sicherheitsteams, die Exposition festzustellen, die Behebung zu koordinieren, Nachweise über Änderungen zu sichern und zu prüfen, dass die betroffenen verwalteten Geräte bearbeitet wurden.
Quelle: The Hacker News
