Intel

CVE-2026-20131

Cisco Secure Firewall Management Center (FMC) — Cisco Secure Firewall Management Center (FMC) Software and Cisco Security Cloud Control (SCC) Firewall Management Deserialization of Untrusted Data V…

criticalRansomwareKEV: aktiv ausgenutztPoCEPSS 31 %

Beschreibung

Eine Schwachstelle in der webbasierten Verwaltungsoberfläche des Cisco Secure Firewall Management Center (FMC) Software könnte es einem unauthentifizierten, entfernten Angreifer ermöglichen, beliebigen Java-Code als root auf einem betroffenen Gerät auszuführen. Diese Schwachstelle ist auf die unsichere Deserialisierung eines von Benutzern bereitgestellten Java-Byte-Stroms zurückzuführen. Ein Angreifer könnte diese Schwachstelle ausnutzen, indem er eine manipulierte serialisierte Java-Objekt an die webbasierte Verwaltungsoberfläche eines betroffenen Geräts sendet. Bei einem erfolgreichen Angriff könnte der Angreifer beliebigen Code auf dem Gerät ausführen und seine Berechtigungen auf root erhöhen. Hinweis: Wenn die FMC-Verwaltungsoberfläche keinen Zugang zum öffentlichen Internet hat, wird die mit dieser Schwachstelle verbundene Angriffsfläche reduziert.

Quelle: BSI_CSAFBSICISA_KEVCVEORGCVELISTV5CISCO_CSAF

Behebung & Mitigation

Warum sofort handeln?

Priorisierung

CVE-2026-20131 erhält CVSS 10.0 (AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H) — die maximale Bewertung — weil ein nicht authentifizierter Angreifer aus dem Netz heraus ohne jede Benutzerinteraktion Root-Code-Ausführung auf dem zentralen Firewall-Management-System erzielen kann; ein kompromittiertes FMC ermöglicht die vollständige Neukonfiguration aller angebundenen Firewall-Instanzen (FTD). Der EPSS-Wert von 31,2 % im 98,2. Perzentil signalisiert eine sehr hohe Ausnutzungswahrscheinlichkeit in der nahen Zukunft, und die CISA-Kennzeichnung als aktiv in Ransomware-Kampagnen genutzt erhöht die Dringlichkeit für KRITIS-Betreiber erheblich. Organisationen, deren FMC-Interface — auch unbeabsichtigt — aus dem Internet erreichbar ist, müssen diesen Patch als P0-Notfall behandeln; selbst intern exponierte FMC-Systeme sind aufgrund des Scope-Werts (S:C) als kritisch einzustufen, da ein Angreifer mit Netzwerkzugang zum Management-Segment die gesamte Netzwerksicherheitsarchitektur übernehmen kann.

Runbook · Schritt 1

Sofort-Response (0-24 h)

  • Patch einspielen (höchste Priorität): Cisco hat einen Fix für CVE-2026-20131 veröffentlicht — die exakte gepatchte Version ist im Cisco Security Advisory (cisco.com/go/psirt) zu verifizieren und umgehend einzuspielen. Gleiches gilt für Cisco Security Cloud Control (SCC) Firewall Management.
  • Management-Interface vom Internet isolieren: Das FMC-Webinterface (Standard-Port 443/TCP) darf unter keinen Umständen direkt aus dem Internet erreichbar sein. Firewall-Regeln und ACLs sofort prüfen und ggf. auf dedizierte Management-VLANs oder Out-of-Band-Netze beschränken.
  • Zugriff auf autorisierte Management-Hosts einschränken: Auf dem FMC unter System → Configuration → Access List ausschließlich explizit genehmigte IP-Adressen/Ranges zulassen; alle anderen Quellen blockieren.
  • Aktive Sessions und Logs auf Kompromittierungshinweise prüfen: Alle aktuellen Sitzungen auf dem FMC beenden, Audit-Logs (/var/log/, FMC-Systemlogs) auf unbekannte Prozesse mit Root-Kontext oder unerwartete Java-Prozesse sichten.
  • Netzwerksegmentierung validieren: Sicherstellen, dass das FMC-Segment keine laterale Bewegung in Richtung Produktionsnetz oder angebundene Firewall-Geräte (FTD) erlaubt; Ost-West-Filterregeln sofort nachziehen.
  • Incident-Response-Prozess aktivieren: Bei Verdacht auf erfolgreiche Ausnutzung (Root-Prozesse, unbekannte Cron-Jobs, neue SSH-Keys) sofort forensische Sicherung des Systems einleiten und CISO sowie ggf. BSI-Meldepflicht (NIS2 Art. 23) prüfen.

Runbook · Schritt 2

Mitigation-Layer

  • Netzwerkebene — Zugriff auf Port 443/TCP des FMC-Interface auf Allowlist beschränken: Perimeter-Firewall oder vorgelagerte ACL so konfigurieren, dass ausschließlich definierte Jump-Hosts oder Management-Workstations das FMC-Webinterface erreichen können.
  • IPS/WAF-Regel — Deserialisierungs-Payloads blockieren: Auf vorgelagerten IPS-Systemen (z. B. Snort 3) Signaturen für Java-Deserialisierungs-Angriffsmuster aktivieren (Snort SID-Klasse policy-violation, Payloads mit aced0005 Magic-Bytes im HTTP-Body). Suricata-Regel-Ansatz: alert http any any -> $FMC_IP 443 (msg:"Java Deserialization Attempt CVE-2026-20131"; content:"|ac ed 00 05|"; http_client_body; sid:9999001;).
  • Endpoint-Härtung auf dem FMC-Host: Java-Deserialisierungsfilter (JEP 290 / jdk.serialFilter) soweit möglich in der FMC-Applikationskonfiguration aktivieren — nur nach Rücksprache mit Cisco TAC, um Supportabilität zu erhalten.
  • IAM/Least-Privilege: Sicherstellen, dass FMC-API-Tokens und Admin-Credentials nicht in CI/CD-Pipelines oder Skripten im Klartext vorliegen; alle Passwörter rotieren, die potenziell über das kompromittierte Interface exponiert waren.
  • Logging und SIEM-Forwarding sicherstellen: FMC-Systemlogs und Audit-Events in Echtzeit an ein externes SIEM weiterleiten, damit bei einer Kompromittierung des FMC die Logintegrität gewahrt bleibt.

Runbook · Schritt 3

Detection-Regeln

  • Netzwerk-Telemetrie (Zeek/Suricata): HTTP-POST-Requests an das FMC-Webinterface mit Body-Inhalt, der die Java-Serialisierungs-Magic-Bytes \xac\xed\x00\x05 enthält, als hochprioritären Alert klassifizieren. Suricata-Signatur-Ansatz siehe Mitigation-Layer.
  • EDR/Prozess-Anomalie: Unerwartete Kindprozesse des FMC-Webserver-Prozesses (z. B. httpd, java) mit Root-UID, insbesondere Shell-Spawns (/bin/bash, /bin/sh) oder Netzwerkverbindungen nach außen — Sysmon-äquivalent auf Linux: auditd Regel execve mit uid=0 und Parent-Prozess java.
  • Sigma-Regel (Prozess-Ebene): 
    title: FMC Java Root Shell Spawn (CVE-2026-20131)
logsource: {product: linux, category: process_creation}
detection:
  selection:
    ParentImage|contains: 'java'
    User: 'root'
    Image|endswith: ['/bash', '/sh', '/python', '/curl', '/wget']
  condition: selection
  • Authentifizierungs-Logs: Fehlgeschlagene und erfolgreiche Logins auf dem FMC aus unbekannten Quell-IPs — insbesondere direkt nach einem HTTP-POST ohne vorherige Authentifizierungssequenz (deutet auf Pre-Auth-Exploit hin). KQL-Ansatz: event.dataset:"cisco.fmc" AND http.request.method:"POST" AND http.response.status_code:(200 OR 500) AND NOT source.ip:(allowlist).
  • Persistenz-Indikatoren: Neue oder veränderte Cron-Jobs (/etc/cron*), neue SSH-Authorized-Keys unter /root/.ssh/, unbekannte SUID-Binaries — via auditd Regel auf open und write Syscalls in diesen Pfaden mit uid=0.

Metriken

Severity
critical
Priority-Score
226.22
KEV-Status
Aktiv ausgenutzt
Exploit-Reife
aktiv ausgenutzt (KEV)
XIEM Effective CVSS
10.0
Quelle: nvd-v3
CVSS v3
10.0
CVSS v4
—
EPSS-Perzentil
98.2 %
Kritisch — CVE liegt im obersten Fünftel aller heute bewerteten CVEs (Rang ≥ 80 %).
EPSS-Score
31.2 %
Erhöht — Modell schätzt 10-50 % Ausnutzungs-Wahrscheinlichkeit.
Veröffentlicht
2026-03-19 00:00 UTC
CWE
CWE-502

Weakness-Klassen (CWE)

  • CWE-502Base

    Deserialization of Untrusted Data

    The product deserializes untrusted data without sufficiently ensuring that the resulting data will be valid.

    cwe.mitre.org →

Öffentliche Exploit-Referenzen

Öffentliche Proof-of-Concepts und Detection-Templates für diese Schwachstelle. Die Reife reicht von gemeldeten PoCs über funktionsfähige Detection-Skripte bis hin zu vollständig waffenfähigen Exploit-Modulen. NEOSEC mirrort den Code intern für forensische Analysen; nach außen verlinken wir ausschließlich auf die Original-Quellen.

Quellen & Referenzen

IDCVE-2026-20131