Es ist bereits die dritte FMC-Schwachstelle, die 2026 in den KEV-Katalog der CISA aufgenommen wurde. Zuvor waren dort CVE-2026-20316 und CVE-2026-20131 gelandet, die Angreifer jeweils als Zero-Days ausgenutzt hatten.
Ciscos Forschungs- und Threat-Intelligence-Einheit Talos berichtete am Mittwoch, ihr seien drei Aktivitätscluster bekannt, die CVE-2026-20079 und CVE-2026-20316 ausnutzen. Dazu zählen sowohl staatlich gesteuerte Akteure als auch finanziell motivierte Gruppen.
Das erste Cluster führt Talos unter der Bezeichnung UAT-12197. Diese Gruppe nutzte CVE-2026-20079 aus und installierte eine Web-Shell, über die anschließend eine bösartige JAR-Datei ausgeliefert wurde. Damit gelangten die Angreifer an Authentifizierungsdaten und Zugangsdaten der Nutzer aus dem kompromittierten System.
Das zweite Cluster trägt die Kennung UAT-11823 und wird von Talos der russischen APT-Gruppe Sandworm zugeordnet. Sie nutzte beide FMC-Schwachstellen aus und brachte die Schadsoftware Cyclops Blink auf die Systeme. Das von Talos beobachtete Cyclops-Blink-Sample erlaubt seinem Betreiber, Dateien herunter- und hochzuladen, Zugangsdaten abzugreifen, beliebige Dateien und Befehle auszuführen sowie das Netzwerk zu scannen.
Das dritte Cluster, UAT-11988, wird mutmaßlich der Ransomware-Gruppe Qilin zugerechnet. Dieser Akteur nutzte CVE-2026-20316, um Zugang zu anvisierten FMC-Geräten zu erlangen, führte dort Aufklärung durch, stahl Zugangsdaten und erstellte eine Liste von Endpunkten, die sich für eine spätere Verschlüsselung ins Visier nehmen lassen.
Für Betreiber betroffener Installationen bleibt der Weg klar umrissen: Die von Cisco bereitgestellten Patches beheben die Lücke. Zusätzlich reduziert es die Angriffsfläche erheblich, wenn die Verwaltungsoberfläche des FMC nicht über das Internet erreichbar ist. Die Ende Juli veröffentlichten Kompromittierungsindikatoren aus Ciscos Advisory bieten zudem einen Ansatzpunkt, um bereits erfolgte Zugriffe nachträglich zu erkennen.