Hatte Cisco eine Backdoor eingebaut?

Es gibt keinen öffentlichen Beleg dafür, dass Cisco absichtlich eine Backdoor in sein Firewall Management Center eingebaut hat. Damit könnte die Frage erledigt sein. Sie ist es nicht.

Cisco bestätigte am 9. September 2026, dass die Schwachstelle CVE-2026-20079 aktiv ausgenutzt wird. Ein Angreifer kann die Anmeldung am Web-Interface umgehen und ohne Zugangsdaten Befehle mit Root-Rechten ausführen. Betroffen ist ausgerechnet die Instanz, mit der Unternehmen ihre Firewalls verwalten. Cisco bewertet die Lücke mit dem maximalen CVSS-Wert von 10.0. Eine Umgehungslösung gibt es nicht.

Der Hersteller erklärt die Schwachstelle mit einem fehlerhaft erzeugten Systemprozess. Das ist eine Ursachenbeschreibung, aber noch kein öffentlich überprüfbarer Nachweis über ihre Entstehung. Ob schwerer Programmierfehler, fahrlässige Qualitätssicherung oder absichtlich geschaffener Zugang, lässt sich mit den publizierten Informationen nicht abschliessend beurteilen.

Für CIO und CISO ist genau diese Unsicherheit entscheidend. Sie müssen Cisco keine Absicht unterstellen. Sie dürfen die Möglichkeit aber auch nicht aus ihrer Risikobeurteilung entfernen, nur weil der Beleg für eine Absicht fehlt.

Was eine Backdoor von einer Schwachstelle unterscheidet

Das National Institute of Standards and Technology beschreibt eine Backdoor als einen undokumentierten Weg, Zugang zu einem System zu erhalten. Eine Schwachstelle ist demgegenüber eine ausnutzbare Schwäche, die unerwünschte Auswirkungen ermöglicht. Von aussen können beide nahezu gleich aussehen. Die Unterscheidung liegt vor allem darin, wie und weshalb der Zugang entstanden ist.

Ein Programmierfehler kann unbeabsichtigt einen Weg ins System öffnen. Eine Backdoor wird dagegen typischerweise geschaffen oder bewusst erhalten, um vorgesehene Sicherheitskontrollen zu umgehen. Genau diese Absicht lässt sich bei CVE-2026-20079 mit den öffentlich verfügbaren Informationen nicht belegen. Cisco erklärt die Schwachstelle mit einem fehlerhaft erzeugten Systemprozess. Eine unabhängige technische Aufarbeitung, aus der sich die Entstehung abschliessend beurteilen liesse, liegt öffentlich nicht vor.

Die Wirkung ähnelt einer Backdoor

Für die unmittelbare Risikobeurteilung ist die ungeklärte Absicht nicht der wichtigste Punkt. Entscheidend ist, was ein Angreifer tatsächlich erreichen kann. Hier handelt es sich nicht um einen begrenzten Informationsabfluss oder den Absturz eines Dienstes. Der Angreifer kann ohne Anmeldung Befehle als Root ausführen.

Besonders kritisch ist das betroffene System. Das Firewall Management Center verwaltet eine zentrale Sicherheitskontrolle des Unternehmens. Wer diese Managementebene beherrscht, könnte Konfigurationen verändern, administrative Zugänge schaffen oder die Verlässlichkeit von Protokollen beeinträchtigen. Welche Handlungen bei den beobachteten Angriffen tatsächlich erfolgten, hat Cisco nicht öffentlich beschrieben.

Die Schwachstelle umgeht die Authentisierung vollständig und verschafft einem Angreifer Root-Rechte. Cisco führt dies auf einen Prozess zurück, der beim Systemstart fälschlicherweise erzeugt wird. Gerade diese Erklärung wirft weitere Fragen auf: Wie kann ein solcher Prozess entstehen, die Authentisierung aushebeln und höchste Systemrechte ermöglichen, ohne bei Architekturprüfung, Code Review oder Sicherheitstests aufzufallen? In einem modernen Secure Software Development Lifecycle sollte ein derartiger Zugriffspfad entdeckt werden. Zumindest eines ist sicher: Die Kontrollmechanismen bei Cisco haben an diesem Punkt versagt.

Was nach dem Patch übrig bleibt

Das Update ist zwingend, beantwortet aber nur einen Teil der Risikofrage. Cisco weist selbst darauf hin, dass der Hotfix eine künftige Ausnutzung verhindert, eine bereits bestehende Kompromittierung jedoch möglicherweise nicht behebt. Als mögliches Anzeichen nennt der Hersteller die Datei /var/tmp/license.tmp und empfiehlt bei einem Verdacht, das Cisco Technical Assistance Center einzubeziehen.

Das Restrisiko hängt deshalb nicht allein vom Patchstand ab. Relevant sind auch die bisherige Erreichbarkeit der Managementschnittstelle, der Zeitraum der Exposition und vorhandene Spuren. Wurde die Lücke bereits ausgenutzt, können Änderungen am System den bekannten Zugang überdauern. Ein fehlendes bekanntes Anzeichen ist zudem nicht dasselbe wie der positive Nachweis eines vertrauenswürdigen Zustands.

Der Entscheid für CIO und CISO

CIO und CISO müssen die Frage «Backdoor oder Fehler?» nicht abschliessend beantworten, um richtig zu handeln. Sie müssen entscheiden, ob ihre eigene FMC-Instanz exponiert war, ob Hinweise auf einen Zugriff bestehen und ob das verbleibende Risiko nach dem Update akzeptabel ist. Bei begründetem Verdacht reicht es nicht, nur die Software zu aktualisieren. Dann sind forensische Sicherung, Prüfung abhängiger Vertrauensbeziehungen und gegebenenfalls ein Neuaufbau aus vertrauenswürdigen Quellen zu beurteilen.

Hatte Cisco also eine Backdoor eingebaut? Dafür gibt es derzeit keinen Beleg. Ebenso falsch wäre es, aus der Bezeichnung «Schwachstelle» auf ein geringeres Risiko zu schliessen. Die Absicht bleibt offen. Die technische Wirkung ist bekannt: ein aktiv ausgenutzter, undokumentierter Weg zu Root-Rechten auf einer zentralen Sicherheitsinstanz. Für die Führung zählt zunächst diese Wirkung.

Quellen

• Cisco: Security Advisory zu CVE-2026-20079
• BleepingComputer: Cisco bestätigt aktive Ausnutzung
• SecurityWeek: Warnung vor der FMC-Ausnutzung
• NIST: Backdoor und NIST: Vulnerability
• NIST: Secure Software Development Framework