Cisco FMC Zero-Day Interlock: Totalverlust der Netzwerksicherheit

Interlock hat eine CVSS-10-Lücke in Ciscos FMC 36 Tage als Zero-Day genutzt. So wurde das Firewall-Management-Interface zum Einfallstor.

20. April 2026 um 13:30 Uhr / Eine Analyse von Steffen Zahn

Angreifer schicken einen präparierten HTTP-Request an einen Pfad im Web-Interface - und schon läuft beliebiger Java-Code als Root auf dem FMC-System. Bild: jamesmarkosborne/Pixabay

Am 26. Januar 2026 begann die Interlock-Ransomware-Gruppe, eine kritische Schwachstelle im Cisco Secure Firewall Management Center (FMC) auszunutzen. FMC ist Ciscos zentrale Verwaltungskonsole für Unternehmens-Firewalls, über die Admins Regelsätze, VPN-Konfigurationen und Intrusion Detection steuern. Cisco wusste zu diesem Zeitpunkt nichts von der Lücke. Der Patch kam erst am 4. März, 36 Tage später. In dieser Zeit hatten die Angreifer ungehinderten Root-Zugriff auf jedes exponierte FMC-System weltweit.

Amazons Threat-Intelligence-Team entdeckte die Kampagne über Madpot, ein globales Honeypot-Netzwerk, das Angriffsversuche in Echtzeit beobachtet und analysiert. Die US-Behörde Cisa nahm die Schwachstelle CVE-2026-20131 am 19. März in den Known Exploited Vulnerabilities Katalog (KEV) auf, also die offizielle Liste aktiv ausgenutzter Sicherheitslücken. Für US-Behörden lief die Patch-Frist bis zum 22. März. Für alle anderen gilt: Wer noch nicht gepatcht hat, muss davon ausgehen, dass sein System kompromittiert wurde.