Der ausgenutzte Cisco-Fehler bekam nur 5,3

Zwei Bewertungen auf einer Seite, die sich widersprechen

Am 29. Juli 2026 um 16:00 GMT veröffentlichte Cisco eine Sicherheitsmeldung zur Software des Secure Firewall Management Center, und das Dokument widerspricht sich auf eine Weise, die genaues Lesen lohnt. Die Schwachstelle ist CVE-2026-20316, intern als Bug CSCwt95997 geführt. Cisco vergibt einen CVSS-Basiswert nach Version 3.1 von 5,3, was in den mittleren Bereich fällt, und weist auf derselben Seite eine Security Impact Rating von hoch aus. Beide Zahlen entstehen aus verschiedenen Verfahren. Die erste ist Arithmetik über eine Vektorzeichenkette. Die zweite ist ein Urteil von Menschen, die wissen, was das Produkt tut und wo Kunden es hinstellen.

Wenn ein Hersteller seine eigene Arithmetik übersteuert, ist die Übersteuerung das Signal. Cisco hat den Wert nicht angehoben, was der bequemere Weg gewesen wäre; die 5,3 blieb stehen, und daneben kam die höhere qualitative Einstufung. Diese Kombination ist die Aussage des Unternehmens in den einzigen zwei Sprachen, die ihm zur Verfügung stehen: die Formel beschreibt das korrekt und verfehlt trotzdem den Kern. Die meisten Organisationen nehmen die erste Zahl automatisiert auf und die zweite überhaupt nicht, denn die erste kommt über eine Schnittstelle und die zweite als Fließtext.

Was der Vektor misst und was er auslässt

Der Vektor lautet AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N, und jeder Term darin leistet ehrliche Arbeit. Die Schwachstelle ist über das Netz erreichbar, verlangt geringe Angriffskomplexität, benötigt weder Rechte noch Nutzerinteraktion und verändert den Geltungsbereich nicht. Dann die Auswirkungen: Vertraulichkeit gering, Integrität keine, Verfügbarkeit keine. Wer das ausnutzt, darf einiges lesen und nichts verändern. In die Formel gegeben ergibt das 5,3, und die Formel irrt sich nicht. Sie hat die Frage beantwortet, die ihr gestellt wurde.

Nicht gestellt wurde die Frage, wo das Gerät steht. Das Secure Firewall Management Center ist die Managementebene, die Konsole, von der aus Firewall-Richtlinien geschrieben und in den Bestand ausgerollt werden. Lesezugriff auf dieser Maschine ist kein Blick in die Daten eines Systems, sondern Aufklärung über den Perimeter selbst, über Regelwerke, Objektgruppen und die Frage, welche Standorte es überhaupt gibt. Für so etwas hat CVSS kein Feld. Die Position ist genau das, was ein Basiswert bewusst ausschließt, weil der Standard zwischen Organisationen wandern soll, die dasselbe Produkt unterschiedlich betreiben. Der Preis dieser Übertragbarkeit ist, dass die Zahl Ihre Topologie nicht kennen kann.

Drei Tage, auf einer Uhr, die nicht Ihre ist

CISA nahm CVE-2026-20316 am 29. Juli in den Katalog bekannter ausgenutzter Schwachstellen auf, mit Fälligkeit zum 1. August, unter der Binding Operational Directive 26-04. Die geforderte Maßnahme lautet: Gegenmaßnahmen gemäß Herstelleranweisung anwenden, und falls keine Behebung verfügbar ist, die Nutzung des Produkts einstellen. Der Katalog führt inzwischen mehr als 1.600 Einträge. Beim Feld zur bekannten Nutzung in Ransomware-Kampagnen steht Unbekannt, und das ist eine Aussage über Sichtbarkeit, nicht über Sicherheit.

Diese Direktive bindet US-Bundesbehörden. Sie bindet keinen Maschinenbauer in Bayern und keinen Logistiker in Duisburg, und niemand sollte in der Annahme patchen, sie täte es. Was den Atlantik unversehrt überquert, ist der Befund, denn ein Katalogeintrag ist die behördliche Feststellung, dass Ausnutzung in freier Wildbahn beobachtet wurde. Nach NIS2 müssen wesentliche und wichtige Einrichtungen den Umgang mit Schwachstellen als Führungsaufgabe organisieren, weshalb die Entscheidung in beide Richtungen schriftlich endet. Das BSI ist die Stelle, von der eine deutsche Warnung käme. Eine dreitägige US-Frist bewusst nicht einzuhalten ist eine vertretbare Position, und eine deutlich schwächere ohne den Vermerk, der sie begründet.

Ein Passwort, das niemand wechseln kann

Die Schwachstellenklasse ist CWE-259, Verwendung eines fest codierten Passworts, und Cisco stellt unmissverständlich fest, dass statische Zugangsdaten für ein Konto mit geringen Rechten in der Software vorhanden sind. Diese Formulierung hat operative Folgen. Ein geleaktes Passwort lässt sich ändern, ein schwaches härten, ein Standardpasswort beim ersten Start ersetzen. Ein einkompiliertes ist nichts davon: Es gibt kein Eingabefeld dafür und keine Richtlinie, die es abschaltet. Der Abschnitt zu Workarounds sagt, dass es keine gibt, und das ist kein Versäumnis. Es gibt schlicht nichts abzuschalten.

Sechs Release-Zweige tragen den Fehler, 7.0, 7.2, 7.4, 7.6, 7.7 und 10.0, für alle wurden Hotfixes ausgeliefert. Der Zeitpunkt ist der Teil, der ins Change-Gremium gehört. Ciscos Produktsicherheitsteam erklärt, im Juli 2026 von aktiver Ausnutzung dieser Schwachstelle erfahren zu haben, was die Angriffe vor die Behebung setzt. Für jedes Zeitfenster im Juli, in dem eine betroffene Konsole erreichbar war, lautet die ehrliche Lagebeurteilung: Das Passwort war öffentlich für jeden, der es gefunden hatte, und für den Betreiber der Maschine unerreichbar.

Ändern Sie die Priorisierungsregel, nicht nur den Bestand

Erst patchen, dann die Regel ansehen, die das hier heruntergestuft hätte. Die meisten Behebungsrichtlinien bilden CVSS-Bereiche auf Fristen ab: kritisch binnen einer Woche, hoch binnen eines Monats, mittel binnen eines Quartals. Läuft CVE-2026-20316 durch diese Logik, landet eine Lücke, die vor Erscheinen ihres Patches ausgenutzt wurde, im Neunzig-Tage-Fach. Das Versagen liegt nicht in Nachlässigkeit, sondern darin, dass die Richtlinie dem Wert eine Frage stellt, die er nicht beantworten kann, und die Antwort dann als Anweisung behandelt.

Drei Änderungen lohnen sich in dieser Woche. Führen Sie eine Regel ein, nach der jeder Eintrag im Katalog ausgenutzter Schwachstellen unabhängig von seinem Wert Ihre kürzeste Frist erbt, denn beobachtete Ausnutzung ist eine Tatsache über die Welt und ein Basiswert eine Eigenschaft einer Formel. Führen Sie eine zweite Regel ein, die alles auf einer Managementebene höher stuft, denn die Konsole, die eine Kontrolle konfiguriert, ist das wertvollere Ziel als die Kontrolle selbst. Erfassen Sie danach, welche Instanzen des Secure Firewall Management Center von außen erreichbar sind, und bestätigen Sie für jede den Stand auf einer korrigierten Version, denn der Fix ist das einzige angebotene Mittel.

Weiterlesen: ServiceNow patchte die eigene Cloud zuerst, Sie 103 Tage später  |  Der Fix war 81 Tage vor der Warnung öffentlich