Wat is er gebeurd?
Cisco waarschuwt voor actief misbruikte beveiligingslekken in centrale producten voor netwerkbeveiliging: het Secure Firewall Management Center (FMC) en de Identity Services Engine (ISE). In totaal bereiken vijf kwetsbaarheden de maximale CVSS-score van 10 op 10 – de hoogst mogelijke classificatie. Het gaat om CVE-2026-20079 (FMC) en CVE-2026-20130, CVE-2026-20192, CVE-2026-76460 en CVE-2026-76423 (ISE). Volgens de fabrikant maken aanvallers al actief gebruik van deze lekken. Wie de patches nog niet heeft geïnstalleerd, dient onmiddellijk actie te ondernemen.
De details
De FMC-kwetsbaarheid CVE-2026-20079 is al sinds maart bekend, maar blijkbaar zijn de beschikbare beveiligingspatches niet op grote schaal geïnstalleerd. Bijzonder kritiek: externe aanvallers hebben geen authenticatie nodig. Het is voldoende om een geprepareerd HTTP-verzoek naar een kwetsbaar apparaat te sturen om rootrechten te verkrijgen. Met deze rechten kunnen vervolgens beveiligingsbeleid worden gewijzigd of beveiligingsfuncties volledig worden uitgeschakeld – een nachtmerriescenario voor elke firewall-infrastructuur.
Volgens Cisco zijn de volgende FMC-versies beschermd tegen dit lek: 7.0.10, 7.2.12, 7.4.8, 7.6.6, 7.7.13, 10.0.2 en 10.1.0.
Bij de Identity Services Engine, die verantwoordelijk is voor netwerktoegangscontrole, kunnen aanvallers onder meer de aanmelding omzeilen of zelfs schadelijke code tot uitvoering brengen. Voor ISE-versies tot en met 3.0 is de ondersteuning al verlopen – betrokken beheerders moeten verplicht upgraden naar een nog ondersteunde versie. De relevante patches zijn: 3.1 Patch 12, 3.2 Patch 11, 3.3 Patch 12, 3.4 Patch 7 en 3.5 Patch 4.
Naast de kritieke lekken vermeldt Cisco in zijn beveiligingsoverzicht nog meer kwetsbaarheden, waaronder hardening-adviezen voor ISE en FMC en bijkomende problemen zoals een sftunnel-root-code-uitvoering, Java-deserialisatie-kwetsbaarheden en command-injection-lekken in ISE.
Context
Dat maar liefst vijf kwetsbaarheden met de hoogste CVSS-waarde van 10 worden beoordeeld, onderstreept de ernst van deze beveiligingslekken. FMC en ISE zijn centrale beheercomponenten in bedrijfsnetwerken – wie hier rootaccess verkrijgt of de authenticatie omzeilt, kan in het ergste geval de volledige beveiligingsarchitectuur van een netwerk ondermijnen. Bijzonder zorgwekkend is dat het FMC-lek al sinds maart bekend is, maar aanvallers het pas nu actief misbruiken. Dit toont een terugkerend patroon in de IT-beveiliging: tussen de publicatie van een patch en de grootschalige installatie ervan gaat vaak kostbare tijd verloren, die aanvallers gericht benutten.
Voor beheerders van beveiligingsinfrastructuur – van netwerkfirewalls tot fysieke beveiligingssystemen zoals stortkluizen of toegangscontroles – geldt hetzelfde principe: een beveiligingsmaatregel is slechts zo goed als het onderhoud ervan. Een ongepatchte FMC is figuurlijk vergelijkbaar met een offerblok waarvan het slot al maanden bekend staat als manipuleerbaar, maar niet is vervangen.
Praktische tips
- Controleer onmiddellijk welke FMC- en ISE-versies in uw infrastructuur worden gebruikt.
- Installeer de door Cisco beschikbaar gestelde patches zonder uitstel – met name voor CVE-2026-20079, aangezien dit lek al sinds maart bekend is en nu actief wordt misbruikt.
- Migreer ISE-installaties tot en met versie 3.0 verplicht naar een ondersteunde versie, aangezien hiervoor geen ondersteuning meer bestaat.
- Controleer de volledige lijst van opgeloste kwetsbaarheden in het beveiligingsoverzicht van de Cisco-website, aangezien naast de kritieke lekken ook andere patches relevant kunnen zijn.
- Controleer na het patchen of beveiligingsbeleid en -functies ongewijzigd en actief zijn, voor het geval er al een aanval heeft plaatsgevonden.
Vooruitblik
Aangezien Cisco-producten zoals FMC en ISE in veel bedrijfsnetwerken fungeren als centrale beveiligingsinstanties, zal het actieve misbruik van deze kwetsbaarheden waarschijnlijk extra aandacht trekken van zowel beveiligingsonderzoekers als aanvallers. Bedrijven die hun systemen niet tijdig patchen, lopen het risico doelwit te worden van geautomatiseerde aanvalsgolven zodra exploit-code breder beschikbaar komt. De incidenten onderstrepen opnieuw hoe belangrijk consequent patchbeheer is, zeker bij veiligheidskritische infrastructuur – ongeacht of het gaat om digitale firewalls of fysieke beveiligingsmechanismen zoals toegangscontrolesystemen.
