Warnung vor Angriffen auf Cisco FMC, SharePoint und Zimbra

Die US-amerikanische IT-Sicherheitsbehörde CISA sowie Amazon warnen vor Cyberangriffen auf Schwachstellen in Cisco FMC, SharePoint und Zimbra, die sie beobachtet haben. Updates stehen bereit, die die Sicherheitslücken schließen. Admins sollten sie spätestens jetzt anwenden.

Die CISA hat Angriffe auf Schwachstelle in Microsoft SharePoint beobachtet. Die Software deserialisiert dabei nicht vertrauenswürdige Daten, wodurch angemeldete Angreifer Schadcode aus dem Netz ausführen können (CVE-2026-20963, CVSS 9.8, Risiko „kritisch“). Microsoft hat die Lücke am Januar-Patchday geschlossen und am Dienstag dieser Woche ihr Risiko von zunächst CVSS 8.8 („hoch“) auf „kritisch“ erhöht.

In einer zweiten Warnung weist die CISA auf laufende Attacken auf Zimbra Collaboration Suite (ZCS) hin. Die Täter setzen an einer Stored-Cross-Site-Scripting-Lücke in der Classic-UI an, die sie durch die „@import“-Direktive in HTML-E-Mails missbrauchen können (CVE-2025-66376, CVSS 7.2, Risiko „hoch“). Auch für diese Schwachstelle steht seit Januar dieses Jahres ein Update bereit, das sie ausbessert. Die Versionen 10.0.18 (ZCS 10.0) und 10.1.13 (ZCS 10.1) schließen die Lücke. Die CISA liefert keine Informationen zu Art und Umfang der Angriffe, auch keine Hinweise, wie sich erfolgreiche Angriffe erkennen ließen.

Ransomware-Kampagne missbraucht Cisco-FMC-Lücke

Amazons Sicherheitsteam berichtet derweil ausführlich von einer Angriffswelle, in der die bösartigen Akteure eine kritische Sicherheitslücke in Ciscos Secure Firewall Management Center (FMC) missbrauchen. Die Schwachstelle ermöglicht nicht authentifizierten Angreifern aus dem Netz, beliebigen Java-Code mit root-Rechten auf verwundbaren Geräten auszuführen (CVE-2026-20131, CVSS 10, Risiko „kritisch“). Amazons IT-Forscher berichten, dass die Angreifer nach erfolgreichem Exploit eine Ransomware der Cybergang Interlock installieren. Am Ende der Analyse stellt Amazon Hinweise für Infektionen (Indicators of Compromise, IOC) bereit.

Cisco hat Informationen zur Schwachstelle zusammen mit Softwareupdates Anfang März bekannt gemacht. Amazon hat bei der Untersuchung herausgefunden, dass die Lücke bereits seit dem 26. Januar 2026 angegriffen wurde – somit fünf Wochen vor dem Zeitpunkt, zu dem Cisco sie öffentlich gemacht hat.

(dmk)