Interlock-Ransomware nutzt Cisco-Schwachstelle als Zero-Day seit Januar aus

Die Interlock-Ransomware-Gruppe nutzt seit Januar 2026 eine kritische Schwachstelle (Maximum Severity) in Ciscos Secure Firewall Management Center (FMC) als Zero-Day aus. Der Angriff wurde am 18. März öffentlich bekannt.

Die Schwachstelle

Die ausgenutzte Schwachstelle ermöglicht Remote Code Execution (RCE) auf Cisco FMC-Appliances — also die vollständige Übernahme der Firewall-Managementplattform. Da FMC in vielen Unternehmen die zentrale Steuerungsinstanz für die gesamte Netzwerk-Firewall-Infrastruktur ist, sind die Auswirkungen verheerend:

• Vollzugriff auf Firewall-Regeln: Angreifer können Regeln deaktivieren
• Netzwerkübersicht: Komplette Transparenz über die Netzwerkarchitektur
• Lateral Movement: Direkter Zugang zum internen Netzwerk
• Persistenz: Tiefe Verankerung im Sicherheitsstack

Interlock im Profil

Interlock ist eine seit 2023 aktive Ransomware-Gruppe, die sich auf die Ausnutzung von Netzwerk-Infrastruktur-Schwachstellen spezialisiert hat. Die Gruppe zielt bevorzugt auf Unternehmen mit Cisco-, Fortinet- und Palo-Alto-Infrastruktur.

Zeitfenster

Besonders besorgniserregend: Die Gruppe hatte mindestens zwei Monate unbemerkten Zugang über die Zero-Day-Schwachstelle. In dieser Zeit konnten Netzwerke infiltriert, Daten exfiltriert und Verschlüsselungsangriffe vorbereitet werden.

Sofortmaßnahmen

• Cisco FMC-Installationen sofort auf die neueste Version aktualisieren
• Netzwerk-Logs auf Indicators of Compromise prüfen
• FMC-Systeme vom Internet isolieren, bis der Patch angewendet wurde
• Forensische Prüfung aller Systeme, die über FMC verwaltet werden