Cisco hat Sicherheitsupdates für eine Vielzahl von Schwachstellen bereitgestellt. Insgesamt handelt es sich um Dutzende Lücken über mehrere Produktlinien hinweg – darunter Fehler mit kritischer Schwere in Catalyst SD-WAN, IOS XE sowie im Secure Firewall Management Center (FMC). Für IT-Teams ist jetzt vor allem wichtig, die Updates nach Risiko und Exposition zu priorisieren.
Nach Herstellerangaben gibt es keine Anzeichen dafür, dass diese Schwachstellen bereits aktiv ausgenutzt werden. Dennoch lohnt sich ein genauer Blick, denn einige der gemeldeten kritischen Schwachstellen ermöglichen weitreichende Angriffe wie das Ausführen von Skripten, Command Injections oder das Erlangen von Root-Rechten.
Warum die Updates für SD-WAN besonders relevant sind
Im Bereich Catalyst SD-WAN hat Cisco fünf Fixes veröffentlicht. Dabei werden mehrere CVEs in Gruppen zusammengefasst, die auf einer gemeinsamen Schwachstellenklasse beruhen. Das bedeutet: Nicht jede Meldung steht isoliert, sondern viele Probleme hängen strukturell zusammen.
Drei der relevanten CVEs – CVE-2026-20303, CVE-2026-20304 und CVE-2026-20310 – erreichen eine CVSS-Bewertung von 9.9. Cisco ordnet sie unter anderem als Fehler bei der Eingabevalidierung, unzureichende Zugriffskontrolle und Probleme bei der Auflösung von Links vor einer Dateizugriffslogik ein.
Die verbleibenden zwei CVEs im Catalyst-SD-WAN-Umfeld gelten als hochkritisch: CVE-2026-20312 und CVE-2026-20313. Laut Cisco handelt es sich hierbei um Klartextspeicherung sensibler Informationen sowie um ungenügende Validierung einer vorgegebenen Mengenangabe innerhalb der Eingabedaten.
IOS XE: Command Injection und unzureichende Zugriffskontrolle
Für IOS XE hat Cisco sieben Fixes angekündigt. Auch hier werden die zugehörigen CVEs nach der zugrunde liegenden Schwachstellenklasse gebündelt. Dadurch ist es einfacher, Updates als zusammengehörige Risikokategorien zu betrachten – statt einzelne Einzelbefunde isoliert zu bewerten.
Besonders auffällig sind zwei Lücken mit kritischer Bewertung: CVE-2026-20272 mit CVSS 9.8 und CVE-2026-20267 mit CVSS 9.0. Cisco beschreibt CVE-2026-20272 als Command Injection – also ein Szenario, in dem ein Angreifer durch manipulierte Eingaben Befehle auslösen kann. CVE-2026-20267 wird als Fehler in der Zugriffskontrolle eingeordnet.
Die übrigen CVEs in diesem Paket stuft Cisco ebenfalls als hoch ein. Für Betreiber bedeutet das: Auch wenn nicht alle Lücken die gleiche höchste Priorität besitzen, sind die veröffentlichten Änderungen insgesamt ein klares Zeichen für erhöhten Handlungsbedarf.
FMC: Authentifizierungsumgehung mit Root-Zugriff
Im Secure Firewall Management Center (FMC) liegt ein besonders schwerwiegender Fall vor. Cisco patcht CVE-2026-20079 mit CVSS 10 – damit handelt es sich um eine Schwachstelle, die als kritische Authentifizierungsumgehung beschrieben wird.
Der Hersteller erläutert, dass ein Angreifer die Lücke ausnutzen könne, indem er konstruierte HTTP-Anfragen an das betroffene Gerät sendet. Gelingt die Ausnutzung, kann der Angreifer verschiedene Skripte und Befehle ausführen, die letztlich zu Root-Zugriff auf dem Gerät führen.
Bemerkenswert ist dabei vor allem die Voraussetzungslosigkeit für den Angriffsweg aus externen Blickwinkeln: Cisco nennt explizit, dass nicht authentifizierte Remote-Angreifer die Lücke ausnutzen können. Das erhöht das Risiko in Umgebungen, in denen das Management-System exponiert ist oder über unsichere Pfade erreichbar bleibt.
Weitere betroffene Bereiche: IMC, IOS, TS Agent, RoomOS
Neben den großen Blöcken aus SD-WAN und IOS XE hat Cisco weitere Sicherheitslücken geschlossen. Dazu gehören hochgradige Probleme in Integrated Management Controller (IMC), IOS XE und IOS. Außerdem nennt Cisco mittelgradige Schwachstellen in IOS XE, im Terminal Service (TS) Agent, im Catalyst SD-WAN Manager, in RoomOS sowie in IMC.
Damit wird klar: Die aktuelle Patchrunde ist nicht nur für Netzwerkgeräte relevant, sondern auch für Management- und Integrationskomponenten. Genau diese Komponenten werden in vielen Umgebungen als “hinter” dem eigentlichen Netzwerk betrieben, sind jedoch bei Kompromittierung oft ein Hebel für die weitere Kontrolle.
IMC-Lücke mit PoC: Arbiträre Befehle nach Eingabevalidierung
Unter den beschriebenen Schwachstellen sticht CVE-2026-20000 gesondert hervor. Cisco bewertet diese Lücke mit CVSS 8.8 und ordnet sie als hochgradige fehlerhafte Eingabevalidierung ein, die in IMC auftritt.
Laut Cisco kann die Schwachstelle remote ausgenutzt werden, um beliebige Kommandos auszuführen und Root-Rechte zu erlangen. Zwar benötigt die Ausnutzung laut Hersteller eine Authentifizierung, dennoch gibt es laut Cisco Proof-of-Concept-Code (PoC), der auf die Schwachstelle abzielt.
Die Lücke betrifft dabei UCS C-Series M7 und M8 Rack Server im Standalone-Modus. Für Betreiber dieser Plattformen sollte die Patch-Planung daher besonders eng getaktet werden, zumal ein vorhandener PoC das Risiko erhöht, dass Angriffe schneller nachgebaut werden.
Keine Hinweise auf aktiven Missbrauch – dennoch handeln
Cisco gibt an, dass ihm keine bekannten Ausnutzungen in freier Wildbahn zu den gemeldeten Schwachstellen bekannt sind. Trotzdem wäre es in der Praxis ein Fehler, daraus automatisch abzuleiten, dass die Lücken keine Gefahr darstellen.
Gerade bei kritischen Schwachstellen in Management- oder Netzwerkkomponenten können Angreifer nach Veröffentlichung von Details oder Code rasch reagieren. Daher empfiehlt sich ein strukturiertes Vorgehen: zuerst die Systeme mit hoher Exposition und maximaler Auswirkung – danach die übrigen Betroffenheiten.
So priorisieren Sie die Patchrunde in Ihrer Umgebung
Auch wenn die konkrete Umsetzung je nach Infrastruktur variiert, lassen sich die Schritte häufig ähnlich strukturieren:
- Inventarisieren: Prüfen Sie, welche Versionen von Catalyst SD-WAN, IOS XE, FMC und IMC bei Ihnen im Einsatz sind.
- Risiko bewerten: Priorisieren Sie nach Schweregrad und nach dem erreichbaren Angriffsweg (z. B. remote, nicht authentifiziert).
- Updates testen: Nehmen Sie Patch-Tests vor, insbesondere bei Systemen, die in produktiven Umgebungen kritische Rollen übernehmen.
- Umsetzung terminiert planen: Arbeiten Sie eine Reihenfolge aus, die kurzfristig die kritischsten Lücken adressiert.
- Monitoring anpassen: Ergänzen Sie Überwachung und Logging, um ungewöhnliche HTTP-Anfragen oder Command-Injection-Indikatoren früh zu erkennen.
Die Security-Advisories von Cisco sind dabei der wichtigste Anlaufpunkt, um Details zu betroffenen Versionen, Fixes und empfohlenen Maßnahmen nachzulesen.
Fazit: Fokus auf die wichtigsten Lücken
Die aktuelle Patchrunde von Cisco adressiert mehrere kritische Schwachstellen in zentralen Komponenten – darunter Catalyst SD-WAN, IOS XE und das Secure Firewall Management Center. Besonders schwer wiegt die FMC-Lücke CVE-2026-20079, weil nicht authentifizierte Angreifer über speziell gestaltete HTTP-Anfragen Skripte und Befehle ausführen können, die bis zu Root-Rechten führen.
Auch im IOS-XE-Umfeld sowie bei IMC finden sich Probleme, die bei falscher Priorisierung schnell zum Sicherheitsrisiko werden. Unabhängig davon, ob bereits aktive Angriffe bekannt sind: Planen Sie die Updates zügig, prüfen Sie Exposition und stellen Sie sicher, dass die relevanten Systeme auf den empfohlenen Fix-Stand gebracht werden.
Quelle: https://www.securityweek.com/cisco-patches-critical-sd-wan-ios-xe-fmc-vulnerabilities/
