Das niederländische NCSC hat vor einer ernsthaften Sicherheitslücke in zentralen Komponenten der Cisco-SD-WAN-Lösung gewarnt. Betroffen sind insbesondere der Cisco SD-WAN Controller und der Manager, wobei Geräte, die über öffentliche Netzwerke erreichbar sind, ein erhöhtes Risiko für Missbrauch aufweisen. Das NCSC erwartet kurzfristig mehr Scan- und Angriffsversuche.
Hintergrund: Cisco setzt in seiner softwaredefinierten WAN-Architektur auf diese Steuerungskomponenten, um Netzwerkverkehr zu verwalten, zu sichern und intelligent zwischen verschiedenen Verbindungsarten wie Internet oder 5G zu routen. Gerade weil diese Elemente im Betrieb eine Schlüsselfunktion übernehmen, sollten betroffene Umgebungen schnell und systematisch überprüft werden.
Warum der Cisco SD-WAN Controller besonders gefährdet ist
Das Risiko steigt vor allem dann, wenn ein SD-WAN Controller Ports über öffentliche Netze erreichbar macht. In solchen Fällen können externe Akteure wesentlich leichter versuchen, Schwachstellen zu erkennen und auszunutzen. Auch wenn nicht jeder Angriff automatisch erfolgreich ist, zeigt die Erfahrung aus der Sicherheitswelt: Sobald eine kritische Schwachstelle publik wird, nehmen automatisierte Scans häufig deutlich zu.
Im NCSC-Hinweis wird ausdrücklich darauf hingewiesen, dass in naher Zukunft eine Zunahme von Scan- und Missbrauchsaktivitäten zu erwarten ist. Für Administratoren bedeutet das: Nicht nur das Patchen, sondern auch das Monitoring sollten zeitnah erfolgen.
Welche Art von Angriffen möglich ist
Laut Cisco und dem NCSC-Überblick ermöglichen die Schwachstellen unter anderem eine XXE-Injektion, eine Privilege-Eskalation und das Umgehen der Authentifizierung. Ziel solcher Angriffe kann sein, dass Angreifer vertrauliche Dateien vom Server auslesen.
Besonders relevant ist dabei die Authentifizierungsumgehung. Sie befindet sich im sogenannten Peering-Authentifizierungsmechanismus. Dadurch können nicht authentifizierte externe Angreifer höhere Rechte erlangen. In der Folge wird es möglich, Netzwerkkonfigurationen zu manipulieren und möglicherweise den Betrieb oder die Stabilität von Netzwerkoperationen zu stören.
Diese Schwachstelle ist unter der Kennung CVE-2026-20182 bekannt. Die zugehörige CVSS-Bewertung beträgt 10 und damit die maximale Punktzahl.
Begrenzter, aber zielgerichteter Missbrauch: Was bedeutet das?
Cisco meldet, dass es bereits Hinweise auf Missbrauch der Authentifizierungsumgehung gegeben habe. Allerdings wird dieser Missbrauch als begrenzt und gezielt beschrieben. Für Unternehmen heißt das: Selbst wenn es noch keine breite Ausbreitung gibt, kann es bereits einzelne Angriffe geben – oder solche können sich kurzfristig entwickeln.
Das NCSC geht daher von einer zeitnahen Zunahme aus. Wichtig ist, dass betroffene Teams nicht darauf warten, bis “der Angriff auch wirklich eintrifft”, sondern die empfohlenen Maßnahmen frühzeitig umsetzen.
Was Sie jetzt tun sollten
Die wichtigste Maßnahme ist das Einspielen der Sicherheitsupdates. Cisco hat Updates veröffentlicht, um die genannten Probleme zu beheben. In dem Hinweis wird außerdem erwähnt, dass es für drei verwandte Schwachstellen ebenfalls Updates gibt.
Wenn Sie nicht sicher sind, ob in Ihrer Umgebung eine verwundbare Version im Einsatz ist, empfiehlt das NCSC, den IT-Dienstleister einzubeziehen. Ziel ist, dass geprüft wird, ob die Sicherheitsupdates bereits korrekt installiert wurden und ob zusätzliche Hinweise auf Missbrauch vorliegen.
Empfohlene Prüfschritte
- Versionen und Status ermitteln: Stellen Sie fest, welche Versionen von Cisco Catalyst SD-WAN Controller und Manager bei Ihnen laufen.
- Updates anwenden: Prüfen Sie, ob die von Cisco bereitgestellten Security-Patches vollständig installiert sind.
- Indikatoren prüfen: Nutzen Sie die von Cisco bereitgestellten Indicators of Compromise (IoC’s), um möglichen Missbrauch zu erkennen.
- Dokumentation und Hinweise abgleichen: Vergleichen Sie Ihre Ergebnisse mit den Informationen, die Cisco zur Untersuchung und zum möglichen Ablauf von Angriffen veröffentlicht.
- Netzwerkreichweite bewerten: Wenn der Controller über öffentliche Netze erreichbar ist, prüfen Sie zusätzlich, ob die Exposition reduziert werden kann.
So lässt sich der Zeitraum zwischen Veröffentlichung der Schwachstelle und wirksamer Schadensvermeidung deutlich verkürzen.
Warum das Thema Patch-Management jetzt Priorität haben sollte
Mit einer CVSS-Bewertung von 10 handelt es sich um eine Schwachstelle, die im Sicherheitskontext als extrem kritisch gilt. Selbst bei “begrenztem” Missbrauch in der Frühphase ist das Risiko nicht automatisch gering, denn Angreifer können alternative Wege finden oder die Ausnutzung nach und nach breiter testen.
Hinzu kommt, dass die betroffenen Komponenten im Netzwerk zentrale Aufgaben erfüllen. Das erhöht die Auswirkung möglicher Manipulationen: Wenn Konfigurationen verändert werden, können Routing, Sicherheitseinstellungen und Betriebsabläufe indirekt betroffen sein.
Fazit
Die Meldung des NCSC macht deutlich, wie wichtig rasches Handeln bei Sicherheitslücken ist. Der Hinweis zu den Schwachstellen in den Cisco Catalyst SD-WAN Produkten adressiert insbesondere den Cisco SD-WAN Controller, weil Authentifizierungsumgehung und die daraus resultierende Rechteerweiterung potenziell schwere Folgen haben können. Da kurzfristig mehr Scan- und Missbrauchsverkehr erwartet wird, sollten Updates zeitnah eingespielt und die bereitgestellten IoC’s sowie die Cisco-Dokumentation für Prüfungen genutzt werden.
Wenn Sie möchten, können Sie mir sagen, welche Controller/Manager-Versionen Sie einsetzen. Dann helfe ich Ihnen, eine kompakte Checkliste für die interne Risiko- und Patch-Validierung zu formulieren.
Quelle: https://www.ncsc.nl/alerts/ernstige-kwetsbaarheid-in-sd-wan-controllers-van-cisco
