Neue und alte Schwachstelle im Fokus Internationale Sicherheitsbehörden warnen vor Angriffen auf Cisco SD-WAN

Anbieter zum Thema

FAST LTA GmbH

FTAPI Software GmbH

Onapsis Europe GmbH

Aktive Angriffe auf Cisco SD-WAN-Lösungen laufen. Organisationen, die betroffene Versionen ein­setzen, sollten Systeme inventarisieren und Up­dates sowie Här­tungs­maß­nah­men umsetzen. Internationale Behörden arbeiten bei der Bekämpfung der Bedrohung zusammen.

Die internationalen Sicherheitsbehörden CISA aus den USA und NCSC aus dem Vereinigten Königreich haben jüngst Warnungen ausgesprochen, da Cyberkriminelle Cisco SD-WAN-Sys­te­me angreifen. Dafür nutzen sie eine Sicherheitslücke aus diesem Jahr, EUVD-2026-8675^* / CVE-2026-20127 (CVSS-Score 10.0, EPSS-Score 2.60), sowie eine aus dem Jahr 2022, EUVD­2022-26025 / CVE-2022-20775 (CVSS-Score 7.8, EPSS-Score 0.39).

Neben CISA und NCSC haben auch weitere Sicherheitsbehörden einen Hunt Guide ver­öf­fent­licht, der Sicherheits-Teams dabei hilft, in ihren Umgebungen aktiv nach Hinweisen auf eine bereits erfolgte Kompromittierung zu suchen.

• Australian Signals Directorate’s Australian Cyber Security Centre (ASD’s ACSC)

• Canadian Centre for Cyber Security (Cyber Centre)

• New Zealand National Cyber Security Centre (NCSC-NZ)

• United States National Security Agency (NSA)

Unified Communication und Webex betroffen

Sicherheitslücke erlaubt Root-Zugriff auf Cisco Systeme

Diverse Versionen und Bereitstellungen anfällig

Beide Schwachstellen werden in aktuellen Angriffskampagnen ausgenutzt. Die CISA hat des­halb dringende Anweisungen an US-Behörden veröffentlicht, die SD-WAN-Systeme (Software-Defined Wide-Area Networking) zu inventarisieren und Updates einzuspielen. In der Mit­teil­ung der Sicherheitsbehörde wird konkret von einem Cyber­kri­mi­nel­len gesprochen, nicht von mehreren.

EUVD-2026-8675 / CVE-2026-20127 betrifft Cisco Catalyst SD-WAN Controller undCatalyst SD-WAN Controller und ermöglicht es einem nicht authentifizierten, entfernten Angreifer, die Authentifizierung zu umgehen und administrative Rechte auf einem betroffenen System zu erlangen. Das Problem hinter dieser Sicherheitsanfälligkeit ist, dass der Peering-Au­then­ti­fi­zier­ungs­me­chanismus in einem betroffenen System nicht ordnungsgemäß funktioniert. Ein An­grei­fer kann diese Schwachstelle ausnutzen, indem er speziell präparierte Anfragen an ein betroffenes System sendet. Zudem sind folgende Bereitstellungstypen betroffen:

• On-Prem Deployment

• Hosted SD-WAN Cloud

• Hosted SD-WAN Cloud - Cisco Managed

• Hosted SD-WAN Cloud - FedRAMP Environment

Gefixt sind folgende Versionen, Cisco schreibt von einer begrenzten Ausnutzung der Schwachstelle:

EUVD-2022-26025 / CVE-2022-20775 ist eine Path-Traversal-Schwachstelle, die es einem authentifizierten, lokalen Angreifer ermöglicht, erhöhte Berechtigungen zu erlangen und beliebige Befehle als Root auszuführen. Von dieser älteren Schwachstelle sind folgende Cisco-Produkte betroffen:

• SD‑WAN vEdge Cloud

• SD‑WAN vEdge Router

• SD‑WAN vContainer

• Catalyst SD‑WAN

• Catalyst SD‑WAN Manager

• SD‑WAN Solution

Cisco hat seinen Sicherheitshinweis von 2022 am 25. Februar 2026 aktualisiert. Darin schreibt der Hersteller, dass er über einen Ausnutzungsversuch informiert wurde. Ob dieser erfolgreich war, ist nicht bekannt.

Als Patches nennt Cisco folgende Versionen:

Angriffe auf Cisco-Systeme laufen

US-Senator nimmt Cisco in die Mangel

Sicherheitsempfehlungen von Cisco

Neben dem Aufruf zum Patchen, empfiehlt Cisco seinen Kunden, folgende Maßnahmen umzusetzen, um ihre Systeme zu härten und zu schützen:

• Verhindern Sie den Zugriff auf das System aus ungesicherten Netzwerken, wie dem Internet. Ist ein Internetzugang erforderlich, beschränken Sie den Systemzugriff auf bekannte, ver­trauenswürdige Hosts über die in den Benutzerhandbüchern aufgeführten Ports/Protokolle.

• Schützen Sie die Catalyst SD-WAN-Steuerungskomponenten durch ein Filtergerät wie eine Firewall und filtern Sie den Datenverkehr zu und von den Systemen. Erlauben Sie nur be­kannten, vertrauenswürdigen Hosts, Datenverkehr an die Systeme zu senden. Eine zwei­schichtige Firewall bietet Flexibilität bei der Netzwerkplanung, sodass Endbenutzer keine direkte Verbindung zur äußeren DMZ (Demilitarized Zone) herstellen können. Weitere Informationen finden Sie im Abschnitt „Bereitstellung“ der Benutzerhandbücher für die Catalyst SD-WAN-Software.

• Überwachen Sie regelmäßig den Web-Log-Verkehr auf unerwarteten Datenverkehr zu und von den Systemen. Die Protokolle sollten nach Möglichkeit an einen externen Server ge­sendet und ausreichend lange aufbewahrt werden, um im Nachhinein Untersuchungen mit ausreichend Protokolldaten durchführen zu können.

• Deaktivieren Sie HTTP für das Web-UI-Administratorportal des Catalyst SD-WAN Managers.

• Deaktivieren Sie alle nicht benötigten Netzwerkdienste, einschließlich HTTP und FTP. Weitere Informationen zur Funktionalität der einzelnen Dienste finden Sie in den Catalyst SD-WAN-Benutzerhandbüchern.

• Aktualisieren Sie das System auf die neueste Version der Catalyst SD-WAN-Software.

• Ändern Sie das Standard-Administratorpasswort in ein sichereres Passwort. Beschränken Sie den Zugriff auf das Administratorkonto, indem Sie Benutzerkonten entsprechend den er­for­derlichen Zugriffsrechten erstellen. Erstellen Sie außerdem Bedienkonten für alle Admin­is­tra­toren.

• Verwenden Sie SSL/TLS, beziehen Sie ein SSL-Zertifikat von einer Zertifizierungsstelle oder erstellen Sie ein selbstsigniertes Zertifikat.

• Weitere Informationen finden Sie im Catalyst SD-WAN-Härtungsleitfaden.

High-Risk-Vulnerabilities betreffen die gesamte IT-Landschaft

Zehn Schwachstellen, die Unternehmen 2026 im Blick haben sollten

* Hinweis zum EPSS-Score: Das Exploit Prediction Scoring System zeigt die Wahrscheinlichkeit in Prozent an, mit der eine Schwachstelle innerhalb der nächsten 30 Tage ausgenutzt wird. Der ent­sprechende Score kann sich im Laufe der Zeit verändern. Sofern nicht anders angegeben, beziehen wir uns auf den Stand des EPSS-Scores zum Zeitpunkt der Veröffentlichung des Artikels.

(ID:50771226)