CISA stuft weitere SD-WAN-Lücke in Cisco Catalyst Manager als aktiv ausgenutzt ein

Laut Cisco beruht die Schwachstelle CVE-2026-20133 auf unzureichenden Zugriffsbeschränkungen im Dateisystem. Ein Angreifer könne die Lücke ausnutzen, indem er auf die API eines betroffenen Systems zugreift; bei erfolgreicher Ausnutzung lasse sich sensible Information auf dem zugrunde liegenden Betriebssystem auslesen, teilte das Unternehmen bei der Veröffentlichung des Patches mit.

Eine Woche nach dem Patch hatte Cisco offengelegt, dass zwei weitere am selben Tag behobene Sicherheitslücken — CVE-2026-20128 und CVE-2026-20122 — bereits aktiv ausgenutzt wurden.

Bei der Aufnahme in den KEV-Katalog verwies die CISA auf ihre eigenen Vorgaben: Behörden sollen ihre Gefährdung gemäß der Emergency Directive 26-03 sowie der „Hunt & Hardening Guidance" für Cisco-SD-WAN-Geräte bewerten und die Risiken eindämmen. Für Cloud-Dienste gelte die Vorgabe nach BOD 22-01; stehe keine Gegenmaßnahme zur Verfügung, solle der Einsatz des Produkts eingestellt werden.

Cisco hat den Bericht der Behörde über eine Ausnutzung in Angriffen bislang nicht bestätigt. Der Sicherheitshinweis des Herstellers gibt weiterhin an, dass dem PSIRT keine öffentlichen Bekanntmachungen oder eine böswillige Nutzung der in CVE-2026-20133 beschriebenen Schwachstelle bekannt seien.

Bereits im Februar hatte Cisco eine kritische Schwachstelle zur Umgehung der Authentifizierung (CVE-2026-20127) als in Zero-Day-Angriffen ausgenutzt markiert. Über diese Lücke konnten Angreifer seit mindestens 2023 schädliche, unbefugte Peers in angegriffene Netzwerke einbringen.

Erst kürzlich, Anfang März, veröffentlichte das Unternehmen zudem Sicherheitsupdates für zwei Schwachstellen der höchsten Schweregradstufe in seiner Software Secure Firewall Management Center (FMC). Diese ermöglichen es Angreifern, Root-Zugriff auf das zugrunde liegende Betriebssystem zu erlangen und beliebigen Java-Code mit Root-Rechten auszuführen.

In den vergangenen Jahren hat die CISA insgesamt 91 Cisco-Schwachstellen als aktiv ausgenutzt eingestuft, sechs davon wurden von verschiedenen Ransomware-Gruppen verwendet.