Im Mittelpunkt der Anordnung steht CVE-2026-20230 in Cisco Unified Communications Manager Server. Dabei handelt es sich um eine Server-Side Request Forgery, also eine serverseitige Anfragefälschung. CISA hat die Schwachstelle in ihren KEV-Katalog aufgenommen und Bundesbehörden angewiesen, sie bis Sonntag zu beheben.
Grundlage ist die Binding Operational Directive 26-04, nach der die Behebung als dringend eingestuft wird. Cisco hatte die Lücke als kritisch markiert und am 3. Juni einen Patch veröffentlicht. Nach Angaben des Herstellers lässt sie sich per speziell präparierter HTTP-Anfragen aus der Ferne und ohne Authentifizierung ausnutzen.
Zum Zeitpunkt der Veröffentlichung des Updates hatte Cisco zwar auf einen Proof of Concept hingewiesen, nach eigenen Angaben aber noch keine Hinweise auf aktive Ausnutzung gefunden. Das änderte sich am vergangenen Wochenende: Das Threat-Detection-Startup Defused beobachtete Angriffe, bei denen die Schwachstelle genutzt wurde, um beliebige Textdateien auf betroffene Endpunkte zu schreiben. Welche Art von Angreifer CVE-2026-20230 derzeit ausnutzt, ist laut Vorlage bislang unbekannt.
Zusätzlich hat CISA CVE-2026-12569 in den KEV-Katalog aufgenommen. Die Schwachstelle betrifft die PTC-Produkte Windchill und FlexPLM und beruht auf unzureichender Eingabevalidierung. Beide Produkte sind Product-Lifecycle-Management-Systeme von PTC für Branchen wie Fertigung, Ingenieurwesen, Einzelhandel, Schuhe, Bekleidung und Konsumgüter.
Bei CVE-2026-12569 handelt es sich um eine kritische Remote-Code-Execution-Schwachstelle, die über die Deserialisierung nicht vertrauenswürdiger Daten ausgenutzt werden kann. PTC legte den Fehler am 18. Juni offen und veröffentlichte eine Sicherheitswarnung. Darin verweist der Hersteller auf eine vollständige Liste der betroffenen Windchill- und FlexPLM-Versionen und fordert Kunden auf, unverzüglich Gegenmaßnahmen umzusetzen.
Nach Angaben von PTC sind alle Versionen bis 11.0 sowie mehrere Versionen der Release-Zweige 11.1, 11.2, 12.0, 12.1 und 13.0 betroffen. CISA setzte für diese Schwachstelle dieselbe Frist: Auch CVE-2026-12569 muss von Bundesbehörden bis Sonntag behoben werden.
Behörden und andere Organisationen, die an BOD 26-04 gebunden sind, sollen laut CISA verfügbare Sicherheitsupdates und vom Hersteller empfohlene Abhilfemaßnahmen umgehend umsetzen. Wenn das bis zur gesetzten Frist nicht möglich ist, sollen die genannten Produkte nicht weiter eingesetzt werden.