Die Sicherheitsforschungsgruppe VulnCheck hat die chaotische Reaktion auf die Cisco-Disclosure analysiert und warnt vor einer gefährlichen Fehlpriorisierung. Während CVE-2026-20127 mit ihrer kritischen Bewertung zu Recht Alarm auslöst, zeigen Tests der Forscher, dass CVE-2026-20133 eine unterschätzte Bedrohung darstellt.
Das Kernproblem von CVE-2026-20133 ist eine Information-Disclosure-Lücke mit der Bewertung 7.5 CVSS. Obwohl noch keine dokumentierten Exploits in der Praxis bekannt sind, demonstrierten VulnCheck-Forscher das volle Schadenpotential: Über die Sicherheitslücke gelang ihnen der Zugriff auf den Private Key des Standard-Benutzers “vmanage-admin” sowie auf das Shared Secret “confd_ipc_secret”. Mit diesen Zugangsdaten ließen sich das NETCONF-Protokoll kompromittieren und Netzwerk-Konfigurationen manipulieren. Lokale Benutzer könnten sogar zu Root-Rechten eskalieren. Angreifer könnten so Traffic umleiten oder Netzwerkmanagement übernehmen.
Eine weitere kritische Erkenntnis: VulnCheck ermittelte zwischen 275 und mehreren tausend öffentlich erreichbare Cisco SD-WAN Manager im Internet — die exakte Zahl variiert je nach Suchmaschine.
Doch die größte Verwirrung stiften die Exploits selbst. Nach der Cisco-Disclosure fluteten zahlreiche Proof-of-Concept-Programme das Internet. VulnCheck fand heraus, dass viele davon völlig funktionsunfähig oder offensichtlich gefälscht waren. Ein besonders verwirrender Fall: Der GitHub-Nutzer “zerozenxlabs” veröffentlichte einen funktionierenden Exploit, der aber CVE-2026-20127 gar nicht exploitierte. Stattdessen verband er drei andere Schwachstellen zu einer Exploit-Chain, um Credential-Dateien zu lesen und Webshells hochzuladen.
Caitlin Condon, VP Security Research bei VulnCheck, erklärt das Phänomen: “Wir sehen zunehmend KI-generierte, fehlerhafte Exploits. Der Wert öffentlicher PoCs als Risikosignal sinkt deutlich.” Besser als auf PoC-Verfügbarkeit sollten Organisationen auf echte, verifizierten Missbrauch achten.
Der erste valide PoC für CVE-2026-20127 erschien erst am 11. März von einem Rapid7-Forscher. Seither dürften Angriffe massiv zunehmen. Für deutsche Unternehmen empfiehlt sich dringend: Patches installieren, Systeme aus dem öffentlichen Internet zurückziehen und verlässliche Quellen zur Lagebewertung nutzen — nicht jeden veröffentlichten Exploit am Internet vertrauen.