Die CISA hat am Mittwoch drei Schwachstellen in ihren KEV-Katalog aufgenommen, die jeweils Produkte von Cisco, Citrix und Fortinet betreffen. Für die Bundesbehörden der zivilen Exekutive gilt eine Frist bis zum 12. September 2026, um die verfügbaren Korrekturen einzuspielen.
Cisco hat parallel sein Advisory zu CVE-2026-20079 ergänzt: Der Hersteller wurde nach eigenen Angaben im August 2026 auf aktive Ausnutzungsversuche gegen die Lücke aufmerksam. Zusätzliche technische Details veröffentlichte Cisco nicht.
Cisco-Router stehen seit Jahren im Fokus von Angreifern. In einem kürzlich veröffentlichten Bericht beschrieb das Sicherheitsunternehmen Sygnia eine mutmaßlich chinesische Spionagegruppe mit dem Namen Fire Ant, die sich unbefugten Zugang zu Cisco-Routern mit IOS XR verschaffte. Die Geräte dienten den Angreifern über maßgeschneiderte Schadsoftware dazu, sich dauerhaft festzusetzen, Daten zu sammeln und tiefer in besonders lohnende Netzwerke vorzudringen. “Dieses Verhalten verwandelt die Rolle des Routers von einem Transitgerät in eine Sammelplattform”, so Sygnia. Sobald der Akteur den Router kontrollierte, sei das Gerät zu einem Aussichtspunkt geworden, von dem aus sich der Verkehr über vertrauenswürdige Netzwerkpfade beobachten ließ.
Bei CVE-2026-19490 stammen die Belege aus der Telemetrie von Honeypot-Systemen des Anbieters Previdian. Seit dem 3. September 2026 zählte Previdian dort 56 Ausnutzungsversuche, wobei sich allein 36 davon auf den 8. September 2026 konzentrierten.
Die Aufnahme von CVE-2025-25249 folgt auf einen Bericht von SOCRadar über eine Angriffskampagne, in der die Lücke mutmaßlich zur Auslieferung eines funktionsreichen Fernzugriffstrojaners auf Node.js-Basis mit dem Codenamen PivotC2 genutzt wurde. Die frühesten Hinweise auf eine aktive Ausnutzung reichen laut SOCRadar in den Juli 2026 zurück. Über 3.000 IP-Adressen sollen angegriffen worden sein; auf 178 Geräten landete PivotC2, der Großteil der Kompromittierungen entfällt auf die USA. Hinter der Aktivität wird ein russischsprachiger, finanziell motivierter Akteur vermutet.
Technisch läuft der Angriff laut SOCRadar über ein Shell-Skript mit eingebettetem Exploit-Binary, das eine verwundbare FortiGate-Instanz angreift, eine Reverse Shell aufbaut und einen einzeiligen JavaScript-Befehl über Node.js ausführt. Darüber wird eine zweite JavaScript-Stufe nachgeladen, entschlüsselt und ausgeführt, die schließlich PivotC2 installiert.
Das Framework baut eine dauerhafte ausgehende TLS-Verbindung zu einem Command-and-Control-Server auf. Zum Funktionsumfang gehören laut SOCRadar interaktive Shells, Dateitransfers, Tunneling per SOCKS5- oder HTTP-Proxy, lokale und entfernte Portweiterleitung, das Scannen ganzer CIDR-Bereiche sowie das gezielte Auslesen von FortiGate-Konfigurationen samt Entschlüsselung von Zugangsdaten. Ein Automatikmodus erlaubt autonomen Betrieb: Nach der Erstinfektion arbeitet die Schadsoftware eine vordefinierte Befehlsfolge selbsttätig ab.
SOCRadar führt den Erfolg solcher Kampagnen darauf zurück, dass exponierte Perimetergeräte fortlaufend gescannt werden und es ihnen häufig an belastbarer Überwachung und Protokollierung fehlt. Organisationen mit Fortinet-Produkten empfiehlt das Unternehmen, den Internetzugriff einzuschränken, gezielt nach Kompromittierungsindikatoren zu suchen, Zugangsdaten zu erneuern und die aktuellen Patches einzuspielen.