CISA: Cisco Catalyst SD-WAN Auth Bypass unter aktiver Ausnutzung
Die Cybersecurity and Infrastructure Security Agency (CISA) der Vereinigten Staaten hat eine schwerwiegende Authentifizierungsumgehung in Cisco Catalyst SD-WAN Manager offiziell in ihren Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen und bestätigt, dass die Schwachstelle derzeit aktiv ausgenutzt wird. Der am Mittwoch veröffentlichte Eintrag ist bereits die achte Cisco SD-WAN-bezogene CVE, die allein im Jahr 2026 in die KEV-Liste aufgenommen wurde, und unterstreicht, dass Angreifer die Netzwerkmanagement-Plattform zunehmend als Hauptziel betrachten.
Die als CVE-2026-76504 verfolgte Schwachstelle mit einem CVSS-Schweregrad von 9,8 von 10 ermöglicht es einem nicht authentifizierten Remote-Angreifer, vollständigen administrativen Zugriff auf ein betroffenes System zu erlangen. Die Ursache liegt in der Art und Weise, wie das Produkt die URI-Kodierung in HTTP-Anfragen an seine API verarbeitet. Konkret dekodiert die Software hexadezimal kodierte Zeichen im Anfragepfad nicht korrekt, sodass ein Angreifer eine speziell gestaltete HTTP-Anfrage erstellen kann, die den normalen Anmeldevorgang vollständig umgeht. Bei erfolgreicher Ausnutzung erhält der Angreifer direkten Zugriff auf die Programmierschnittstelle (API) mit den Berechtigungen des integrierten Admin-Benutzers und kann so die verwaltete Netzwerkinfrastruktur einsehen, verändern oder stören.
Cisco gab bekannt, erstmals im September 2026 von der aktiven Ausnutzung von CVE-2026-76504 erfahren zu haben. Das Unternehmen hat keine Details zum Umfang der Angriffe, zur Identität der Bedrohungsakteure oder zur Anzahl kompromittierter Organisationen mitgeteilt. Es hat jedoch Indikatoren für eine Kompromittierung (IoCs) veröffentlicht, um Verteidigern bei der Erkennung möglicher Eindringversuche zu helfen. Sicherheitsteams sollten die Datei "/var/log/nms/containers/service-proxy/serviceproxy-access.log" auf Einträge im Zusammenhang mit "j_security_check" von unbekannten oder nicht autorisierten IP-Adressen überprüfen und "/var/log/nms/vmanage-server.log" auf ähnliche Einträge untersuchen, wobei besonders auf Benutzernamen zu achten ist, die mit "viptela-reserved-" beginnen. Solche Logeinträge können auf einen versuchten oder erfolgreichen Angriff hinweisen.
Behörden der Federal Civilian Executive Branch (FCEB) in den Vereinigten Staaten müssen die erforderlichen Patches bis zum 3. Oktober 2026 anwenden, gemäß der verbindlichen Betriebsanweisung, die KEV-Einträge regelt. Sicherheitsforscher haben auf das wiederholte Auftauchen von Cisco SD-WAN-Produkten in der Liste hingewiesen. „Cisco SD-WAN scheint ein ständiger Bestandteil der CISA-Liste bekannter ausgenutzter Schwachstellen zu sein – allein in diesem Jahr wurden acht CVEs aus 2026 in die KEV aufgenommen. Dies sollte ein äußerst klares Signal sein, dass Angreifer den Wert der Plattform erkannt haben und sich dieses Muster wahrscheinlich nicht verlangsamen wird“, sagte Jake Knott, Leiter der Bedrohungsanalyse bei watchTowr, in einer Stellungnahme. Er fügte hinzu, dass die Plattform als zentrales Werkzeug, das Unternehmen zur Verwaltung, Konfiguration und Überwachung großer Netzwerke einsetzen, natürlicherweise ein attraktives Ziel für Angreifer ist.
Cisco hat korrigierte Softwareversionen bereitgestellt und fordert alle Organisationen, die Catalyst SD-WAN Manager betreiben, dringend auf, sofort zu aktualisieren. Zusätzlich zum Patchen sollten Administratoren nach POST-Anfragen an alle URL-kodierten Varianten von "/j_security_check" suchen und Zugriffsprotokolle auf Anzeichen einer Kompromittierung überprüfen. Für Unternehmen, die auf zentralisierte Netzwerkmanagementsysteme angewiesen sind, ist eine proaktive Härtung der Infrastruktur entscheidend. Die Zusammenarbeit mit sicherheitsorientierten IT-Partnern wie AEU-I kann dabei helfen, die Abwehrmaßnahmen gegen bekannte Bedrohungen zu bewerten und zu stärken, bevor diese ausgenutzt werden.
Obwohl CVE-2026-76504 eine kritische Schwachstelle in einem spezifischen Unternehmensprodukt ist, unterstreicht der Vorfall eine universelle Lektion für Website-Betreiber und IT-Teams: Verwaltungsschnittstellen jeglicher Art – sei es für Netzwerke, Hosting-Panels oder Cloud-Dashboards – dürfen niemals ohne starke Authentifizierung und regelmäßiges Patchen dem öffentlichen Internet ausgesetzt werden. Die Sicherheitsmitteilung von Cisco enthält keine Problemumgehungen, die das Risiko vollständig mindern, sodass das Upgrade auf eine gepatchte Version die einzige zuverlässige Abhilfe bleibt.