LONDON (IT BOLTWISE) – Cisco meldet eine aktiv ausgenutzte Schwachstelle mit hoher Kritikalität im Catalyst SD-WAN Manager, die als CVE-2026-20245 geführt wird und aktuell ohne Patch auskommt. Die Lücke betrifft insbesondere die CLI-Logik und kann durch einen präparierten Upload zu Command-Injection und Root-Rechten führen. Da für betroffene Umgebungen keine direkten Mitigations verfügbar sind, empfiehlt der Hersteller einen Software-Upgrade auf Fixes für benachbarte Schwachstellen, die am 14. Mai 2026 veröffentlicht wurden. Gleichzeitig verweist Cisco auf erhöhte Risiken bei exponierten Systemen und nennt erste Indikatoren aus den Logdateien.
Im SD-WAN-Umfeld, in dem Konfigurations- und Orchestrierungsplattformen oft zentral ausgerollt werden, kann eine einzelne CLI-Schwachstelle schnell zur systemweiten Eskalation werden. Cisco warnt daher vor einer hochriskanten Lücke im Catalyst SD-WAN Manager, vormals als SD-WAN vManage bekannt, die unter der Kennung CVE-2026-20245 läuft und nach Herstellerangaben bereits aktiv ausgenutzt wird. Der Fehler wird mit einem CVSS-Wert von 7,8 bewertet und zielt auf das Zusammenspiel aus Authentifizierung, Dateiupload und interner Befehlsausführung ab. Entscheidend ist dabei, dass für diese spezifische CVE derzeit kein eigener Patch oder keine direkte Gegenmaßnahme bereitsteht.
Technisch lässt sich die Problematik auf eine unzureichende Validierung von benutzergesteuerten Eingaben zurückführen. Laut Cisco liegt der Angriffspunkt in der CLI des SD-WAN Managers: Ein authentifizierter, lokaler Angreifer könne durch das Einspielen einer speziell präparierten Datei willkürliche Kommandos mit Root-Rechten ausführen. Aus Unternehmenssicht bedeutet das weniger einen „klassischen“ Remote-Exploit über das Internet, sondern eher einen sehr wirksamen Weg, nachdem ein Angreifer bereits Netadmin-relevante Rechte erlangt hat. Genau an dieser Schnittstelle wird auch klar, warum die Bedrohung in der Praxis schwer abzufangen ist, wenn Zugriffe auf Management-Schnittstellen kompromittiert wurden.
Bemerkenswert ist zudem die Nähe zu früheren Schwachstellen im gleichen Komponenten-Ökosystem: Cisco beschreibt, dass zur Ausnutzung von CVE-2026-20245 Netadmin-Privilegien auf dem betroffenen System erforderlich seien. Das wiederum könne durch gültige Zugangsdaten oder durch die Nutzung anderer Lücken ermöglicht werden, konkret durch CVE-2026-20182 oder CVE-2026-20127. Letztere wurden im Vorfeld öffentlich adressiert, unter anderem von Rapid7, das CVE-2026-20182 als Authentifizierungsumgehung mit CVSS 10,0 einordnete. In der Praxis deutet diese Kombination darauf hin, dass Angreifer häufig nicht „eine“ Schwachstelle isoliert ausnutzen, sondern Ketten aus Zugangsbefähigung und anschließender Privileg-Eskalation aufbauen.
Aus historischer Perspektive ist die Entwicklung konsistent mit dem, was Security-Teams in den letzten Jahren bei Netzwerk-Orchestrierungsprodukten gelernt haben: Angriffe auf Managementebenen haben einen systemischen Charakter, weil sie Richtlinien und Skripte zentral verteilen. Bereits in den vergangenen Monaten wurden ähnliche Muster beobachtet, bei denen Zero-Day-Ausnutzung über Threat-Cluster organisiert wurde; Cisco erwähnt hierfür eine Aktivitätsgruppe namens UAT-8616, die mit dem Missbrauch von CVE-2026-20127 seit 2023 verknüpft sei. Dass auch CVE-2026-20245 in freier Wildbahn auftaucht, verschärft die Lage für Betreiber, weil die Wahrscheinlichkeit steigt, dass kompromittierte Umgebungen nicht nur „gerade so“ gefährdet sind, sondern in kurzer Zeit Folgeschäden erzeugen, etwa durch geänderte Konfigurationen auf Edge-Geräten.
Für den Markt bedeutet das, dass die Wettbewerbssituation bei SD-WAN- und Netzwerk-Management-Plattformen zunehmend von „Operational Security“ statt nur von Modell-Funktionen geprägt wird. Während Hersteller wie Cisco die Hardening- und Update-Disziplin ihrer Kunden betonen, zeigen Auswertungen großer Incident-Responder-Teams, wie schnell sich gefährliche Befehlswege etablieren können. Cisco nennt in diesem Zusammenhang Forschende von Google Mandiant als Entdecker und Melder der neuen Schwachstelle; das unterstreicht, dass die Erkenntnisse aus Threat-Intel-Ökosystemen in kürzester Zeit in konkrete Rollout-Entscheidungen übersetzen. Damit entsteht ein neuer Druckpunkt für Enterprise-IT: Wer Managementsysteme nicht konsequent segmentiert, MFA-pflichtig macht und streng überwacht, öffnet Angriffsflanken, die in Logs zunächst als „Upload“ erscheinen, dann aber zur vollständigen Systemübernahme kippen.
Besonders kritisch ist die Hersteller-Empfehlung, umgehend Upgrades auf SD-WAN-Software durchzuführen, damit die Fixes für CVE-2026-20182, die am 14. Mai 2026 veröffentlicht wurden, tatsächlich aktiv sind. Auch wenn dies CVE-2026-20245 nicht direkt „heilt“, reduziert es laut Cisco den Gesamtwirkraum der Angreifer-Chain, weil die geforderte Privileg-Umgehung an benachbarte Lücken geknüpft sein kann. Operativ heißt das: Netzbetreiber müssen ihre Release-Prozesse für Management-Software beschleunigen, ohne dabei die Stabilität im laufenden SD-WAN-Betrieb zu gefährden. In vielen Unternehmen ist SD-WAN außerdem in automatisierte Provisioning-Pipelines eingebettet, sodass ein Patch- oder Upgrade-Zeitfenster auch Netzwerkverfügbarkeit und Change-Fenster berücksichtigen muss.
Regulatorisch und in Bezug auf Privacy ist zudem relevant, dass Cisco nicht nur On-Premises-Deployments nennt, sondern auch SD-WAN for Government-Varianten im FedRAMP-Kontext. Das macht klar, dass die betroffenen Umgebungen häufig strengeren Compliance-Anforderungen unterliegen, bei denen Logging, Nachvollziehbarkeit und vor allem Risikobehandlung dokumentationspflichtig sind. Wenn Angreifer CLI-Funktionen mit Root-Rechten missbrauchen, können sie potenziell auch Konfigurationsdaten, Provisionierungs-Templates oder Metadaten manipulieren, die wiederum in Audit-Kontexte fallen. Daher sollten Betreiber neben dem Upgrade auch die Auswertung der relevanten Management-Logs und die Integrität von zentralen Skripten prüfen, um sowohl Sicherheitsziele als auch Compliance-Vorgaben nachweisbar zu erfüllen.
Für die Erkennung nennt Cisco konkrete Hinweise über Indikatoren für kompromittierte Systeme, insbesondere durch Einträge in der Datei „/var/log/scripts.log“. Darin finden sich Beispiele für vScript-Aktivitäten im Kontext von Tenant-Listen, vSmart-Serial-Nummern und ZTP-Uploads von Chassis-Nummern, jeweils mit Pfaden zu Upload-Skripten sowie den referenzierten Dateien. Auch wenn die genaue Ausprägung einzelner Werte variiert, ist die Richtung klar: Teams sollten Auffälligkeiten rund um seriellen Upload, ungewöhnliche CSV-Uploads und die Abfolge von Validator- und vScript-Schritten bewerten. In der Incident Response zählt dabei Tempo; besonders, wenn Systeme „internet-exposed“ sind, sollten Betreiber mit der gleichen Priorität handeln wie bei einer bereits bestätigten Kompromittierung.
Der Ausblick für die nächsten Wochen ist dennoch klar zweigeteilt. Erstens wird das Fehlen eines direkten Patches für CVE-2026-20245 Betreiber in eine temporäre Risikoabwägung zwingen: Entweder beschleunigte Upgrades zur Reduktion der angriffsrelevanten Chain oder strenge Abschottung und Monitoring der Management-Umgebung, bis ein gezielter Fix verfügbar ist. Zweitens zeigt der Fall, dass SD-WAN-Management wie „kritische Infrastruktur“ behandelt werden muss: Segmentierung, Least Privilege und nachvollziehbare Administrationswege werden zu Sicherheitskontrollen, nicht zu organisatorischen „Best Practices“. Sobald Hersteller-Updates vorliegen, sollten DevOps- und Security-Teams außerdem automatisiert verifizieren, ob die relevanten Fixes wirklich in allen Deployments installiert sind, inklusive Cloud- und Government-Varianten. In Summe wird aus der gemeldeten Schwachstelle ein Testlauf dafür, wie reaktionsfähig Unternehmen im Netzwerk-Management in der Praxis geworden sind.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Cisco warnt vor aktiv ausgenutzter Lücke in Catalyst SD-WAN Manager (CVE-2026-20245)" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Cisco warnt vor aktiv ausgenutzter Lücke in Catalyst SD-WAN Manager (CVE-2026-20245)" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Cisco warnt vor aktiv ausgenutzter Lücke in Catalyst SD-WAN Manager (CVE-2026-20245)« bei Google Deutschland suchen, bei Bing oder Google News!