LONDON (IT BOLTWISE) – Die US-Cybersicherheitsbehörde CISA hat drei als aktiv ausnutzbar eingestufte Schwachstellen in den Known Exploited Vulnerabilities-Katalog (KEV) aufgenommen. Bundesbehörden des zivilen Bundes müssen die Patches bis zum 12. September 2026 anwenden. Betroffen sind Cisco Secure Firewall Management Center, Citrix NetScaler ADC und NetScaler Gateway sowie Fortinet-Komponenten wie FortiOS. Im Hintergrund verschärfen Berichte über anhaltende Ausnutzung das Risiko für Angriffe über die Perimeter-Edge-Geräte.
Für Betreiber von Netzwerk- und Security-Perimeter-Komponenten wird der 12. September 2026 zu einem harten Fixpunkt: Die US-Cybersicherheits- und Infrastrukturbehörde CISA hat drei Schwachstellen in den Known Exploited Vulnerabilities (KEV)-Katalog aufgenommen und damit die Anforderung verbunden, dass Bundesbehörden des zivilen Bundes diese bis zum genannten Stichtag patchen. Die Auswahl ist dabei nicht zufällig, sondern trifft bekannte Appliance-Klassen, die in vielen Umgebungen als Verwaltungs-, VPN- oder Edge-Gateway-Schicht eingesetzt werden. In der Praxis bedeutet das: Wer Management-Zugänge, Authentifizierungsvorverarbeitung oder Remote-Zugriff über Geräte wie Firewall-Controller, Citrix Gateways oder Fortinet-Funktionalitäten bündelt, muss jetzt sehr konkret prüfen, ob die betroffenen Produktlinien in der eigenen Asset-Liste auftauchen und ob der Patch-Status pro Version und Installationsprofil wirklich passt.
Den größten operativen Hebel haben zwei Authentication-Bypass-Fälle mit sehr hohen CVSS-Werten: CVE-2026-20079 (CVSS 10,0) adressiert eine Authentifizierungsumgehung in der Web-Schnittstelle des Cisco Secure Firewall Management Center (FMC). Laut CISA kann ein nicht authentifizierter, entfernter Angreifer sich damit die Authentifizierung entziehen und anschließend Skriptdateien auf einem betroffenen System ausführen, um Root-Zugriff auf das darunterliegende Betriebssystem zu erlangen. CVE-2026-19490 (CVSS 9,3) betrifft Citrix NetScaler ADC und NetScaler Gateway und setzt bei bestimmten Konfigurationen an, etwa wenn die Appliance als AAA-Virtual-Server arbeitet oder als Gateway dient (u.a. SSL-VPN, ICA Proxy, CVPN oder RDP Proxy). Solche Muster zeigen ein wiederkehrendes Risiko: Sobald Edge-Geräte mehrere Rollen gleichzeitig übernehmen, steigt die Wahrscheinlichkeit, dass ein Authentifizierungsfehler nicht nur die Oberfläche kompromittiert, sondern den Angreifern auch direkt einen Weg in die Kommandoausführung eröffnet.
Während die beiden ersten Schwachstellen den Zugang priorisieren, legt CVE-2025-25249 (CVSS 7,3) den Fokus auf Speichermanipulation: Es handelt sich um einen heap-basierten Buffer-Overflow in Fortinet-Produkten wie FortiOS, FortiSwitchManager und FortiSASE. Der Effekt ist in der KEV-Beschreibung klar: Eine speziell präparierte Anfrage kann aus der Ferne und ohne vorherige Authentifizierung beliebigen Code oder Kommandos ausführen. Auffällig ist, dass Cisco zudem laut eigener Aktualisierung bereits im August 2026 von aktiven Ausnutzungsbemühungen gegen CVE-2026-20079 erfahren haben soll, ohne weitere technische Details zu ergänzen. Das ist ein Signal für Security-Teams, das weniger nach „Theorieprüfung“ klingt als nach „laufender Jagd“: Selbst wenn ein eigener Betrieb noch keine Meldungen sieht, kann das Telemetrie-Setup Lücken haben oder Angriffe können an anderer Stelle ansetzen, bevor sie im Monitoring sichtbar werden.
Die Relevanz geht allerdings über den reinen KEV-Eintrag hinaus. In den vorliegenden Berichten wird beschrieben, dass Angreifer Cisco-Router in der Vergangenheit gezielt als Plattform genutzt hätten: Ein China-nahes Cyber-Espionage-Setting, das dort als Fire Ant bezeichnet wird, soll sich unbefugten Zugriff auf Cisco IOS XR-Router verschafft und die Geräte für Persistenz und Datensammlung missbraucht haben. Die Formulierung aus dem Bericht dreht den klassischen Blickwinkel um: Ein Router wird dann nicht mehr nur als Transitpunkt betrachtet, sondern als Sammel- und Beobachtungsknoten für den Datenverkehr. Für Organisationen mit „vertrauenswürdigen“ Netzwerkpfaden ist das besonders unbequem, weil sich dort oft die Überwachung auf die eigentlichen Workloads konzentriert und die Edge-Infrastruktur eher als Infrastruktur ohne strategisches Angriffsinteresse behandelt wird.
Bei CVE-2026-19490 wird wiederum von Ausnutzungsaktivität gegen Honeypots berichtet: Seit dem 3. September 2026 seien insgesamt 56 Versuche registriert worden, davon 36 allein am 8. September 2026. Noch deutlicher wird die Lage bei Fortinet: Die Aufnahme von CVE-2025-25249 in den KEV-Katalog folgt Berichten über eine Kampagne, in der die Schwachstelle gezielt als Einstiegspunkt für einen Remote-Access-Trojaner genutzt worden sein soll. Dabei wird ein Node.js-basiertes Payload-Setup beschrieben, das zunächst über ein Shell-Skript einen Exploit gegen eine verwundbare FortiGate-Instanz startet, anschließend über eine Reverse-Shell und einen Einzeiler eine zweite Stufe nachlädt, die verschlüsselt ist und erst dann entschlüsselt ausgeführt wird. Das Ergebnis ist ein Framework namens PivotC2, das Persistenz über eine ausgehende TLS-Verbindung zum Kommando- und Kontrollserver aufbauen soll und Fähigkeiten wie interaktive Shells, Dateiübertragung, Proxy-Tunneling sowie Scans im CIDR-Bereich umfasst; außerdem wird von FortiGate-spezifischem Configuration Harvesting und Credential-Entschlüsselung die Rede. Wenn mehr als 3.000 IP-Adressen als Zielhorizont genannt werden und es zugleich um 178 Infektionen geht, zeigt das vor allem eines: Die Schwachstelle wird nicht als „Einzelfall-Risiko“ behandelt, sondern als skalierbarer Einstieg in genau die Systeme, die typischerweise im Internet erreichbar sind.
Für die Verteidigung lassen sich aus dieser Gemengelage konkrete Prioritäten ableiten. Wenn CISA und begleitende Analysen nahelegen, dass Angreifer kontinuierlich nach offen erreichbaren Perimeter-Edge-Geräten scannen, dann verschiebt sich der Fokus von reinem Patch-Management hin zu einer Kombination aus Reduktion der Angriffsfläche und schnell sichtbarer Detection. Für Fortinet-Produkte empfiehlt der Bericht unter anderem, die Internetanbindung zu begrenzen, Kompromissindikatoren zu suchen, Credentials zu rotieren und konsequent die neuesten Patches einzuspielen. Entscheidend ist dabei die Reihenfolge: Erst wenn Management- und Remote-Zugriff so weit wie möglich „auf die richtige Schiene“ gesetzt sind, sinkt die Chance, dass eine noch offene Schwachstelle unmittelbar als Lieferkette für Malware dient. Unternehmen sollten außerdem nicht nur nach CVEs patchen, sondern ihre Exposition prüfen: Wer Ports und Verwaltungsoberflächen noch „bequem“ offen hält, erhöht die Wahrscheinlichkeit, dass Exploit-Versuche sehr früh in einer Kampagne landen und damit die Zeitfenster für Incident Response schrumpfen.
Unterm Strich zeigt die KEV-Erweiterung, dass sich das Muster in der Praxis verfestigt: Authentifizierungsumgehungen und Speicherfehler in Netzwerk-Management- und Edge-Produkten werden parallel zu laufenden Kampagnen entdeckt, ausgenutzt und in nachgelagerte Fernzugriffs-Setups überführt. Das Timing bis zum 12. September 2026 ist dabei weniger ein Kalenderpunkt als ein Prozess-Check: Asset-Inventar, Patch-Auslieferung, Validierung im Test sowie die Vorbereitung von Incident-Workflows müssen so zusammenspielen, dass betroffene Systeme nicht nur „upgrade-fähig“, sondern tatsächlich „upgrade-sicher“ sind. Wer diese Lücke schließt, reduziert das Risiko nicht nur für den nächsten Exploit der jeweiligen CVE, sondern auch für die zweite Ebene dahinter – also für das, was nach dem erfolgreichen Einstieg in Form von Persistenz, Tunneling und Datenabzug typischerweise passiert.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "CISA setzt KEV-Frist: Cisco, Citrix und Fortinet müssen bis 12. Sept. patchen" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "CISA setzt KEV-Frist: Cisco, Citrix und Fortinet müssen bis 12. Sept. patchen" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »CISA setzt KEV-Frist: Cisco, Citrix und Fortinet müssen bis 12. Sept. patchen« bei Google Deutschland suchen, bei Bing oder Google News!