Ciscos SD-WAN-Manager-Zero-Day lässt Angreifer als Admin hinein

Cisco hat am 30. September 2026 eine kritische Authentifizierungsumgehung in seinem Catalyst SD-WAN Manager offengelegt und gepatcht und gewarnt, dass Angreifer sie bereits nutzten. Die als CVE-2026-76504 geführte Schwachstelle hat einen CVSS-Wert von 9.8 und erlaubt einem nicht authentifizierten Angreifer aus der Ferne, einen API-Endpunkt mit den Rechten des integrierten Admin-Benutzers zu erreichen, so Ciscos Sicherheitshinweis. Ciscos Product Security Incident Response Team wurde im September 2026 auf die aktive Ausnutzung aufmerksam, und das Unternehmen nennt keine Umgehungslösungen, die die Lücke beseitigen.

Zum Weiterlesen: Fortinets FortiMail-Zero-Day erlaubt Angreifern, Dateien ohne Anmeldung zu schreiben · Zwei Citrix-NetScaler-Zero-Days, drei Wochen unentdeckt, und nun massenhafte Ausnutzung.

Catalyst SD-WAN Manager, früher SD-WAN vManage, ist die Konsole, mit der Administratoren ein softwaredefiniertes Wide-Area-Network konfigurieren und überwachen. Cisco zufolge kann eine einzelne Bereitstellung bis zu 6.000 SD-WAN-Geräte verwalten, berichtete BleepingComputer. Eine Schwachstelle, die in einer Admin-Sitzung auf dieser Konsole endet, ist eine Schwachstelle gegen jedes Gerät, das die Konsole beaufsichtigt.

Was der Fehler tatsächlich bewirkt

Der Hinweis ordnet die Lücke unter API-sitzungsbasierter Authentifizierungsverwaltung ein und klassifiziert sie als CWE-177, unsachgemäße Behandlung der URL-Kodierung. Ciscos Beschreibung ist eng gefasst. Die unsachgemäße Behandlung der URI-Kodierung in einer HTTP-Anfrage lässt diese Anfrage eine Authentifizierungsregel umgehen, die einen einzelnen API-Endpunkt einschränken soll, und eine erfolgreiche Ausnutzung landet auf diesem Endpunkt als Admin-Benutzer. Der Angreifer liefert nie Zugangsdaten.

Der CVSS-Vektor erklärt, warum der Wert 9.8 beträgt. Er nennt Netzwerk als Angriffsvektor, niedrig für die Angriffskomplexität, keine für erforderliche Rechte und keine für Nutzerinteraktion, bei hoher Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit. Schlicht gesagt: Ein Angreifer, der die Verwaltungsschnittstelle erreichen kann, braucht kein Konto und muss keinen Administrator dazu bringen, auf etwas zu klicken. Die Bewertung stammt vom Hersteller und deckt sich mit der Zusammenfassung des Hinweises, dass die Lücke von einem nicht authentifizierten Angreifer aus der Ferne ausnutzbar ist.

Die meisten Authentifizierungsumgehungen scheitern, weil eine Prüfung ganz übersprungen wird. Diese scheitert offenbar, weil ein String-Vergleich durch die Kodierung verwirrt wird. Die Anfrage trägt ein Zeichen in prozentkodierter Form, und die Regel, die den Endpunkt schützt, vergleicht mit dem Literal. Ciscos Anleitung zu Kompromittierungsindikatoren zeigt die Form. Ihr Beispiel nutzt %6a, den URI-kodierten Buchstaben „j“, in einer Anfrage an j_security_check, den Endpunkt, den Java-Webanwendungen für formularbasierte Anmeldung verwenden. Der Hinweis betont, dass %6a nur ein Beispiel ist und dass die Kodierung eines beliebigen einzelnen Zeichens ausreicht, um die Lücke auszunutzen. Wer %6a blockiert, fängt das Beispiel im Protokoll ab; der nächste Akteur kodiert ein anderes Zeichen.

„Diese Schwachstelle beruht auf der unsachgemäßen Behandlung der URI-Kodierung in einer HTTP-Anfrage, wodurch die Anfrage eine Authentifizierungsregel umgehen kann, die den Zugriff auf einen bestimmten API-Endpunkt einschränken soll.“ — Cisco-Sicherheitshinweis, cisco-sa-sdwan-webauth-xr8beuuU, 30. September 2026

Cisco listet das betroffene Produkt als Catalyst SD-WAN Manager unabhängig von der Systemkonfiguration. Es gibt keine Einstellung zum Abschalten, keine Rolle, die den Pfad umgeht, und keine Konfiguration, die die Exposition ändert. Die einzige Behebung ist korrigierte Software.

Die Management-Ebene ist die Beute

SD-WAN trennt die Kontroll-Ebene von der Daten-Ebene, und der Manager sitzt über beiden als führendes System für Konfiguration und Überwachung. Ein Angreifer, der ihn als Administrator erreicht, kann die Topologie lesen, Richtlinien ausrollen, Routing ändern und die Konten anpassen, die das Netz verwalten. Der Wirkungsradius reicht über die Konsole hinaus bis zu den Geräten, die ihr vertrauen.

Der Catalyst SD-WAN Manager ist kein passives Dashboard. Er speichert die Konfigurationsvorlagen und Richtlinien, die an die Router und Edge-Geräte ausgerollt werden, und er hält Zugangsdaten und Zertifikate, mit denen das Netz sich selbst vertraut. Der Hinweis verortet die Lücke in der API-sitzungsbasierten Authentifizierungsverwaltung, jener Schicht, die entscheidet, ob eine Anfrage als angemeldeter Benutzer handeln darf. Wer sie überwindet, dessen Anfrage wird als die eines Administrators behandelt, und die folgende Sitzung verhält sich wie eine.

Auch deshalb fügt sich dieser Fehler in ein Muster. BleepingComputer zählte CVE-2026-76504 als den fünften SD-WAN-Zero-Day, der 2026 aktiv ausgenutzt wurde. Cisco patchte im Februar CVE-2026-20127, eine Lücke, die mindestens seit 2023 ausgenutzt worden war. Im Mai warnte das Unternehmen, dass CVE-2026-20182, eine Authentifizierungsumgehung mit Höchstschweregrad im Catalyst SD-WAN Controller, in einem Zero-Day-Angriff genutzt werde, um Admin-Rechte zu erlangen. Anfang Juni behob es CVE-2026-20245 und CVE-2026-20262, zwei weitere SD-WAN-Zero-Days, mit denen Root auf anfälligen Systemen erlangt wurde. Fünf in zehn Monaten, alle in derselben Produktfamilie.

Die Gesamtzahl ist größer. Seit November 2021 hat die CISA 90 Cisco-Schwachstellen als in freier Wildbahn ausgenutzt eingestuft, darunter vier im Catalyst SD-WAN Manager und sieben, die von Ransomware-Kampagnen missbraucht wurden, so derselbe Bericht. Ciscos Produkte sitzen am Rand von Unternehmensnetzen, wo eine Lücke erreichbar ist, bevor sich jemand anmeldet.

Die Drei-Tage-Uhr

Die CISA hat CVE-2026-76504 am 30. September in ihren Katalog bekannter ausgenutzter Schwachstellen aufgenommen und in derselben Warnung US-Bundesbehörden im zivilen Bereich angewiesen, ihre Systeme bis Samstag, den 3. Oktober 2026, zu sichern. Drei Kalendertage, davon zwei Arbeitstage.

Die KEV-Frist ist kein Patch-Zeitplan, der allen vorgegeben wird; sie bindet Bundesbehörden und signalisiert der Privatwirtschaft die Schwere. Das Drei-Tage-Fenster ist kurz und folgt einer einfachen Rechnung: Die Lücke ist aus der Ferne erreichbar, braucht keine Authentifizierung und wird bereits genutzt.

Wie Sie prüfen, ob Sie betroffen waren

Cisco veröffentlichte Kompromittierungsindikatoren und konkrete Protokolle zur Prüfung. Der Hinweis verweist Administratoren auf die Datei serviceproxy-access.log unter /var/log/nms/containers/service-proxy/ und die Datei vmanage-server.log unter /var/log/nms/, wo nach Einträgen zu j_security_check von unbekannten oder nicht autorisierten IP-Adressen zu suchen ist. In vmanage-server.log verweist Cisco auf Aufrufe für Benutzer, deren Namen mit viptela-reserved- beginnen, den internen Dienstkonten. Cisco veröffentlichte außerdem die Snort-Regel 67179 zur Erkennung.

Zwei praktische Hinweise stehen im Hinweis. Der erste: Diese Indikatoren können im Normalbetrieb auftauchen, sie sind also gegen den üblichen Verkehr einer Bereitstellung abzuwägen und nicht als Beweis zu lesen. Der zweite ist verfahrenstechnisch. Bevor Kunden einen TAC-Fall eröffnen, bittet Cisco sie, den Befehl request admin-tech auszuführen, damit die gesammelte Datei geprüft werden kann, und es empfiehlt, den Fall mit Schweregrad 3 und CVE-2026-76504 im Titel zu eröffnen.

Für Organisationen, die nicht sofort patchen können, empfiehlt Cisco, die Exposition aus nicht vertrauenswürdigen Netzen zu begrenzen. On-Premises-Bereitstellungen sollten hinter einer Firewall stehen, die nur bekannten, vertrauenswürdigen Hosts den Zugriff auf die Kontrollkomponenten erlaubt. Cloud-gehostete Bereitstellungen haben diese Milderung laut Cisco bereits.

Die korrigierten Versionen

Ciscos Tabelle der korrigierten Versionen ordnet jedem Zweig seinen ersten gepatchten Build zu:

• Älter als 20.9: auf eine korrigierte Version migrieren.
• 20.9: 20.9.10.1
• 20.12: 20.12.8.2
• 20.15: 20.15.6.1
• 20.18: 20.18.4.1
• 26.1: 26.1.2.1
• 26.2: 26.2.1

Cisco behob die Lücke außerdem in Cisco SD-WAN Cloud (Cisco Managed) Release 20.15.605, die cloudbasiert ist und kein Eingreifen des Nutzers erfordert. Betreiber von On-Premises-Systemen müssen aktualisieren. Ciscos NVD-Eintrag und die SecurityWeek-Berichterstattung vom 1. Oktober führen dieselbe Schweregradbewertung und Versionsliste.

Einschränkungen

Drei Dinge, die der Hinweis nicht sagt und die nicht ergänzt werden sollten.

Cisco hat die Ausnutzung keiner benannten Gruppe zugeschrieben. Der Hinweis beschreibt aktive Ausnutzung und liefert Indikatoren, ohne einen Akteur zu nennen. Auch keine Opferliste und keine Zahl betroffener Organisationen wurden veröffentlicht, jede online kursierende Zahl stammt also nicht von Cisco. The Hacker News und Infosecurity Magazine berichteten am 30. September bzw. am 2. Oktober über denselben Hinweis, und keines von beiden ergänzte eine Zuordnung.

Die Erkennungsanleitung ist ein Ausgangspunkt, kein Stolperdraht. Cisco sagt, die IOC-Muster können im Standardbetrieb auftreten, ein Treffer ist also ein Grund zu untersuchen, nicht schon ein Befund. Das in freier Wildbahn beobachtete prozentkodierte Zeichen ist ein Beispiel und keine vollständige Liste dessen, was ein Angreifer senden könnte.

Drittens der Umfang. Cisco sagt, die Lücke sei bei der Bearbeitung eines TAC-Support-Falls gefunden worden, was erklärt, wie sie auftauchte, nicht wie lange sie ausgenutzt wurde. Die Aufzeichnung der Ausnutzung im Hinweis beginnt, als PSIRT im September 2026 darauf aufmerksam wurde, und das ist die öffentliche Grenze des Bekannten. Cisco überarbeitete den Hinweis am 2. Oktober 2026 auf Version 1.1 und ergänzte Details zum Live-Protect-Schutz; Schweregradbewertung und korrigierte Versionen änderten sich nicht.

Was zu beobachten ist

• Abschluss der Patchings. Die Frist für den Bund war der 3. Oktober. Ob die breitere installierte Basis ebenso schnell reagierte, ist die entscheidende Zahl, und Cisco hat sie nicht veröffentlicht.
• Aktualisierte Indikatoren. Der veröffentlichte IOC ist ein einzelnes kodiertes Zeichen. Wenn Cisco Varianten ergänzt, müssen Verteidiger, die eine einzelne Signatur geschrieben haben, sie erweitern.
• Die nächste Lücke. Fünf SD-WAN-Zero-Days in zehn Monaten sind eine Rate, kein Einzelfall. Citrix' NetScaler-Zero-Days wurden in derselben Woche massenhaft ausgenutzt, und beide Produktlinien sitzen am Rand von Unternehmensnetzen.
• Internet-Exposition. Die dauerhafteste Behebung ist architektonisch: Kontrollkomponenten, die nicht aus dem Internet erreichbar sind, sind für einen nicht authentifizierten Angreifer aus der Ferne nicht erreichbar.

Cisco hat die Angreifer nicht benannt, keine Opferliste veröffentlicht und nicht gesagt, wie viele Systeme erreicht wurden. Die korrigierten Versionen sind veröffentlicht, und die erste Frist für den Bund ist verstrichen.

Titelbild: Die Zentrale von Cisco Systems in San Jose, Kalifornien. Foto von Travis Wise via Wikimedia Commons, CC BY 2.0.