CISA: Frist für US-Behörden zur Behebung von Cisco, Citrix, Fortinet
Die CISA hat drei Schwachstellen in ihr aktives Schwachstellencatalog aufgenommen, die bis zum 12. September 2026 behoben sein müssen.
Die US-Behörde für Cybersecurity und Infrastruktur hat den 12. September 2026 als endgültigen verpflichtenden Termin für Bundesbehörden festgelegt, um drei Schwachstellen, die ihrem Katalog aktiver Schwachstellen (KEV) hinzugefügt wurden, zu beheben. Die Schwachstellen betreffen das Cisco Secure Firewall Management Center, den Citrix NetScaler ADC und Gateway sowie ein Produkt von Fortinet, kritische Netzwerk-Infrastrukturen in zehntausenden Unternehmensumgebungen weltweit.
Was diesen Termin besonders macht
Die Fristen des KEV-Katalogs sind für die Behörden der US-amerikanischen zivilen Bundesausführung verbindlich. Nichteinhaltung birgt das Risiko von Audits und im Extremfall von Bundesfinanzierungsunterbrechungen. Das Datum des 12. Septembers wurde von der CISA festgelegt, da aktives Exploit dieser drei Schwachstellen im Feld festgestellt wurde, einschließlich Aktivitäten, die in von der Behörde überwachten Honeypots erkannt wurden.
Die Schwachstelle im Cisco Secure Firewall Management Center, der zentralen Management-Plattform für Firewalls von Cisco, die in großen Unternehmens- und Regierungsnetzwerken eingesetzt wird, ermöglicht den Remote-Zugriff ohne Authentifizierung. In der Praxis kann ein externer Angreifer die vollständige Verwaltung der Firewall-Umgebung einer Organisation kompromittieren, ohne gültige Anmeldeinformationen zu benötigen. Die potenziellen Auswirkungen umfassen die Deaktivierung von Sicherheitsregeln, die Erstellung versteckter Tunnel und die Exfiltration von Daten. Die CISA hat die Schwachstelle als kritisch eingestuft.
Die Schwachstelle im Citrix NetScaler ADC und Gateway, die für Lastverteilung und sicheren Remote-Zugriff in hybriden Cloud-Umgebungen verwendet wird, betrifft einen Authentifizierungsschwachpunkt mit dokumentiertem aktiven Exploit. Der Citrix NetScaler wird häufig von Anwaltskanzleien, Banken und Gesundheitsdienstleistern als externe Zugriffsschicht auf Unternehmensanwendungen genutzt. Die CISA verzeichnete Versuche, schutzbedürftige Versionen vor der Veröffentlichung des Alerts auszunutzen.
Wer heute handeln muss
Der formale Auftrag der CISA gilt nur für die US-amerikanische zivile Bundesausführung, aber die Aufnahme einer Schwachstelle in den KEV-Katalog ist der zuverlässigste öffentliche Indikator dafür, dass ein aktives Exploit im Gange ist, nicht nur theoretisch. Private Unternehmen, die Cisco FMC oder Citrix NetScaler in anfälligen Versionen betreiben, sind dem gleichen Risiko aktiver Ausnutzung ausgesetzt, das den föderalen Zeitrahmen motiviert hat.
Managed Security Service Provider, die Shared-Umgebungen für multiple Kunden betreiben, haben ein erhöhtes Risiko: Eine nicht behobene Schwachstelle in einem zentralen Verwaltungsknoten kann alle Kunden gefährden, die von derselben Umgebung bedient werden. Für diese Anbieter stellt der heutige Stichtag eine Notfall-Patching-Situation dar, nicht einen regulären Zyklus.
Die Übertragbarkeit auf Europa und Indien
In der Europäischen Union schreibt die NIS2-Richtlinie, die seit Oktober 2024 in Kraft ist, wesentlichen Stellen Pflichten zur Verwaltung von Schwachstellen und eine 72-Stunden-Meldung für signifikante Vorfälle vor. Es gibt keinen entsprechenden KEV-Katalog wie in den USA, aber nationale Cyber-Sicherheitsbehörden wie das deutsche BSI und die französische ANSSI veröffentlichen eigene Alerts und spiegeln häufig die Ergänzungen zum amerikanischen KEV mit einer Verzögerung von Stunden oder wenigen Tagen wider. Europäische Organisationen mit betroffenen Versionen von Cisco FMC und Citrix NetScaler sollten die nationalen Bulletin und Sicherheitswarnungen der Hersteller überprüfen.
In Indien verwalten Beratungszentren wie Infosys, TCS und Wipro die Infrastruktur von globalen Kunden, einschließlich Cisco- und Citrix-Netzwerken. Eine nicht behobene Schwachstelle in einer zentralen Lieferumgebung kann laterale Bewegungen in die Netzwerke mehrerer internationaler Unternehmenskunden ermöglichen, wodurch diese Lieferzentren zu kritischen Expositionspunkten im Kontext der Schwachstellen dieser Woche werden.
Was Sicherheits-Teams jetzt tun sollten
Cisco und Citrix haben Sicherheitsbulletins mit den behobenen Versionen ihrer jeweiligen Produkte veröffentlicht. Der vom CISA dokumentierte Standard der aktiven Ausnutzung vor der Veröffentlichung der Patches zeigt, dass Bedrohungsakteure bereits im Feld sind. Für Teams mit langen Patching-Zyklen rechtfertigen die drei Schwachstellen dieser Runde einen Notfallprozess außerhalb des regulären Zyklus.
Die Sicherheitsteams sollten auch rückblickende Indikatoren für Kompromittierungen prüfen. Da der unautorisierte Zugriff im Cisco FMC keine Anmeldeinformationen erfordert, können ungewöhnliche Zugriffsprotokolle vor dem Patchdatum auf unentdeckte Eindringlinge hinweisen. SIEM-Tools sollten so konfiguriert werden, dass sie Verhaltensanomalien im Firewall-Management auch nach der Behebung identifizieren.
Bis zum Zeitpunkt der Schließung dieses Artikels hatte die CISA noch nicht öffentlich kommentiert, ob die dokumentierten Ausnutzungsereignisse zu bestätigten Kompromittierungen von Bundesbehörden geführt hatten.