Cisco veröffentlicht 12 kritische CVEs in IOS XE und SD-WAN gleichzeitig und erfordert dringendes Patch-Fenster
Sieben CVEs in IOS XE mit CVSS 9.8 und fünf in Catalyst SD-WAN mit CVSS 9.9, alle intern entdeckt. Cisco kündigt an, dass es keinen Workaround gibt, sondern nur ein Update, mit knappen Fristen für Netzwerk-Teams.
Wie Cisco zwei Advisories am selben Tag gepackt hat
Cisco hat am Mittwoch, dem 5. August, zwei Hardening-Releases gebündelt veröffentlicht: eines für Cisco IOS XE Software (Advisory cisco-sa-hardening-iosxe-V8NMuMZJ) und eines für Cisco Catalyst SD-WAN Software (cisco-sa-hardening-sdwan-faLcR3K). Zusammen decken sie 12 unterschiedliche CVEs ab, die alle vom hauseigenen PSIRT als kritisch eingestuft sind. Das Bundle von IOS XE umfasst sieben Identifikatoren (CVE-2026-20267 bis CVE-2026-20273), alle mit einem CVSS von 9.8. Das SD-WAN-Bundle enthält fünf (CVE-2026-20303, 20304, 20310, 20312 und 20313), alle mit einem CVSS von 9.9. Für keine dieser Schwachstellen wurde ein Workaround veröffentlicht; die einzige Möglichkeit zur Minderung besteht in einem Upgrade.
Cisco führt die Entdeckungen auf eine interne Sicherheitsüberprüfung zurück, die von den Ingenieurteams der beiden Produkte durchgeführt wurde, und erklärt, dass keine der Schwachstellen aktiv ausgenutzt wird. Der rechtliche Rahmen ist wichtig: Da es sich um interne Entdeckungen handelt, kontrolliert das Unternehmen den Zeitpunkt der Veröffentlichung und gibt Patch und Advisory am selben Tag heraus, wodurch ein öffentliches Zero-Day-Fenster vermieden wird.
Was jede Schwachstelle ermöglicht
Das CVE-2026-20303 im SD-WAN ist eine unzureichende Eingangsvalidierung und umfasst Path Traversal sowie die unbefugte Kontrolle über Dateipfade. Das CVE-2026-20304 betrifft Zugriffskontrollfehler, einschließlich Umgehung von Berechtigungen, Authentifizierung und Privilegien. Das CVE-2026-20310 ermöglicht die Manipulation der Linkauflösung vor dem Zugriff auf die Datei, eine Technik, die einen Eskalationsvektor in multi-tenant-Umgebungen des Catalyst SD-WAN Managers öffnet. Zusammen ermöglichen die drei Schwachstellen einem authentifizierten Angreifer mit minimalen Rechten einen dokumentierten Weg zur Remote-Ausführung im Controller, dem einzigen Punkt, von dem aus die gesamte SD-WAN-Fabric eines Unternehmens orchestriert wird.
Das IOS XE, das Betriebsystem, das auf Routern der Serien Catalyst 8000, ASR 1000, ISR 1000 und ISR 4000 sowie auf Enterprise-Switches Catalyst 9000 läuft, erhält sieben kritische Korrekturen auf einmal. Cisco hat im Hauptadvisory keine Details zu den einzelnen CVEs bekannt gegeben, was in Hardening-Bundles üblich ist, aber der einheitliche CVSS von 9.8 für alle sieben weist darauf hin, dass es sich um über das Netzwerk ausnutzbare Schwachstellen handelt, die keine Benutzerinteraktion erfordern, mit schwerwiegenden Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.
Wo das Patch ins Betriebs-Tracking schlägt
Das IOS XE läuft im Kernnetz von Betreibern und am Rand Tausender Campus und Zweigstellen weltweit. Cisco nennt keine konkret betroffenen Versionen, aber die installierte Basis der ISR 4000 allein überschreitet laut eigenen Informationen des Unternehmens vom Cisco Live im Juni die vier Millionen Geräte, und der SD-WAN Manager ist der De-facto-Standard bei SD-WAN-Migrationen zwischen Tier-1-Anbietern wie AT&T, Verizon Business, BT und Telefónica.
Für den CISO einer globalen Bank besteht das praktische Problem nicht in der Kritikalität der Schwachstellen, sondern in der zeitlichen Überschneidung der Fenster. Zwölf kritische CVEs bei einem einzigen Anbieter erfordern eine gleichzeitige Koordination des Change Managements in Rechenzentren, auf Campus und in Zweigstellen, was jede realistische Wartungsperiode in die zweite Jahreshälfte verschiebt. Die Cyber Security Agency von Singapur hat bereits eine Warnung (AL-2026-077) herausgegeben, die ein sofortiges Patch empfiehlt, ein Schritt, der oft 48 Stunden vor ähnlichen Warnungen des deutschen BSI und des britischen NCSC angekündigt wird.
Der globale Blickwinkel und die Lesart für Teams außerhalb der USA
Im Vereinigten Königreich betrachtet das NCSC Cisco-Hardening-Releases als Auslöser für eine obligatorische Kommunikation an Betreiber kritischer Infrastruktur seit der Einbeziehung der NIS2 in das heimische Regime im Februar, was bedeutet, dass Anbieter von Energie und Transport mit Cisco-Geräten in Betrieb eine kurze Frist haben, um dem regulatorischen Sektor ihren Patch-Anwendungsplan zu melden. Ein hier versäumtes Fenster führt zu regulatorischen Risiken und nicht nur zu technischen.
In Indien, wo Reliance Jio und Bharti Airtel einen Teil ihres SD-WAN-Backbones auf dem Catalyst SD-WAN Manager standardisiert haben, nach den 5G-Auktionen von 2023, ist das CVE-2026-20304 das größte Anliegen des Netzwerksicherheitsteams: Die Zugriffskontrolle im Controller trennt enterprise-Kunden voneinander, und ein Fehler bei der Durchsetzung von Berechtigungen verwandelt die Multi-Tenancy in ein Risiko für Kreuzbelastung. Keiner der beiden Betreiber hat bis zum Redaktionsschluss öffentlich Stellung genommen.
Die betriebliche Lektion ist allgemeiner als die spezifische Schwachstelle. Durch das Bündeln von 12 kritischen CVEs in einem einzigen Release und das Erzwingen eines gleichzeitigen Upgrades hat Cisco die Kosten der Überschneidung auf den Kunden verschoben. Das Netzwerkteam, das bereits vier Wartungsfenster für das Quartal geplant hatte, muss nun das fünfte finden.