Das Wichtigste in Kürze
- Im Cisco Catalyst SD-WAN wurden 2026 zwei Authentifizierungs-Umgehungen mit CVSS 10.0 bekannt: CVE-2026-20127 am 25. Februar und CVE-2026-20182 am 14. Mai, beide bereits ausgenutzt.
- Die zuständige US-Behörde nahm sie in ihren Katalog bekannt ausgenutzter Schwachstellen auf und erließ zu CVE-2026-20182 eine Notfallanweisung mit Frist zum 17. Mai 2026 — drei Tage.
- Cisco Talos beschreibt das Vorgehen der Akteure: Zugang über die Umgehung, dann gezielter Software-Downgrade, Rechteausweitung über eine ältere Lücke, anschließend Rücksetzen auf den Ausgangsstand.
- Für Betreiber folgt daraus weniger eine Produktfrage als eine Architekturfrage: Wie erreichbar ist Ihre Steuerungsebene, und wie schnell können Sie sie tatsächlich patchen?
Ein SD-WAN verspricht, den Betrieb vieler Standorte auf eine Oberfläche zu bringen. Genau das macht diese Oberfläche zum Ziel: Sie ist der einzige Punkt, von dem aus sich alle Standorte gleichzeitig verändern lassen. 2026 wurde diese theoretische Aussage mehrfach praktisch.
Was 2026 passiert ist
Am 25. Februar 2026 veröffentlichte Cisco Korrekturen für CVE-2026-20127, eine Authentifizierungs-Umgehung im Catalyst SD-WAN Controller und Manager mit der Höchstbewertung CVSS 10.0. Ein entfernter, nicht angemeldeter Angreifer konnte administrative Rechte erlangen. Die Lücke wurde zum Zeitpunkt der Offenlegung bereits ausgenutzt.
Am 14. Mai 2026 folgte CVE-2026-20182, ebenfalls eine Authentifizierungs-Umgehung mit CVSS 10.0. Die zuständige US-Behörde nahm sie noch am selben Tag in ihren Katalog bekannt ausgenutzter Schwachstellen auf und erließ eine Notfallanweisung mit einer Frist zum 17. Mai 2026. Drei Tage.
| Kennung | Bewertung | Art | Bekannt ausgenutzt seit |
|---|---|---|---|
| CVE-2026-20127 | CVSS 10.0 | Authentifizierungs-Umgehung | 25. Februar 2026 |
| CVE-2026-20182 | CVSS 10.0 | Authentifizierungs-Umgehung | 14. Mai 2026 |
| CVE-2026-20133 | CVSS 7.5 | Informationsabfluss | 20. April 2026 |
| CVE-2026-20128 | CVSS 7.5 | Zugriff auf Zugangsdaten | 20. April 2026 |
| CVE-2026-20122 | CVSS 5.4 | Überschreiben von Dateien | 20. April 2026 |
| CVE-2022-20775 | CVSS 7.8 | Rechteausweitung | als Folgeschritt genutzt |
Das Vorgehen — und warum es die Erkennung erschwert
Cisco Talos beschreibt für die beobachtete Aktivität ein Muster, das mehr über den Reifegrad der Angreifer aussagt als die Bewertungszahl. Nach dem Zugang über die Umgehung führen sie einen Software-Downgrade durch, nutzen anschließend eine bereits 2022 behobene Lücke (CVE-2022-20775) für Root-Rechte und setzen den Softwarestand danach wieder auf den Ausgangswert zurück.
Der letzte Schritt ist der interessante. Er sorgt dafür, dass ein späterer Blick auf die Versionsnummer nichts Auffälliges zeigt: Das System läuft wieder auf dem Stand, auf dem es vorher lief. Talos verweist auf Hinweise, dass diese Aktivität mindestens bis 2023 zurückreicht.
Vier Konsequenzen für die eigene Architektur
Das ist kein Argument gegen SD-WAN und keines gegen einen bestimmten Hersteller — zentralisierte Steuerung ist bei jedem Anbieter dieselbe Bauart mit denselben Folgen. Die Fragen, die daraus folgen, sind produktunabhängig:
Erreichbarkeit der Steuerungsebene
Wer kann die Verwaltungsoberfläche überhaupt erreichen? Cisco empfiehlt zu den betroffenen Diensten ausdrücklich, sie gegenüber nicht vertrauenswürdigen Hosts im Internet einzuschränken. Das ist die wirksamste Einzelmaßnahme und in den meisten Netzen eine Konfigurationsfrage, kein Projekt.
Ein Patchpfad in Tagen
Eine Dreitagesfrist ist mit einem Quartals-Wartungsfenster nicht zu halten. Es braucht einen definierten Notfallpfad für die Steuerungsebene: wer entscheidet, wer führt aus, wie wird zurückgerollt — geübt, bevor er gebraucht wird.
Getrennte Zugangswege
Verwaltungszugänge gehören nicht in dasselbe Netz wie die Nutzlast und nicht hinter dieselben Zugangsdaten. Ein eigener Weg mit eigener Authentisierung begrenzt, was eine Umgehung erreicht.
Kompromittierung annehmen, nicht ausschließen
Nach einer ausgenutzten Lücke reicht das Einspielen des Patches nicht. Talos nennt konkrete Prüfpunkte: unerwartete Peering-Ereignisse in den Protokollen, unbekannte IP-Adressen, angelegte oder gelöschte Benutzerkonten, nicht zugeordnete SSH-Schlüssel und gelöschte Protokolldateien.
Der zweite Faden: Vertrauen in das Gerät selbst
Parallel zeigt ein anderer Befund desselben Jahres, wie tief die Frage reicht. In einer Cisco-Sicherheitsmeldung vom 25. März 2026 beschreibt der Hersteller CVE-2026-20104, eine Umgehung des Secure Boot in IOS XE auf Catalyst-9200- und mehreren Rugged-Serien. Die Bewertung liegt bei 6.1, die Einstufung dennoch bei „hoch“ — weil die Lücke eine tragende Sicherheitsfunktion aushebelt: die Prüfung, dass beim Start nur signierte Software läuft.
Für die Praxis heißt das: Die Annahme „das Gerät startet mit dem, was wir installiert haben“ ist eine Annahme und keine Gewissheit. Sie hält, solange physischer Zugang und hohe Rechte kontrolliert sind — womit die Frage wieder bei Zugangswegen und Nachvollziehbarkeit landet.
Der Bezug zur Meldepflicht
Für Einrichtungen im Anwendungsbereich von NIS2 hat das eine unmittelbare Folge. Ein kompromittierter SD-WAN-Controller ist kein lokales Ereignis, sondern eines mit Reichweite in alle angeschlossenen Standorte — und die 24-Stunden-Frühwarnung verlangt genau diese Reichweitenaussage. Wer die Steuerungsebene nicht sauber abgegrenzt und protokolliert hat, kann sie nicht treffen. Wie wir diesen Nachweis aufbauen, steht im Beitrag zu NIS2 und Netzsegmentierung und auf der Seite Netzwerk-Security.
Quellen
Jede belegte Aussage dieses Beitrags ist hier nachvollziehbar. Das Abrufdatum sagt, wie frisch die Prüfung ist.
- FAQ about the continued exploitation of Cisco Catalyst SD-WAN vulnerabilities (UAT-8616)öffnet in neuem Tab
Tenable · abgerufen am 2. August 2026
- Active exploitation of Cisco Catalyst SD-WAN by UAT-8616öffnet in neuem Tab
Cisco Talos · abgerufen am 2. August 2026
- Cisco IOS XE Software for Catalyst and Rugged Series Switches Secure Boot Bypass Vulnerabilityöffnet in neuem Tab
Cisco Security Advisory · 25. März 2026 · abgerufen am 2. August 2026