Ungepatchter Zero-Day in Cisco Catalyst SD-WAN Manager: CVE-2026-20245 wird aktiv ausgenutzt

Cisco hat eine Sicherheitswarnung zu einer aktiv ausgenutzten Schwachstelle in seiner zentralen SD-WAN-Verwaltungssoftware veröffentlicht. Die als CVE-2026-20245 geführte Lücke steckt im Catalyst SD-WAN Manager (vormals vManage) und erlaubt es Angreifern, beliebige Befehle mit Root-Rechten auszuführen. Zum Zeitpunkt der Veröffentlichung steht noch kein Patch bereit.

Was die Schwachstelle gefährlich macht

Laut Ciscos Advisory liegt die Ursache in einer unzureichenden Validierung von Benutzereingaben in der Kommandozeilen-Schnittstelle (CLI) des SD-WAN Managers. Ein authentifizierter, lokaler Angreifer kann durch das Einschleusen einer präparierten Datei beliebigen Code als Root ausführen. Die Schwachstelle ist mit einem CVSS-Score von 7,8 als hoch eingestuft.

Für die Ausnutzung benötigt der Angreifer netadmin-Rechte auf dem betroffenen System. Das senkt die Hürde keineswegs auf null, ist in der Praxis aber problematisch: Wer es etwa über gestohlene Zugangsdaten oder eine vorgelagerte Schwachstelle bis zu einem netadmin-Konto schafft, kann über CVE-2026-20245 die vollständige Kontrolle über die zentrale Steuerinstanz des SD-WAN übernehmen.

AD-Checkliste

Dein AD härten: 12 Sofortmaßnahmen

Das PDF mit Bordmitteln, PowerShell-Prüfbefehlen und 30-Tage-Reihenfolge – per Mail, sobald du deine Anmeldung zum Tech-&-Tacheles-Newsletter bestätigst.

E-Mail-Adresse *

Mit der Anmeldung erhältst du die AD-Checkliste als PDF und danach den Tech-&-Tacheles-Newsletter mit Einordnungen zu Security, KI und Crypto sowie gelegentlichen Hinweisen auf meine Bücher und Produktempfehlungen (auch Affiliate-Links) – eingetragen bist du erst nach Klick auf den Bestätigungslink in der E-Mail (Double-Opt-in). Abmeldung jederzeit über den Link in jeder E-Mail, Details in der Datenschutzerklärung.

Aktive Ausnutzung bestätigt

Cisco beobachtete nach eigenen Angaben begrenzte Fälle, in denen die Ausnutzung der Lücke zu einer Konfigurationsänderung führte, die anschließend an Edge-Geräte ausgerollt wurde. Genau das ist der kritische Punkt: Der SD-WAN Manager ist die orchestrierende Komponente eines verteilten Netzwerks. Wer ihn kontrolliert, kann Richtlinien und Konfigurationen für angeschlossene Standorte und Geräte verändern.

Entdeckt und gemeldet wurde die Schwachstelle von Forschern von Google Mandiant. Auch die US-Cybersicherheitsbehörde CISA hat CVE-2026-20245 in ihren Katalog der bekannten ausgenutzten Schwachstellen (Known Exploited Vulnerabilities) aufgenommen.

Welche Deployments betroffen sind

Die Lücke betrifft laut Cisco alle Bereitstellungsvarianten gleichermaßen: On-Premises-Installationen, Cisco SD-WAN Cloud-Pro, das von Cisco gemanagte SD-WAN Cloud sowie die FedRAMP-Variante Cisco SD-WAN for Government. Eine Einschränkung auf bestimmte Betriebsmodelle gibt es damit nicht.

Was Administratoren jetzt tun sollten

Solange kein Patch verfügbar ist, rückt die Begrenzung des Zugriffs in den Vordergrund. Sinnvolle Sofortmaßnahmen sind unter anderem:

• Den Kreis der Konten mit netadmin-Rechten konsequent auf das Nötigste reduzieren und bestehende Berechtigungen überprüfen.
• Den administrativen Zugriff auf den SD-WAN Manager strikt segmentieren und nur aus vertrauenswürdigen Netzen zulassen.
• Mehr-Faktor-Authentifizierung für privilegierte Konten erzwingen, um den Missbrauch gestohlener Zugangsdaten zu erschweren.
• Logs und Konfigurationsänderungen auf ungewöhnliche Aktivitäten überwachen, insbesondere unerwartete Pushes an Edge-Geräte.
• Ciscos Security Advisory beobachten und den Patch einspielen, sobald er bereitsteht.

Der Vorfall reiht sich in eine Serie von Angriffen auf Netzwerk- und Perimeter-Infrastruktur ein. Geräte wie VPN-Gateways und SD-WAN-Controller sind attraktive Ziele, weil sie an zentraler Stelle sitzen und oft direkten Zugriff auf weite Teile der Infrastruktur bieten. Eine zeitnahe Reaktion ist daher Pflicht.

Quellen

• The Hacker News: Cisco Catalyst SD-WAN Manager CVE-2026-20245 Flaw Actively Exploited
• BleepingComputer: Cisco warns of unpatched SD-WAN zero-day exploited in attacks
• CVEFeed: CVE-2026-20245 Detail
• CISA: Adds Known Exploited Vulnerabilities to Catalog