Cisco SD-WAN: Kritische Lücke CVE-2026-20182

Cisco hat eine kritische Sicherheitslücke in der Catalyst SD-WAN Controller-Software gemeldet, die bereits aktiv ausgenutzt wird. Die Schwachstelle ermöglicht Angreifern, ohne Authentifizierung vollständige administrative Kontrolle über betroffene Systeme zu erlangen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat die Warnung WID-SEC-2026-1534 herausgegeben.

Was ist die Schwachstelle CVE-2026-20182?

Die als CVE-2026-20182 (CVSS 10.0 – maximal kritisch) eingestufte Schwachstelle betrifft das Peering-Authentifizierungsverfahren im Cisco Catalyst SD-WAN Controller. Ein nicht authentifizierter, entfernter Angreifer kann die Authentifizierung umgehen und administrative Berechtigungen erlangen.

Auswirkungen und Risiko

Ein erfolgreicher Angriff ermöglicht:

• Anmeldung als interner Benutzer mit hohen Berechtigungen
• Zugriff auf NETCONF
• Manipulation der SD-WAN-Netzwerkkonfiguration
• Weitere Angriffe im gesamten Unternehmensnetzwerk

Betroffene Systeme

• On-Prem Deployment (lokale Installation)
• Cisco SD-WAN Cloud-Pro
• Cisco SD-WAN Cloud (Cisco Managed)
• Cisco SD-WAN for Government (FedRAMP)

Aktive Ausnutzung

Cisco hat bestätigt, dass CVE-2026-20182 bereits aktiv ausgenutzt wird. Die Bedrohungsakteure nutzen die Schwachstelle über den DTLS-Port 12346.

Handlungsempfehlungen

1. Sofortige Aktualisierung auf die neueste verfügbare Version
2. Überprüfung der Logdateien auf verdächtige Einträge
3. Prüfung auf unautorisierte Peering-Ereignisse
4. Netzwerksegmentierung zur Einschränkung des Angriffsvektors
5. Überwachung von Verbindungen über UDP-Port 12346

Quellen und weiterführende Informationen 📚

• Cisco Security Advisory
• BSI WID-SEC-2026-1534
• Rapid7 Security Advisory

Fazit

CVE-2026-20182 stellt eine akute und maximale Bedrohung für Unternehmen mit Cisco SD-WAN-Infrastruktur dar. Die aktive Ausnutzung und die kritische CVSS-Bewertung von 10.0 erfordern sofortiges Handeln. Unternehmen sollten nicht nur die verfügbaren Patches umgehend einspielen, sondern auch ihre Systeme auf Anzeichen einer bereits erfolgten Kompromittierung überprüfen.