9. Juni 2026 · Security-Advisory · Cisco

Cisco SD-WAN unter Beschuss: Zero-Day-Welle durch UAT-8616

Seit Monaten werden Zero-Days in Cisco Catalyst SD-WAN Manager und Controller aktiv ausgenutzt. Was Betreiber jetzt patchen und prüfen sollten.

Seit Anfang 2026 läuft eine Angriffswelle gegen Cisco Catalyst SD-WAN Manager (vormals vManage) und den zugehörigen Controller. Die Aktivität wird von Forschern bei Cisco Talos einem bislang nicht attribuierten Akteur mit der Kennung UAT-8616 zugeschrieben. Bemerkenswert ist weniger eine einzelne Lücke als die Serie: Bis Juni 2026 wurden binnen eines Jahres rund ein halbes Dutzend SD-WAN-Zero-Days aktiv ausgenutzt.

Im Zentrum stehen derzeit zwei Schwachstellen. CVE-2026-20182, eine Authentifizierungsumgehung, wurde am 9. März 2026 an Cisco gemeldet und seit etwa Mai 2026 in Angriffen beobachtet. CVE-2026-20245, eine CLI-Injection mit Rechteausweitung bis root (CVSS 7,8 laut Cisco), wurde zum Zeitpunkt der Offenlegung am 4. Juni 2026 bereits aktiv ausgenutzt – zunächst ohne verfügbaren Patch. Hinzu kommen weitere Advisories (CVE-2026-20127, -20128, -20122, -20133) sowie die erneute Ausnutzung der älteren CVE-2022-20775. Mehrere dieser Lücken stehen im CISA-Katalog der aktiv ausgenutzten Schwachstellen (KEV); für eine galt für US-Bundesbehörden eine Frist von nur drei Tagen.

Die von Talos beschriebene Angriffskette: Erstzugang über unautorisierte SD-WAN-Peering-Versuche, dann verkettete Authentifizierungsumgehung und Privilegieneskalation bis root auf der Management-Ebene. Dort hinterlegten die Angreifer eigene SSH-Schlüssel, veränderten die NETCONF-Konfiguration und verteilten Änderungen auf angebundene Edge-Geräte. In einigen kompromittierten Clustern wurden zusätzlich Kryptominer, Infostealer und Webshells gefunden.

Wer ist betroffen

Betroffen sind alle Organisationen, die Cisco Catalyst SD-WAN Manager oder Controller betreiben – unabhängig davon, ob die Umgebung selbst verwaltet wird oder durch einen Dienstleister. Besonders exponiert sind Installationen, deren Management-Ebene aus dem Internet oder aus schwach segmentierten Partnernetzen erreichbar ist. Im Mittelstand ist SD-WAN häufig im Zuge von Standortvernetzungsprojekten eingeführt worden; wer die Management-Komponenten damals „pragmatisch“ erreichbar gemacht hat, sollte diese Entscheidung jetzt revidieren. Da einzelne Fixes gestaffelt erscheinen und für CVE-2026-20245 zunächst kein Patch verfügbar war, reicht reines Warten auf Updates nicht aus.

Was jetzt zu tun ist

  • Patchen, sobald ein Fix erscheint: Die Korrekturen kommen gestaffelt pro Release-Zweig. Prüfen Sie die Cisco-Advisories laufend und spielen Sie jede verfügbare Fixed Release umgehend ein.
  • Management-Ebene isolieren: SD-WAN Manager und Controller dürfen niemals direkt aus dem Internet erreichbar sein. Zugriff nur aus dedizierten Admin-Netzen, idealerweise über Jump-Hosts.
  • Wo kein Patch existiert, Zugriff strikt einschränken: Erreichbarkeit auf das absolute Minimum reduzieren, bis ein Fix verfügbar ist.
  • Kompromittierung prüfen: Auditieren Sie hinterlegte SSH-Schlüssel auf Manager- und Controller-Instanzen sowie die NETCONF-Konfigurationshistorie auf nicht nachvollziehbare Änderungen – auch auf den Edge-Geräten.
  • Peering überwachen: Alarmieren Sie auf unautorisierte SD-WAN-Peering-Versuche; sie waren in der beobachteten Kampagne der Erstzugang.
  • Bei Verdacht: Betroffene Instanzen als kompromittiert behandeln, Zugangsdaten und Schlüssel rotieren, forensische Sicherung vor dem Neuaufsetzen.

Wie sector7 unterstützt

sector7 betreibt und härtet Netzwerk- und Security-Infrastruktur für den Mittelstand – inhabergeführt und mit Herstellerzertifizierungen für Cisco, Juniper, Fortinet, Palo Alto Networks, F5 und HPE. Unser 24/7-NOC-Monitoring erkennt auffällige Peering-Versuche und Konfigurationsänderungen, bevor daraus ein Vorfall wird. Patch-Management und Überwachung bieten wir zu festen monatlichen Preisen an – ohne Überraschungen im Ernstfall.

Quellen

Sprechen wir über Ihre Situation.

Gespräch vereinbaren +49 212 240915 0