Am 30. September 2026 um 4 Uhr nachmittags Riad-Zeit hat Cisco ein Sicherheits-Advisory zu CVE-2026-76504 im Cisco Catalyst SD-WAN Manager veröffentlicht, dem System, mit dem Unternehmen mit mehreren Filialen ihr gesamtes Filialnetz über einen einzigen Bildschirm steuern. Der Schweregrad liegt bei 9.8 von 10, für die Ausnutzung sind weder Konto noch Passwort nötig, Cisco gibt an, im September von aktiver Ausnutzung erfahren zu haben, und es gibt keinen Workaround. Am selben Tag hat die saudische Nationale Behörde für Cybersicherheit (NCA) die Warnung 2026-7889 mit dem Schweregrad Kritisch herausgegeben und Organisationen aufgefordert, das Advisory zu prüfen und das Update einzuspielen.

Die entscheidende Frage ist nicht technisch: Wer patcht?

Vor zwei Wochen haben wir über eine ausgenutzte Schwachstelle in einer anderen Cisco-Appliance geschrieben, der, die Identitäten und Zugriffe steuert, und dort die Grundlagen des Schwachstellenmanagements behandelt. Diesmal ist die wichtigste Frage nicht technisch. Vielleicht betreiben Sie Ihr Filialnetz gar nicht selbst: Ein Telekommunikationsanbieter oder ein IT-Unternehmen betreibt es womöglich im Rahmen eines Managed-Service-Vertrags für Sie. Wer aktualisiert dann heute Nacht das System, wer prüft, ob jemand vor dem Upgrade eingedrungen ist, und was sagt Ihr Vertrag, wenn keins von beidem geschieht?

Was Cisco tatsächlich veröffentlicht hat

Die Nachricht ist erst wenige Stunden alt, daher stammen diese Fakten direkt aus dem Advisory von Cisco und der Warnung der NCA, nicht aus Presseberichten:

  • Produkt: Cisco Catalyst SD-WAN Manager, früher als vManage bekannt. Laut Advisory ist er unabhängig von seiner Konfiguration betroffen.
  • Ursache: Eine fehlerhafte Verarbeitung der URI-Kodierung in HTTP-Anfragen erlaubt es einer präparierten Anfrage, eine Authentifizierungsregel zu umgehen, die einen bestimmten API-Endpunkt schützen soll, sodass der Angreifer die API mit den Rechten des Benutzers admin erreicht.
  • Voraussetzung: keine. Ein entfernter, nicht authentifizierter Angreifer und ein CVSS-Basiswert von 9.8.
  • Status: wird aktiv ausgenutzt. Cisco PSIRT gibt an, im September 2026 von der Ausnutzung erfahren zu haben, und dass die Schwachstelle bei der Bearbeitung eines Supportfalls des Cisco Technical Assistance Center gefunden wurde.
  • Workaround: keiner. Die Lösung ist ein Upgrade auf eine korrigierte Version.
  • Lokale Warnung: NCA-Warnung 2026-7889 vom 30. September 2026. Sie nennt 14 Zielsektoren, faktisch alle, von Handel und Investitionen, Finanzen und Wirtschaft und Gesundheitswesen bis zu Bildung, Verkehr und Industrie.

Die korrigierten Versionen laut Advisory:

Aktueller Release-ZweigErste korrigierte Version
Älter als 20.9Auf eine korrigierte Version migrieren
20.920.9.10.1
20.1220.12.8.2
20.1520.15.6.1
20.1820.18.4.1
26.126.1.2.1
26.226.2.1

Beachten Sie die erste Zeile. Wer eine Version älter als 20.9 einsetzt, steht nicht vor einem kleinen Update, sondern vor dem Wechsel in einen anderen Release-Zweig. Das erfordert Planung, und es kann nicht warten.

Warum gerade dieses System

Ein SD-WAN-Netz verbindet Filialen, Lager und Zentrale über die jeweils verfügbaren Leitungen, und alles wird von einem zentralen System aus verwaltet. Dort werden die Richtlinien festgelegt: welcher Datenverkehr über welche Leitung läuft, welche Filiale welches System erreichen darf und welche Einstellungen an den Router jedes Standorts verteilt werden. Eine Änderung in der Zentrale erreicht jede Filiale. Genau darum geht es.

Dieselbe Eigenschaft ist die Gefahr. Wer die API dieses Systems mit Admin-Rechten erreicht, hat es nicht mit einem einzelnen Gerät zu tun, sondern mit der Konsole, die die Konfiguration des gesamten Netzes verwaltet. Die Kasse in einer Filiale, die Verbindung zum Lager und der Zugriff auf das Buchhaltungssystem außerhalb der Zentrale laufen womöglich alle über ein Netz, das dieses System steuert. Es gehört an die Spitze der Liste kritischer Assets, so weit es auch vom Tagesgeschäft entfernt scheinen mag.

Cisco-Cloud oder Ihr Rechenzentrum? Das entscheidet, wer handelt

Das Advisory unterscheidet zwei Betriebsarten des Systems, und der Unterschied ist sehr praktisch:

  • In der Cloud von Cisco: Laut Advisory betrifft die Schwachstelle den SD-WAN Manager unabhängig von der Konfiguration, und es beschreibt zwei Cloud-Fälle. In Umgebungen mit Cisco Catalyst SD-WAN Cloud Hosted hat Cisco die Mitigation durch Zugriffsbeschränkung bereits umgesetzt, aber eine Mitigation ist kein Fix, daher ist das Upgrade auf eine korrigierte Version aus der Tabelle oben weiterhin nötig, und Sie sollten fragen, wer es durchführt. In Cisco SD-WAN Cloud (Cisco Managed) behebt Release 20.15.605 die Schwachstelle, laut Cisco ist keine Aktion der Nutzer erforderlich, und die Version lässt sich über die Funktion Help in der Oberfläche des Dienstes prüfen. Nur in diesem letzten Fall liegt das Upgrade beim Hersteller. Ihre Aufgabe bleibt, eine schriftliche Bestätigung einzuholen und eine Prüfung der Logs für den Zeitraum davor zu verlangen.
  • On-Premises, bei Ihnen oder im Rechenzentrum Ihres Dienstleisters: Hier wird niemand das System für Sie aktualisieren, es sei denn, der Vertrag sieht es vor. Bis zum Upgrade besteht die von Cisco beschriebene Mitigation darin, den Zugriff auf das System aus unsicheren Netzen wie dem Internet zu beschränken und die SD-WAN-Steuerkomponenten hinter einem Filtergerät wie einer Firewall zu schützen.

Die erste Frage lautet also nicht, ob Sie Cisco einsetzen. Sie lautet, wo Ihr Netzwerkmanagementsystem läuft und wer für sein Upgrade zuständig ist. Wenn nur der Dienstleister die Antwort kennt, ist das die erste Lücke, die geschlossen werden muss, und sie ist nicht technisch.

Ein Upgrade verrät nicht, ob jemand vorher eingedrungen ist

Cisco erfuhr im September von der Ausnutzung und veröffentlichte den Fix am letzten Tag des Monats. Mit anderen Worten: Die Schwachstelle wurde ausgenutzt, bevor es überhaupt ein Update gab. Ein Upgrade heute Nacht schließt die Tür. Es verrät nicht, ob schon jemand hindurchgegangen ist und ein Konto oder eine Konfigurationsänderung hinterlassen hat.

Deshalb hat Cisco Indikatoren veröffentlicht, nach denen Ihr IT-Team oder Dienstleister in zwei bestimmten Logs des Systems suchen soll, serviceproxy-access.log und vmanage-server.log:

  • Anfragen an j_security_check von unbekannten oder nicht autorisierten IP-Adressen.
  • Jedes URI-kodierte Zeichen im Anfragepfad, etwa %6a_security_check, wobei %6a der kodierte Buchstabe j ist. So schlüpft der Exploit an der Authentifizierungsregel vorbei. Cisco betont, dass %6a nur ein Beispiel ist: Die Kodierung jedes einzelnen Zeichens in der Anfrage kann genutzt werden, daher sollte das Team nach jeder kodierten Variante von j_security_check suchen, nicht nur nach %6a.
  • Speziell in vmanage-server.log: Anfragen an j_security_check von unbekannten Adressen für Benutzernamen, die mit viptela-reserved- beginnen. Das sind integrierte Dienstkonten des Systems, das Auftauchen des Namens im Log ist also für sich genommen kein Zeichen einer Kompromittierung. Entscheidend ist die unbekannte Quelle.

Cisco warnt außerdem, dass diese Indikatoren mitunter auch im Normalbetrieb auftreten können, daher müssen sie mit der üblichen Aktivität des Netzes verglichen werden, bevor man Schlüsse zieht.

Dieselbe Lehre zeigte sich diese Woche bei zwei kritischen Schwachstellen in Citrix NetScaler, die die US-Behörde für Cybersicherheit und Infrastruktursicherheit (CISA) am 27. September in ihren Katalog bekannter ausgenutzter Schwachstellen (Known Exploited Vulnerabilities) aufgenommen hat. Die CISA erklärte, dass Angreifer sie weltweit aktiv ausnutzen, ermutigte Organisationen, vor dem Patchen nach Möglichkeit auf Anzeichen einer Kompromittierung zu prüfen, und sagte, dass jede Organisation, die eine Kompromittierung vermutet, forensische Beweise sichern sollte, bevor sie Updates einspielt, weil Updates die Spuren des Geschehenen löschen können. Die Regel gilt auch hier: prüfen, eine Kopie der Logs sichern, dann upgraden, ohne die Prüfung zum Grund zu machen, das Upgrade um Tage zu verschieben.

Wenn Ihr Netzwerk ein Managed Service ist: Was steht in Ihrem Vertrag?

Die Essential Cybersecurity Controls der NCA, Ausgabe 2024, sind verbindlich für Behörden und ihre angeschlossenen Unternehmen sowie für Organisationen des Privatsektors, die Kritische Nationale Infrastruktur besitzen, betreiben oder hosten. Die NCA empfiehlt allen anderen Organisationen im Königreich nachdrücklich, sie anzuwenden. Auch wenn Ihr Unternehmen nicht daran gebunden ist, sind sie die klarste lokale Referenz dafür, was in den Vertrag jedes Dienstleisters gehört, der einen Teil Ihrer Technik betreibt:

  • In Verträgen mit Dritten, deren Beeinträchtigung Ihre Daten oder Dienste betreffen könnte, einschließlich Service Level Agreements: Vertraulichkeit und sichere Löschung Ihrer Daten am Ende des Dienstes, Kommunikationsverfahren bei einem Cybersicherheitsvorfall und die Pflicht des Dritten, Ihre Cybersicherheitsanforderungen und -richtlinien umzusetzen (Kontrolle 4-1-2).
  • Speziell in Verträgen mit IT-Outsourcing- und Managed-Service-Anbietern: eine Cybersicherheits-Risikobewertung mit bestätigten Gegenmaßnahmen vor der Unterzeichnung, und Managed-Security-Service-Center für Überwachung und Betrieb, die Fernzugriff nutzen, müssen sich vollständig im Königreich befinden (Kontrolle 4-1-3).
  • Im Schwachstellenmanagement: Schwachstellen nach Schweregrad klassifizieren und entsprechend dieser Klassifizierung beheben, vertrauenswürdige Quellen für Meldungen über neue Schwachstellen abonnieren und Updates vor dem Einspielen in einer Nicht-Produktionsumgebung prüfen (Kontrolle 2-10-3).

Beachten Sie, was die Kontrollen zum Schwachstellenmanagement nicht sagen: Sie setzen keine Frist für das Einspielen eines kritischen Updates. Diese Zahl muss in Ihrem eigenen Vertrag stehen. Sonst patcht der Dienstleister, wenn er kann, nicht wenn Sie es brauchen.

Eine Nachricht, die Sie heute an Ihren Dienstleister schicken sollten

Sie müssen kein Techniker sein, um diese Fragen zu stellen, und Sie müssen nicht auf ein Meeting warten. Verlangen Sie die Antworten schriftlich:

  • Läuft unser Netzwerk über Cisco Catalyst SD-WAN Manager? Und wo läuft er: in der Cloud von Cisco, bei uns oder in Ihrem Rechenzentrum?
  • Auf welcher Version ist er, und wann wird er auf die korrigierte Version aktualisiert, mit Datum und Uhrzeit?
  • Ist die Verwaltungsoberfläche derzeit aus dem Internet erreichbar? Falls ja, haben Sie den Zugriff bis zum Upgrade eingeschränkt?
  • Haben Sie die beiden von Cisco genannten Logs auf die veröffentlichten Indikatoren geprüft und vor dem Upgrade eine Kopie gesichert? Was haben Sie gefunden?
  • Wer hat uns zuerst über diese Warnung informiert: Sie oder eine Nachricht, die wir gelesen haben? Und welches Verfahren ist vereinbart, um uns beim nächsten Mal zu benachrichtigen?

Die letzte Frage ist die wichtigste. Wenn Sie von der Warnung aus einem Artikel und nicht von Ihrem Dienstleister erfahren haben, ist das Problem größer als diese eine Schwachstelle.

Die Sicht von Origami

Wir entwickeln Geschäftssysteme. Wir verkaufen oder betreiben keine Netzwerktechnik. Aber jedes System, das wir für einen Kunden mit mehreren Filialen entwickeln, läuft auf einem Netz, das wir nicht entworfen haben: Die Filialkasse sendet an den Server, das Lager aktualisiert den Bestand, die E-Rechnung geht an die Plattform. Und die übliche Antwort auf die Frage, wer das Netz patcht, lautet: Der Dienstleister kümmert sich um alles. Das ist eine beruhigende Antwort, und es ist keine Antwort.

Für einen saudischen Unternehmer lesen wir diese Schwachstelle als Erinnerung daran, dass Outsourcing die Arbeit verlagert, aber nicht die Verantwortung. Ein Managed Service ist für viele Unternehmen die richtige Wahl, vorausgesetzt, der Vertrag enthält drei messbare Dinge: eine festgelegte Frist für das Einspielen kritischer Updates, eine schriftliche Benachrichtigung über jede Warnung, die Ihre Systeme betrifft, und nach jedem Vorfall einen Bericht darüber, was geprüft und was gefunden wurde. Diese Klauseln kosten einen guten Dienstleister nichts, und sie entlarven einen schwachen Dienstleister, bevor eine Schwachstelle es tut.

Fazit

  • Wenn Sie Cisco Catalyst SD-WAN Manager bei sich oder bei Ihrem Dienstleister betreiben, ist das Upgrade auf die korrigierte Version dringende Arbeit, keine geplante, und Versionen älter als 20.9 erfordern den Wechsel in einen korrigierten Zweig.
  • Bis zum Upgrade: Sperren Sie den Zugriff auf das System aus dem Internet und stellen Sie die Steuerkomponenten hinter eine Firewall, wie im Advisory beschrieben.
  • Prüfen Sie beide Logs und sichern Sie vor dem Upgrade eine Kopie, denn die Ausnutzung begann, bevor der Fix veröffentlicht wurde.
  • Wenn das Netz ein Managed Service ist, schicken Sie die obigen Fragen noch heute und nehmen Sie bei der nächsten Verlängerung eine Frist für kritische Updates und ein Benachrichtigungsverfahren in den Vertrag auf.

Quellen