Manchmal reicht ein einziger vertauschter Buchstabe in einer Webadresse, um eine komplette Netzwerksteuerung zu kapern. Genau das passiert gerade bei Cisco: Eine Lücke im Catalyst SD-WAN Manager lässt Angreifer ohne Passwort zum Admin-Konto durchmarschieren. Cisco hat die Ausnutzung am 30. September 2026 bestätigt.
WAS GENAU KAPUTT IST
Die Lücke trägt die Kennung CVE-2026-76504 und erreicht mit CVSS 9,8 fast die Höchstnote. Der Fehler sitzt in der Session-Verwaltung der Management-API: Der SD-WAN Manager verarbeitet URI-Kodierungen in HTTP-Anfragen fehlerhaft. Ersetzt ein Angreifer einzelne Buchstaben einer Anfrage durch ihre kodierte Form — etwa %6a statt dem Buchstaben „j“ —, rutscht die Anfrage an einer Authentifizierungsregel vorbei, die eigentlich genau einen API-Endpunkt absichern soll.
Am Ende der Kette steht der Standard-Admin-Nutzer mit der Rolle netadmin. Mit dieser Rolle lassen sich sämtliche verwalteten Geräte im SD-WAN-Netz auslesen, umkonfigurieren oder umleiten — komplett ohne Anmeldedaten.
GEFAHR! Cisco wusste es zuerst selbst nicht
Entdeckt wurde die Ausnutzung laut Cisco über einen eigenen Support-Fall im Technical Assistance Center — nicht durch eine externe Meldung. Das Sicherheitsteam von Cisco stufte die Lücke danach als bereits aktiv angegriffen ein. Wie viele Installationen betroffen sind und wer dahintersteckt, hat Cisco bislang nicht veröffentlicht. Ehrlich bleiben muss man hier: Details zu den Angreifern selbst fehlen in den bisherigen Quellen komplett.
Die US-Cybersicherheitsbehörde CISA nahm die Lücke am selben Tag in ihren Katalog bekannter ausgenutzter Schwachstellen auf. Die Frist für US-Bundesbehörden ist ungewöhnlich kurz: Bis Samstag, den 3. Oktober, müssen betroffene Systeme abgesichert sein.
WER WIRKLICH BETROFFEN IST
Der Catalyst SD-WAN Manager ist die zentrale Steuerkonsole für Software-Defined-WAN-Umgebungen — damit verwalten Firmen und Internetprovider ihre verteilten Standorte über eine einzige Oberfläche. Wer eine solche Instanz betreibt, egal ob im eigenen Rechenzentrum oder gehostet, sollte jetzt genau hinschauen. Besonders riskant sind Installationen, deren Oberfläche direkt aus dem Internet erreichbar ist — und das kommt laut Sicherheitsforschern bei SD-WAN-Verwaltungskonsolen erstaunlich häufig vor.
SO RETTEST DU DEIN SETUP — in 10 MINUTEN
- Version prüfen: Welche Release-Linie läuft bei dir — 20.9, 20.12, 20.15, 20.18 oder 26.x?
- Patchen: Je nach Linie auf 20.9.10.1, 20.12.8.2, 20.15.6.1, 20.18.4.1, 26.1.2.1 oder 26.2.1 aktualisieren. Läuft noch eine ältere Linie als 20.9, bleibt nur die Migration auf eine unterstützte Version.
- Sofort-Maßnahme ohne Patch: Die Management-Oberfläche aus dem offenen Internet nehmen. Zugriff nur noch über eine Liste bekannter, vertrauenswürdiger Hosts und eine vorgeschaltete Firewall erlauben — ein offizielles Workaround laut Cisco.
- Nachsehen: Unbekannte Admin-Konten, veränderte Routing-Regeln und ungewöhnliche API-Zugriffe in den Protokollen der letzten Wochen prüfen.
FAZIT: Ein kodierter Buchstabe als Generalschlüssel
Der Fall zeigt wieder, wie klein die Fehler sein können, die ganze Netzwerke aufreißen. Keine komplexe Kette, kein Zero-Click-Exploit mit monatelanger Vorarbeit — nur eine falsch interpretierte Zeichenkodierung an der falschen Stelle. Wer eine SD-WAN-Verwaltung betreibt, sollte solche zentralen Steuerkonsolen grundsätzlich wie ein Tresorschlüssel behandeln: nie direkt aus dem Internet erreichbar, selbst wenn gerade kein bekannter Patch-Rückstand besteht.