Bericht warnt vor Angriffen auf Netzwerkmanagementsysteme

Angreifer nehmen zunehmend Netzwerkmanagementsysteme ins Visier, die Unternehmensinfrastrukturen steuern, so der InfraTrust Pulse-Bericht von Eclypsium für September. Mehrere kritische Schwachstellen wurden bereits vor oder kurz nach ihrer Offenlegung durch die Anbieter angegriffen.

Bericht verfolgt 1.699 Schwachstellen

Zwischen dem 25. August und dem 17. September verfolgte InfraTrust 158 Sicherheitshinweise von 17 Anbietern. Zusammen deckten sie 1.699 Schwachstellen ab.

Der Bericht zählte 42 kritische Sicherheitshinweise und acht Schwachstellen mit dem maximalen CVSS-Wert von 10,0. Außerdem identifizierte er 71 Schwachstellen, die Angreifer aus der Ferne ohne Authentifizierung ausnutzen konnten.

Fünf Sicherheitshinweise enthielten Schwachstellen, die später in den Known Exploited Vulnerabilities-Katalog von CISA aufgenommen wurden. Das zentrale Anliegen des Berichts ist jedoch, wo Angreifer die wertvollsten Schwachstellen finden.

Netzwerkmanagementsysteme können Geräte konfigurieren, Zugangsdaten speichern und Änderungen in einer gesamten Organisation verteilen. Dadurch kann der Zugriff auf eine einzige Verwaltungskonsole einem Angreifer einen Weg zu zahlreichen verbundenen Geräten eröffnen.

Cisco-Managementplattformen werden aktiv angegriffen

Der Bericht hebt CVE-2026-20079 hervor, eine Umgehung der Authentifizierung mit maximalem Schweregrad im Cisco Secure Firewall Management Center. Ein nicht authentifizierter Angreifer kann speziell präparierte Anfragen an die Weboberfläche senden und Befehle als Root ausführen.

Cisco bestätigte am 9. September die aktive Ausnutzung. Ermittler stellten später fest, dass Angreifer die Schwachstelle mit einer weiteren Sicherheitslücke, CVE-2026-20316, kombinierten.

Cisco Talos brachte die Aktivitäten mit drei Bedrohungsclustern in Verbindung. Angreifer nutzten kompromittierte Systeme zur Aufklärung und zum Diebstahl von Zugangsdaten. In einigen Fällen setzten sie außerdem Qilin-Ransomware ein.

Cisco Identity Services Engine war von einer separaten, aktiv ausgenutzten Schwachstelle betroffen. CVE-2026-76460 ermöglicht es einem nicht authentifizierten Angreifer aus der Ferne, über eine API Befehle als Root auszuführen. Cisco gibt an, dass es keinen Workaround gibt, obwohl Zugriffskontrollen die externe Exposition begrenzen können.

Andere Infrastrukturprodukte erfordern Aufmerksamkeit

Der Bericht behandelt außerdem zwei Schwachstellen in SonicWall SMA 1000, die Angreifer miteinander kombiniert haben, um aus der Ferne Code auszuführen. SonicWall empfiehlt, den neuesten Hotfix zu installieren und betroffene Systeme auf eine mögliche Kompromittierung zu untersuchen.

Unterdessen ist eine als CopyFail bekannte Schwachstelle im Linux-Kernel in 19 Sicherheitshinweisen von sechs Anbietern aufgetaucht. Für jedes betroffene Produkt sind eine eigene Entscheidung über die Behebung und ein eigener Zeitplan erforderlich.

Abschließend hebt InfraTrust eine Secure-Boot-Umgehung hervor, die die UEFI Shell betrifft. Ein Angreifer mit Zugriff auf die UEFI-Boot-Einstellungen könnte sie nutzen, um nicht signierten Code auszuführen, bevor das Betriebssystem startet. Mehrere Anbieter haben Korrekturen für betroffene Produkte veröffentlicht oder angekündigt.