CISA fordert sofortige Patches für Cisco CVE-2026-20230

Die US-amerikanische Cybersicherheitsbehörde CISA (Cybersecurity and Infrastructure Security Agency) hat Bundesbehörden angewiesen, Cisco CVE-2026-20230 umgehend zu patchen, nachdem bestätigt wurde, dass Angreifer die Schwachstelle aktiv ausnutzen.

CISA hat die Sicherheitslücke in den Katalog der Known Exploited Vulnerabilities (KEV) aufgenommen und Behörden, die unter die Binding Operational Directive (BOD) 26-04 fallen, angewiesen, die Schwachstelle bis spätestens 28. Juni zu beheben.

Cisco CVE-2026-20230 wird bereits aktiv angegriffen

Cisco veröffentlichte CVE-2026-20230 Anfang des Monats und stufte die Schwachstelle als kritisch ein. Es handelt sich um eine Server-Side Request Forgery (SSRF)-Schwachstelle, die den Cisco Unified Communications Manager Server betrifft.

Angreifer können die Schwachstelle aus der Ferne und ohne Authentifizierung ausnutzen, indem sie speziell präparierte HTTP-Anfragen an verwundbare Systeme senden.

Cisco veröffentlichte am 3. Juni Sicherheitsupdates und bestätigte gleichzeitig, dass bereits Proof-of-Concept-Code zur Ausnutzung der Schwachstelle existierte. Zu diesem Zeitpunkt hatte das Unternehmen jedoch noch keine aktiven Angriffe beobachtet.

Diese Situation änderte sich, nachdem Sicherheitsforscher die Ausnutzung der Schwachstelle in realen Angriffen nachgewiesen hatten.

Sicherheitsforscher bestätigen aktive Ausnutzung

Das Sicherheitsunternehmen Defused entdeckte kürzlich Angriffe, bei denen Cisco CVE-2026-20230 gegen öffentlich erreichbare Systeme ausgenutzt wurde.

Nach Angaben der Forscher konnten die Angreifer durch die Schwachstelle beliebige Textdateien auf verwundbaren Systemen erstellen. Obwohl die aktive Ausnutzung bestätigt wurde, konnten die Ermittler die verantwortliche Angreifergruppe bislang nicht identifizieren.

Die Entdeckung veranlasste CISA dazu, die Schwachstelle als aktiv ausgenutzt einzustufen und die Frist für Bundesbehörden zur Behebung zu verkürzen.

CISA nimmt auch kritische PTC-Schwachstelle in den KEV-Katalog auf

Darüber hinaus hat CISA CVE-2026-12569 in den Katalog der Known Exploited Vulnerabilities aufgenommen.

Die Schwachstelle betrifft PTC Windchill und FlexPLM, zwei Plattformen für das Produktlebenszyklusmanagement (PLM), die unter anderem in der Fertigungsindustrie, im Maschinenbau, im Einzelhandel sowie in der Bekleidungs-, Schuh- und Konsumgüterbranche weit verbreitet sind.

Forscher stufen die Schwachstelle als kritische Sicherheitslücke zur Remotecodeausführung (RCE) ein. Ursache ist eine unzureichende Eingabevalidierung bei der Deserialisierung nicht vertrauenswürdiger Daten.

PTC veröffentlichte die Sicherheitswarnung am 18. Juni und forderte Kunden auf, die verfügbaren Sicherheitsupdates umgehend zu installieren.

Laut der Sicherheitsmitteilung des Unternehmens betrifft die Schwachstelle alle Windchill-Versionen bis einschließlich 11.0 sowie mehrere Versionen der Produktreihen 11.1, 11.2, 12.0, 12.1 und 13.0.

Bundesbehörden müssen bis zum 28. Juni handeln

CISA hat Bundesbehörden eine Frist bis zum 28. Juni gesetzt, um beide Schwachstellen gemäß Binding Operational Directive 26-04 zu beheben.

Organisationen, die unter diese Richtlinie fallen, müssen die bereitgestellten Sicherheitsupdates installieren oder empfohlene Schutzmaßnahmen umsetzen. Falls Administratoren die betroffenen Systeme nicht rechtzeitig absichern können, empfiehlt CISA, die betroffenen Produkte bis zur Installation der Updates außer Betrieb zu nehmen.

Die jüngsten Ergänzungen des KEV-Katalogs zeigen, wie schnell sich Proof-of-Concept-Exploits zu aktiven Angriffskampagnen entwickeln können. Unternehmen und Behörden, die Cisco Unified Communications Manager oder die betroffenen PTC-Produkte einsetzen, sollten die verfügbaren Sicherheitsupdates daher umgehend installieren, um das Risiko einer Kompromittierung zu minimieren.