CVE-2026-20122
Cisco Catalyst SD-WAN Manager Incorrect Use of Privileged APIs Vulnerability
Beschreibung
CVE-2026-20122 ist eine Schwachstelle mit dem Schweregrad HIGH in Cisco Catalyst SD-WAN Manager (früher vManage), verursacht durch die fehlerhafte Nutzung privilegierter APIs und klassifiziert unter CWE-269 (Improper Privilege Management). Der Fehler liegt in der Dateiverarbeitungslogik der API-Schnittstelle, wo unzureichende Autorisierungsprüfungen einem authentifizierten Angreifer ermöglichen, eine schädliche Datei an beliebige Speicherorte im lokalen Dateisystem des SD-WAN Manager-Knotens hochzuladen, kritische Systemdateien zu überschreiben und Privilegien auf das vmanage-Benutzerkonto zu eskalieren. Da der Cisco SD-WAN Manager die zentrale Orchestrierungs- und Richtlinienverwaltungsebene für unternehmensweite SD-WAN-Deployments darstellt, verschafft ein erfolgreicher Exploit dem Angreifer die Kontrolle über das gesamte SD-WAN-Netzwerk, einschließlich Routing-Richtlinien, VPN-Konfigurationen und verbundener Branch-Endpunkte. CISA hat CVE-2026-20122 am 20. April 2026 in den Known Exploited Vulnerabilities (KEV) Katalog aufgenommen und Emergency Directive 26-03 herausgegeben, die Bundesbehörden zur Behebung bis zum 23. April 2026 verpflichtet – ein Drei-Tage-Fenster, das das kritische Risiko für die nationale Netzwerkinfrastruktur widerspiegelt. CVE-2026-20122 ist Teil eines Clusters von drei SD-WAN Manager-Schwachstellen, die unter ED 26-03 zusammengefasst sind, zusammen mit CVE-2026-20133 und CVE-2026-20128. Der EPSS-Score beträgt 0,01124 und platziert diese Schwachstelle im 78,3. Perzentil aller CVEs – was auf eine erhöhte Ausnutzungswahrscheinlichkeit im Vergleich zur gesamten CVE-Population hinweist.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:NIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| cisco | catalyst sd-wan manager | < 20.9.8.2; >= 20.10, < 20.12.5.3; >= 20.13, < 20.15.4.2; >= 20.16, < 20.18.2.1; 20.12.6 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N
Referenzen
Schwachstellentyp
CWE-269: Improper Privilege Management
CWE-269 beschreibt Software, die Berechtigungen für einen Akteur nicht korrekt zuweist, modifiziert, verfolgt oder überprüft, was unbefugten Zugriff auf privilegierte Operationen oder Ressourcen ermöglicht. Im Kontext von CVE-2026-20122 manifestiert sich die Schwachstelle in der API-Schicht des Cisco SD-WAN Manager, wo ein privilegierter interner API-Endpunkt, der für Dateisystemoperationen zuständig ist, aufgerufen werden kann, ohne dass der Aufrufer zuvor einer angemessenen Autorisierungsprüfung unterzogen wird. Anstatt zu überprüfen, ob die aufrufende Identität die spezifischen erhöhten Rechte besitzt, die für Dateisystem-Schreibvorgänge und Privileg-Eskalation erforderlich sind, geht die API davon aus, dass die korrekte Zugriffskontrolle bereits in einer vorgelagerten Schicht stattgefunden hat – ein klassisches Confused-Deputy-Muster, das ausgenutzt werden kann, wenn die vorgelagerte Prüfung umgangen wird oder die API über einen unerwarteten Code-Pfad erreichbar ist.
Die praktische Konsequenz ist, dass ein authentifizierter Angreifer mit niedrig-privilegierten Zugangsdaten die privilegierte Datei-Upload-API aufrufen, angreifer-kontrollierten Inhalt an beliebigen Pfaden im lokalen Dateisystem des SD-WAN Manager platzieren, Konfigurations- oder ausführbare Dateien überschreiben und schließlich vmanage-Level-Benutzerrechte erlangen kann. Die Privileg-Eskalation auf vmanage ist besonders schwerwiegend, da vmanage die Superuser-Rolle in Cisco SD-WAN Manager ist, mit der Möglichkeit, globale Routing-Richtlinien, VPN-Topologie, Geräte-Templates und Authentifizierungseinstellungen für alle verbundenen SD-WAN-Router zu ändern. Mehr erfahren: CWE-269 — Improper Privilege Management
Auswirkungsanalyse
Zum Zeitpunkt der Erstellung wurde kein offizieller NVD CVSS-Score für CVE-2026-20122 veröffentlicht; die folgende Analyse basiert auf den technischen Eigenschaften der Schwachstelle, der CISA Emergency Directive 26-03-Klassifizierung und dem kontextuellen Vergleich mit ähnlichen Cisco SD-WAN-Schwachstellen.
Attack Vector (Netzwerk): Die Schwachstelle ist remote über das Netzwerk via der exponierten API-Schnittstelle des SD-WAN Manager ausnutzbar, die typischerweise für SD-WAN-Administratoren zugänglich ist und in falsch konfigurierten Deployments auch aus breiteren Netzwerksegmenten erreichbar sein kann.
Attack Complexity (Niedrig): Die Ausnutzung erfordert keine speziellen Race Conditions, Timing-Abhängigkeiten oder komplexe Umgebungsvorbereitungen, außer dem Besitz gültiger Zugangsdaten. Der Angreifer erstellt lediglich eine API-Anfrage, die den privilegierten Endpunkt mit einem schädlichen Datei-Payload aufruft.
Privileges Required (Niedrig): Ein standardmäßiges authentifiziertes Benutzerkonto ist ausreichend, um die Schwachstelle auszulösen – keine administrativen Rechte sind für den Angriffsbeginn erforderlich, was die Schwachstelle für kompromittierte niedrig-privilegierte Konten oder Insider-Bedrohungen zugänglich macht.
User Interaction (Keine): Von einem anderen Benutzer ist keine Aktion erforderlich; der Angreifer agiert nach der Authentifizierung vollständig autonom.
Scope und Impact: Die Schwachstelle überschreitet eine Privilegiengrenze (niedriger Benutzer zu vmanage Superuser), was eine vollständige Kompromittierung des Autorisierungsmodells des SD-WAN Manager darstellt. Vertraulichkeit, Integrität und Verfügbarkeit des SD-WAN-Netzwerks sind alle auf HIGH: Der Angreifer kann Routing-Konfigurationen und Zugangsdaten exfiltrieren, die SD-WAN-Topologie ändern, Datenverkehr umleiten und die Konnektivität über alle verwalteten Branch-Standorte hinweg unterbrechen.
Priorisierungsempfehlung: Die Kombination aus KEV-Aufnahme mit einer Emergency Directive und einem Drei-Tage-Behebungsfenster (20.–23. April 2026), dem 78,3. Perzentil EPSS-Score und der kritischen Netzwerkinfrastruktur-Rolle des Cisco SD-WAN Manager erfordert eine sofortige Behebung. Organisationen sollten dies als Zero-Day-Response behandeln, unabhängig davon, ob offizielle Patches verfügbar sind.
Exploit-Reifegrad
KEV-Aufnahme und Emergency Directive: CVE-2026-20122 wurde am 20. April 2026 in CISA's Known Exploited Vulnerabilities Katalog aufgenommen und ist unter Emergency Directive 26-03 abgedeckt – einem der dringlichsten CISA-Reaktionsmechanismen, der für Schwachstellen reserviert ist, die aktiv gegen die föderale Infrastruktur ausgenutzt werden oder ein schweres Risiko für diese darstellen. Das Drei-Tage-Behebungsfenster (fällig am 23. April 2026) ist deutlich kürzer als die standardmäßige 15-Tage-KEV-Frist und signalisiert bestätigte, zeitkritische Ausnutzungsaktivitäten.
EPSS-Kontext: Der EPSS-Score von 0,01124 (78,3. Perzentil) ist bemerkenswert: Obwohl die Rohwahrscheinlichkeit niedrig erscheint, bedeutet die Platzierung im 78,3. Perzentil, dass diese Schwachstelle im oberen Viertel aller CVEs nach vorhergesagter Ausnutzungswahrscheinlichkeit rangiert. Bei Netzwerkinfrastruktur-Schwachstellen, die zentrale Management-Planes betreffen, können selbst moderate EPSS-Scores ein erhebliches Risiko bedeuten, angesichts des Angreifer-Interesses an SD-WAN-Umgebungen als Ziele mit Multiplikatoreffekt.
Cluster-Ausnutzungsmuster: CVE-2026-20122 ist Teil eines Drei-CVE-Clusters (mit CVE-2026-20133 und CVE-2026-20128), der gemeinsam Aufklärung, Credential-Diebstahl und Privileg-Eskalation gegen Cisco SD-WAN Manager ermöglicht. Dieses Clustering deutet auf koordinierte Ausnutzung durch einen ausgeklügelten Bedrohungsakteur oder strukturierte Angriffswerkzeuge hin, die auf Cisco SD-WAN Deployments abzielen.
Ransomware: Zum Zeitpunkt der Erstellung wurden keine bekannten Ransomware-Kampagnen speziell CVE-2026-20122 zugeschrieben; jedoch ist die durch dieses CVE bereitgestellte vmanage Privileg-Eskalationsfähigkeit für Ransomware-Betreiber hochattraktiv, die Branch-Standort-Konfigurationen verschlüsseln und Netzwerkbetrieb im großen Maßstab stören wollen.
Öffentlicher PoC: Zum 24. April 2026 wurde kein öffentlicher Proof-of-Concept Exploit-Code bestätigt, was mit dem frischen Offenlegungsdatum und dem Emergency Directive-Zeitplan konsistent ist.
Behebung
-
CISA Emergency Directive 26-03 einhalten. Federal Civilian Executive Branch (FCEB)-Behörden müssen CVE-2026-20122 gemäß ED 26-03 bis zum 23. April 2026 beheben. Alle Organisationen, die Cisco Catalyst SD-WAN Manager betreiben, sollten diese Frist angesichts des aktiven Ausnutzungsrisikos als Best-Practice-Ziel betrachten.
-
Cisco-Sicherheits-Patches sofort anwenden. Das Cisco Security Advisory für CVE-2026-20122 (verfügbar unter tools.cisco.com/security/center) überwachen und die gepatchte SD-WAN Manager Software-Version so schnell wie möglich nach Veröffentlichung einspielen. Den Cisco-Upgrade-Leitfaden für Ihr SD-WAN Manager Deployment befolgen (Standalone oder Cluster).
-
API-Zugriff als vorübergehende Maßnahme einschränken. Wenn Patching nicht sofort möglich ist, den Zugriff auf die API-Schnittstelle des SD-WAN Manager über ACLs, Firewall-Regeln oder Netzwerksegmentierung einschränken. Den API-Zugriff auf bekannte administrative IP-Bereiche beschränken und VPN oder Jump-Host-Zugriff für alle Management-Plane-Verbindungen erzwingen. Nicht verwendete API-Endpunkte deaktivieren, wo es die Hersteller-Dokumentation erlaubt.
-
Authentifizierungs- und Autorisierungslogs prüfen. Die SD-WAN Manager Audit-Logs auf unerwartete API-Aufrufe, Datei-Upload-Operationen oder Rechteänderungen überprüfen – insbesondere Ereignisse, die das vmanage-Benutzerkonto betreffen und nicht von bekannten Administratoren initiiert wurden. Nach anomalen Anmeldezeitstempeln, Quell-IPs oder API-Endpunkten in den Management-Logs suchen.
-
Anomalie-Erkennung für SD-WAN-Management-Traffic implementieren. Alarme für Privileg-Eskalationsereignisse, unerwartete Dateiänderungen im SD-WAN Manager-Dateisystem und ungewöhnliche API-Aufrufmuster konfigurieren. Mit SIEM-Daten korrelieren, um laterale Bewegungen von einem kompromittierten SD-WAN Manager zu verbundenen SD-WAN-Routern zu erkennen.
-
Das SD-WAN Manager Deployment härten. Das Prinzip der minimalen Rechte auf alle SD-WAN Manager-Benutzerkonten anwenden. Nicht verwendete Konten entfernen, Multi-Faktor-Authentifizierung auf allen Management-Interfaces erzwingen und die Management-Plane segmentieren, sodass der SD-WAN Manager nicht aus nicht vertrauenswürdigen Netzwerken erreichbar ist. API-Autorisierungsrichtlinien regelmäßig überprüfen und Hersteller-Härtungsleitfäden anwenden.
Technische Details
CVE-2026-20122 befindet sich in der API-Schnittstelle von Cisco Catalyst SD-WAN Manager, der zentralen Management-, Richtlinien- und Orchestrierungskomponente der Cisco SD-WAN (früher Viptela) Architektur.
Root Cause — Privilegierte API-Fehlkonfiguration: Die Schwachstelle entsteht durch einen internen API-Endpunkt, der für Dateimanagement-Operationen entwickelt wurde (wie Konfigurations-Uploads, Software-Image-Staging oder Template-Datei-Handling) und vor der Verarbeitung von angreifer-kontrollierten Dateiinhalten und Ziel-Pfad-Parametern eine unzureichende Autorisierung erzwingt. Die API operiert mit den Privilegien des vmanage-Systembenutzers, validiert aber nicht, ob der Aufrufer eine gleichwertige Berechtigungsstufe besitzt. Dies ist ein Privilege-Management-Fehler und kein traditioneller Injection-Fehler: Die API funktioniert wie vorgesehen, aber das Design hat versäumt, den Zugriff korrekt zu begrenzen.
Angriffsmechanik: Ein authentifizierter Angreifer (jede gültige SD-WAN Manager-Zugangsdaten) sendet eine präparierte HTTP-Anfrage an den verwundbaren API-Endpunkt und liefert einen angreifer-kontrollierten Datei-Payload sowie einen Pfad-Parameter, der an einen Speicherort außerhalb des erwarteten Upload-Verzeichnisses aufgelöst wird – z. B. durch Überschreiben eines Startup-Skripts, eines Cron-Jobs oder einer Konfigurationsdatei, die von einem privilegierten Prozess verwendet wird. Da die API mit vmanage-Level-Privilegien läuft, ist die geschriebene Datei im Besitz von vmanage und ausführbar. Durch das Platzieren eines schädlichen Skripts oder Binärprogramms an einem automatisch ausgeführten Speicherort erreicht der Angreifer persistente Code-Ausführung als vmanage Superuser.
Cluster-Kontext: Dieses CVE wurde zusammen mit CVE-2026-20133 (Offenlegung vertraulicher Informationen) und CVE-2026-20128 offengelegt, die alle Cisco Catalyst SD-WAN Manager betreffen. CISA hat alle drei unter Emergency Directive 26-03 zusammengefasst, was auf ein koordiniertes Ausnutzungsszenario hinweist, bei dem die Informationsoffenlegung (CVE-2026-20133) dazu verwendet werden kann, Zugangsdaten oder Session-Token zu sammeln, die die Privileg-Eskalation in CVE-2026-20122 ermöglichen.
Herstellerreferenzen: Das Cisco Security Advisory unter tools.cisco.com/security/center für betroffene Software-Versionen, behobene Releases und Workaround-Anleitungen konsultieren. Außerdem CISA Emergency Directive 26-03 unter cisa.gov für Compliance-Anforderungen von Bundesbehörden prüfen.
Häufig gestellte Fragen
Wird CVE-2026-20122 aktiv ausgenutzt?
Ja. CISA hat CVE-2026-20122 am 20. April 2026 in den KEV-Katalog aufgenommen und Emergency Directive 26-03 mit einer Drei-Tage-Behebungsfrist herausgegeben – eines der stärksten Signale, die CISA für aktive, zeitkritische Ausnutzung ausgibt. Organisationen, die Cisco Catalyst SD-WAN Manager betreiben, sollten davon ausgehen, dass Ausnutzung stattfindet, und die Behebung als Notfallreaktion behandeln.
Welche Produkte sind betroffen?
Cisco Catalyst SD-WAN Manager (früher vManage) ist das betroffene Produkt. Das Cisco Security Advisory für die spezifischen Software-Versionen mit der Schwachstelle konsultieren. Andere Komponenten der Cisco SD-WAN Lösung (Router mit IOS XE SD-WAN, vBond, vSmart) sind nicht direkt verwundbar, aber gefährdet, wenn der SD-WAN Manager kompromittiert wird.
Wie behebt man die Schwachstelle?
Den von Cisco herausgegebenen Patch für CVE-2026-20122 so schnell wie möglich über das Cisco Security Advisory Portal anwenden. Als vorübergehende Maßnahme den API-Zugriff auf den SD-WAN Manager auf bekannte administrative IP-Bereiche einschränken und VPN/Jump-Host-Zugriff für alle Management-Verbindungen erzwingen. Audit-Logs sofort auf Anzeichen einer Ausnutzung überprüfen.
Wie schwerwiegend ist die Schwachstelle?
CVE-2026-20122 wird mit dem Schweregrad HIGH bewertet. Obwohl noch kein formaler NVD CVSS-Score veröffentlicht wurde, macht die Kombination aus Remote-Ausnutzbarkeit, niedrigen Rechte-Anforderungen, keiner Benutzerinteraktion, Privileg-Eskalation auf den vmanage Superuser und seiner Aufnahme unter eine CISA Emergency Directive diese Schwachstelle zu einer der operativ gefährlichsten, die im April 2026 für Organisationen mit Cisco SD-WAN Infrastruktur offengelegt wurde.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.