Cisco stopft diverse, teils kritische Sicherheitslücken

Cisco hat 15 Sicherheitsmitteilungen zu Schwachstellen in diversen Produkten aus dem Portfolio des Unternehmens veröffentlicht. Drei davon gelten als kritisch. IT-Verantwortliche sollten die Aktualisierungen daher zügig anwenden.

Vorneweg geht eine Sicherheitsmitteilung zu den jüngsten kritischen PHP-Sicherheitslücken mit dem Titel „php2shell“. Das Unternehmen schreibt, dass es noch untersucht, welche Produkte betroffen sind, konnte das aber bereits für Ultra-Reliable Wireless Backhaul (URWB), Expressway Series und Expressway Select Series bestätigen. Für Admins unerfreulich: Die Lücken sind nun bekannt und werden angegriffen, aber URWB soll erst im Februar 2027 mit Version 27.1.1 einen Fix erhalten. Immerhin müssen Angreifer dort als Administrator angemeldet sein, Cisco senkt die CVSS-Einstufung daher auf 6.6. Die Expressway-Korrekturen haben noch nicht einmal ein geplantes Datum, sollen aber in Version 15.5.21 nicht mehr anfällig sein.

Das Oktober-Release der Unified-Communications-Produkte von Cisco schließt gleich acht Sicherheitslücken, von denen drei als kritisch bis zu einem CVSS-Wert 9.8 und die anderen als hochriskant gelten. Angreifer können dadurch etwa die Authentifizierung umgehen oder SQL-Befehle einschleusen. Cisco Emergency Responder, Prime Collaboration Deployment, Unified CM, Unified CM IM&P, Unified CM SME und Unity Connection bekommen mit Fassung 15SU5 die nötigen Sicherheitskorrekturen; wer noch auf dem 14er-Zweig unterwegs ist, soll auf die 15er-Version migrieren, schreibt Cisco in der Sicherheitsmeldung.

Weitere kritische Lücken

Aufgrund einer Schwachstelle im Datenbankdienst von Ciscos Expressway-Reihe können nicht authentifizierte Angreifer aus dem Netz beliebige Systembefehle als root ausführen, wenn sie Netzwerkzugriff auf ein Expressway-Gerät erlangen (CVE-2026-76466, CVSS 9.8, Risiko „kritisch“). Voraussetzung ist allerdings, dass die Geräte im Cluster laufen und die Angreifer im Besitz bestimmter persistenter Cookies sind. Die Version X15.5.20 schließt die Lücke, Nutzer von X14 und älter müssen migrieren.

Das quelloffene Intrusion-Detection-System Snort 3 hat Cisco mit dem Oktober-2026-Release ebenfalls mit Sicherheitsflicken versorgt, die vier Schwachstellen ausbessern. Zwei davon gelten mit CVSS-Wert 9.0 als kritisch, zwei weitere als hochriskant. Die korrigierten Softwareversionen lauten Snort 3.12.4.0, Cisco Cyber Vision 5.6.0, Cisco Secure FTD 7.0.10, 7.2.12, 7.4.8, 7.6.6, 7.7.13, 10.0.2 und 10.1.0 sowie Cisco IOS XE 17.12.8 (secapp-utd.17.12.08.1.2.8_SV3.12.4.0_XE17.12), 17.15.6 (secapp-utd.17.15.06.1.0.21_SV3.12.4.0_XE17.15), 17.18.5, 26.1.2 (secapp-utd.26.01.02.1.0.6_SV3.12.4.0_XE26.1) und 26.2.1.

Im Cisco-Sicherheitscenter listet der Hersteller seit dem 21. Oktober noch diverse weitere Produkte und Sicherheitslücken auf. Administratoren sollten prüfen, ob sie verwundbare Cisco-Produkte davon einsetzen und die Updates einspielen.

Da Cisco-Produkte Angreifern potenziell Zugang zu Netzwerken gewähren, stehen Schwachstellen darin hoch im Kurs bei Kriminellen. Mitte Oktober wurden etwa Angriffe in freier Wildbahn auf eine als kritisches Risiko eingestufte Root-Lücke in Ciscos Secure E-Mail Gateway bekannt.

(dmk)