Cisco Catalyst SD-WAN unter Angriff: Wie ein Zero-Day über einen bösartigen CSV-Upload Root-Rechte erzeugte

Wie kann eine simple CSV-Datei in einem der teuersten und am weitesten verbreiteten SD-WAN-Ökosysteme der Welt zum vollständigen Root-Zugriff führen? Die Antwort liefert der jüngste Fall um CVE-2026-20245 in Cisco Catalyst SD-WAN: Ein bis dato unbekannter Angreifer nutzte die Schwachstelle mindestens zwei Monate vor der öffentlichen Enthüllung als Zero-Day aus, drang bei einem Kommunikations-Service-Provider ein und erhielt Root-Rechte auf kritischen Controller-Komponenten. Was zunächst nach einem klassischen Konfigurationsfehler klingt, entpuppt sich bei genauerer Betrachtung als alarmierendes Muster: Netzwerkinfrastruktur wird nicht mehr nur über Speicherfehler oder komplexe Remote-Code-Execution-Ketten kompromittiert, sondern über scheinbar harmlose Dateiuploads und unzureichende Eingabevalidierung in der Kommandozeile.

Die Enthüllung durch Mandiant, die Threat-Intelligence-Einheit von Google Cloud, am 24. Juni 2026 sowie die nachfolgende Berichterstattung von The Hacker News am 25. Juni 2026 werfen ein Schlaglicht auf eine Kampagne, die mindestens seit Ende 2025 aktiv war. Dabei kamen nicht nur CVE-2026-20245 zum Einsatz, sondern auch zwei weitere kritische Zero-Day-Lücken im Peering-Bereich. Für Unternehmen, die auf Cisco Catalyst SD-WAN setzen, stellt sich die Frage nicht mehr, ob sie angegriffen werden könnten, sondern ob ihre Infrastruktur bereits kompromittiert ist, ohne dass sie es merkten.

Die Attacke im Detail: Von Rogue Peering zum Root-Account

Wie der Angreifer die drei Schwachstellen verknüpfte

Der Angriff, den Mandiant in seinem Google Cloud Threat Intelligence Blog detailliert beschreibt, folgte einer mehrstufigen Logik. Zunächst etablierte der Angreifer sogenanntes Rogue Peering zwischen kompromittierten oder neu hinzugefügten SD-WAN-Edge-Geräten und den zentralen Controllern. Dazu nutzte er zwei weitere Zero-Day-Schwachstellen: CVE-2026-20127 und CVE-2026-20182. Beide Lücken ermöglichen einen Authentication Bypass im Peering-Mechanismus und sind laut Cisco als kritisch eingestuft. Erst durch diesen Eintrittspunkt konnte der Angreifer die SD-WAN-Fabric manipulieren und Datenverkehr umleiten oder überwachen.

Doch der eigentliche Bruch in die Tiefe des Systems erfolgte erst mit CVE-2026-20245. Nachdem der Angreifer über die Peering-Lücken genügend Kontrolle erlangt hatte, wechselte er zur Eskalation innerhalb der Management- und Controller-Ebene. Hier zeigt sich eine typische Taktik moderner Advanced Persistent Threats (APTs): Nicht der Weg über das Internet, sondern der Weg durch das vermeintlich vertraute interne Netzwerk führt zum Ziel. Wer einmal als legitimer Peer in der SD-WAN-Fabric agieren kann, hat deutlich mehr Spielraum, als ein externer Angreifer jemals hätte.

Der „evil_tenant.csv“ und der Account „troot“

Der Kern der Privilege Escalation ist erstaunlich schlicht und daher umso brisanter. Der Angreifer lud über den CLI-Befehl request tenant-upload eine präparierte Datei namens evil_tenant.csv auf das System. Diese CSV-Datei enthielt nicht nur Tenant-Daten, sondern eingebetteten Shell-Code. Aufgrund der unzureichenden Validierung von Benutzereingaben in der CLI wurde der Code während der Verarbeitung ausgeführt und legte einen neuen Root-Account mit dem Namen „troot“ in /etc/passwd und /etc/shadow an.

Mit diesem Account besaß der Angreifer dauerhaften Root-Zugriff auf die betroffenen Systeme. Besonders pikant: Für den erfolgreichen Angriff auf CVE-2026-20245 benötigte der Angreifer lediglich lokale Authentisierung und netadmin-Privilegien. Das ist keine vollständige Fremdangriffslücke aus dem Internet, sondern eine klassische horizontale Eskalation: Wer als Netzwerkadministrator im System agieren darf, kann sich durch den Upload zu Root hochstufen. In einer kompromittierten Umgebung, in der ein Angreifer bereits über die Peering-Lücken Fuß gefasst hat, ist diese Hürde jedoch minimal.

Technische Anatomie von CVE-2026-20245

CLI-Injection durch unzureichende Eingabevalidierung

Die Schwachstelle CVE-2026-20245 wird vom National Vulnerability Database (NVD) und von Cisco mit einem CVSS-Score von 7.8 bewertet. Sie entsteht durch unzureichende Validierung von Benutzereingaben in der Kommandozeilenschnittstelle. Konkret verarbeitet der Befehl request tenant-upload hochgeladene Dateien, ohne deren Inhalt ausreichend zu sanitizen. Shell-Metazeichen, eingebettete Befehle oder manipulierte Felder in der CSV können so an das zugrundeliegende Betriebssystem durchgereicht werden.

Diese Art von Schwachstelle ist in der Netzwerkinfrastruktur verbreiteter, als viele Administratoren wahrhaben wollen. CLI-Befehle werden oft als vertrauenswürdige Verwaltungswerkzeuge behandelt, doch sobald sie Dateiuploads oder externe Eingaben verarbeiten, entsteht eine Angriffsfläche, die der einer Webanwendung in nichts nachsteht. Der Fall erinnert an andere jüngere Vorfälle, bei denen scheinbar harmlose Upload-Funktionen zur Code-Ausführung führten, etwa den Splunk Enterprise Codeschmuggel, der ebenfalls über manipulierte Dateiinhalte funktionierte.

Auswirkungen auf Manager, Controller und Validator

Betroffen sind drei zentrale Komponenten der Cisco Catalyst SD-WAN-Architektur: der Manager (früher vManage), der Controller (früher vSmart) und der Validator (früher vBond). Diese drei Komponenten bilden das Gehirn und das Nervensystem eines SD-WAN-Netzwerks. Der Manager verwaltet Konfigurationen und Richtlinien, der Controller steuert den Datenverkehr und der Validator authentifiziert Geräte bei der Aufnahme in die Fabric.

Wenn ein Angreifer auf einer dieser Komponenten Root-Rechte erlangt, kann er theoretisch das gesamte SD-WAN manipulieren: Routen umleiten, Verschlüsselungsschlüssel stehlen, Konfigurationen ändern, Backdoors in Edge-Geräten einspielen oder den Datenverkehr von Tausenden Standorten belauschen. Die Tatsache, dass die Lücke alle drei Komponenten betrifft, macht sie besonders gefährlich. Selbst wenn ein Unternehmen nur den Manager hart gepatcht hat, können Controller oder Validator weiterhin verwundbar sein und als Einfallstor dienen.

Zeitraum und Opfer: Mindestens zwei Monate im Schatten

Kommunikations-Service-Provider als Ziel

Das von Mandiant untersuchte Opfer war ein Kommunikations-Service-Provider (CSP). Diese Wahl ist strategisch hochbedeutsam: CSPs betreiben SD-WAN-Infrastruktur nicht nur für sich selbst, sondern häufig als Managed Service für zahlreiche Unternehmenskunden. Eine Kompromittierung auf Provider-Ebene kann sich daher wie ein Multiplikator auswirken und Dutzende oder Hunderte downstream-Kunden gefährden. Der Angreifer erhielt nicht nur Zugriff auf die internen Systeme des Providers, sondern potenziell auch auf die Verwaltungsebene, über die Kundenstandorte, Richtlinien und möglicherweise sensible Daten fließen.

Diese Angriffsrichtung passt in ein breiteres Muster des Jahres 2026. Auch andere Infrastrukturangriffe, wie die jüngst bekanntgewordene FortiBleed-Kampagne, bei der rund 74.000 Fortinet-Firewalls durch Credential Stuffing kompromittiert wurden, zeigen, dass Angreifer gezielt Netzwerkgeräte ins Visier nehmen, die den Datenverkehr vieler Organisationen kontrollieren. Wer die Infrastruktur kontrolliert, kontrolliert die Kommunikation – und damit oft auch die Daten.

Zeitleiste von Ende 2025 bis Juni 2026

Die Kampagne verlief in mehreren Wellen. Erste Rogue-Peering-Aktivitäten datieren Mandiant auf den Zeitraum Ende 2025 bis Januar 2026. In dieser Phase etablierte der Angreifer offenbar die ersten persistenten Verbindungen und testete die Peering-Lücken aus. Eine zweite Welle folgte im März 2026, in der auch CVE-2026-20245 aktiv ausgenutzt wurde. Das bedeutet: Mindestens zwei Monate lang, möglicherweise länger, war die Schwachstelle in freier Wildbahn bekannt und genutzt, bevor Cisco und die Öffentlichkeit davon erfuhren.

Cisco veröffentlichte sein Security Advisory „cisco-sa-sdwan-privesc-4uxFrdzx“ am 14. Mai 2026. Erst danach wurde die Schwachstelle öffentlich, doch die Angreifer hatten bereits ein beträchtliches Zeitfenster genutzt. Die CISA reagierte am 9. Juni 2026 und nahm CVE-2026-20245 in ihren Known Exploited Vulnerabilities (KEV) Catalog auf. Die gesetzte Due Date für Bundesbehörden liegt beim 23. Juni 2026 – ein extrem knapper Zeitrahmen, der die Dringlichkeit unterstreicht.

Bedrohungslage und weitere CVEs

CVE-2026-20127 und CVE-2026-20182 als Einfallstore

CVE-2026-20245 war nicht die einzige Lücke in dieser Kampagne. Die beiden Authentication-Bypass-Schwachstellen CVE-2026-20127 und CVE-2026-20182 im Peering-Bereich spielen eine mindestens ebenso wichtige Rolle. Sie ermöglichen es einem Angreifer, sich als legitimer SD-WAN-Peer auszugeben, ohne die eigentliche Authentifizierung zu bestehen. In einer SD-WAN-Fabric, die auf verteilten Standorten und automatisiertem Peering basiert, ist dies verheerend: Der Controller kann nicht mehr zuverlässig zwischen einem echten Branch-Router und einem vom Angreifer kontrollierten System unterscheiden.

Diese Kombination aus Authentication Bypass und anschließender Privilege Escalation ist ein Paradebeispiel für die Komplexität moderner Angriffsketten. Keine der drei Lücken für sich allein wäre zwangsläufig katastrophal gewesen. Zusammen erlauben sie jedoch eine durchgängige Kompromittierung: vom externen Peering über die Infiltration der Fabric bis hin zur Root-Ebene der zentralen Controller. Unternehmen, die nur CVE-2026-20245 patchen, aber die Peering-Lücken ignorieren, lassen die Haustür weit offen.

CISA KEV und Patch-Druck

Die Aufnahme in den CISA-KEV-Katalog bedeutet für US-Bundesbehörden eine verbindliche Patch-Pflicht bis zum 23. Juni 2026. Doch auch für deutsche und europäische Unternehmen ist dieser Katalog ein wichtiger Indikator: Er signalisiert, dass eine Schwachstelle aktiv ausgenutzt wird und dass Gegenmaßnahmen unverzüglich erforderlich sind. Das CISA KEV Catalog gilt längst als international anerkannter Frühwarnmechanismus, der von vielen SOC-Teams und Compliance-Abteilungen weltweit überwacht wird.

Cisco hat für CVE-2026-20245 Patches für zahlreiche Versionen bereitgestellt. Betroffen sind unter anderem Versionen bis 20.9.9.1, die 20.10er bis 20.12.5.4, 20.12.6 bis 20.12.6.2, 20.12.7, die 20.13er bis 20.15.4.4, 20.15.5 bis 20.15.5.2, die 20.16er bis 20.18.2.2 sowie 26.1 bis 26.1.1.1. Administratoren sollten dringend prüfen, welche Versionen in ihrer Umgebung laufen, und die von Cisco empfohlenen Fixed Releases einspielen. Parallel müssen auch die Patches für CVE-2026-20127 und CVE-2026-20182 installiert werden, da sonst die Peering-Lücken weiterhin als Einfallstor dienen.

Vergleich mit anderen Zero-Day-Kampagnen 2026

FortiBleed, FortiOS und Splunk als Wegweiser

Der Cisco-SD-WAN-Fall reiht sich ein in eine Serie hochkarätiger Infrastrukturangriffe im Jahr 2026. Auffällig ist, dass die Angriffe nicht mehr primär auf Endpunkte oder klassische Server abzielen, sondern auf die Kontroll- und Routing-Ebenen des Netzwerks. Die folgende Tabelle ordnet CVE-2026-20245 in den Kontext anderer aktueller Bedrohungen ein:

Die Gemeinsamkeiten sind frappierend: In allen Fällen dient eine scheinbar legitime Funktion – ein VPN-Zugang, eine Firewall-Verwaltung, ein Dateiupload, eine App-Installation – als Hebel für eine weitaus größere Kompromittierung. Die BSI-Warnung vor der kritischen FortiOS SSL VPN Zero-Day-Lücke zeigt zudem, dass staatliche Stellen zunehmend aktiv werden, wenn Millionen Unternehmensfirewalls im Visier stehen. Das Vertrauen in Perimeter-Geräte als unangreifbare Bastionen hat sich 2026 endgültig als Illusion erwiesen.

Was der Vergleich über die Bedrohungslage 2026 verrät

Drei Erkenntnisse lassen sich aus der Parallelität dieser Fälle ableiten. Erstens: Angreifer bevorzugen zunehmend Netzwerk- und Infrastrukturkomponenten, weil dort der ROI am höchsten ist. Ein einzelnes kompromittiertes SD-WAN-Controller-Paar oder eine Firewall kann Zugang zu Dutzenden Netzwerken verschaffen. Zweitens: Zero-Days sind keine Seltenheit mehr, sondern ein etabliertes Werkzeug, das oft Monate vor dem Patch aktiv genutzt wird. Drittens: Die Verwaltungsschnittstellen dieser Geräte sind oft komplexer und angreifbarer als die eigentlichen Datenebenen. CLI-Befehle, Dateiuploads, Peering-Protokolle und VPN-Portale werden zu oft als vertrauenswürdig behandelt, statt mit dem gleichen Misstrauen wie öffentliche Webanwendungen betrachtet zu werden.

Was Unternehmen jetzt tun müssen

Sofortmaßnahmen und Patch-Management

Für Betreiber von Cisco Catalyst SD-WAN gilt zunächst: patchen, patchen, patchen. Das betrifft nicht nur CVE-2026-20245, sondern zwingend auch CVE-2026-20127 und CVE-2026-20182. Administratoren sollten die von Cisco im Advisory „cisco-sa-sdwan-privesc-4uxFrdzx“ genannten Fixed Releases prüfen und zeitnah einspielen. Dabei ist zu beachten, dass Manager, Controller und Validator alle aktualisiert werden müssen, da die Schwachstelle alle drei Komponenten betrifft.

Zusätzlich zum Patchen empfiehlt sich eine forensische Überprüfung der Systeme. Anzeichen für eine Kompromittierung können unerwartete Benutzeraccounts wie „troot“, ungewöhnliche Dateien im Upload-Verzeichnis, verdächtige request tenant-upload-Einträge in Logs oder unerklärliche Peering-Verbindungen sein. Da der Angreifer mindestens zwei Monate im System war, ist eine reine Patch-Installation nicht ausreichend: Es muss davon ausgegangen werden, dass Backdoors, zusätzliche Accounts oder manipulierte Konfigurationen zurückgelassen wurden. Ein Reset auf vertrauenswürdige Images und die Änderung aller administrativen Zugangsdaten sind in hochsensiblen Umgebungen zu erwägen.

Langfristige Architekturentscheidungen: SASE und Zero Trust

Langfristig müssen Unternehmen ihre Netzwerkarchitektur neu denken. Die klassische SD-WAN-Lösung mit zentralisierten Controllern und weitgehendem Vertrauen in die Management-Ebene ist anfällig für genau die Art von Angriff, die Mandiant jetzt aufgedeckt hat. Ansätze wie SASE und Zero Trust, die den Netzwerkzugriff stärker identitätsbasiert und dezentral gestalten, gewinnen daher an Bedeutung. Unified SASE-Konzepte, die VPN-Zugriffe überflüssig machen und jede Verbindung explizit validieren, können die Angriffsfläche reduzieren, die ein kompromittierter SD-WAN-Controller bietet.

Auch die Verlagerung von Rechenleistung an den Netzwerkrand spielt eine Rolle. In Szenarien mit Edge Computing, AWS Wavelength, Google Distributed Cloud und 5G-MEC entstehen neue Verteilungsmuster, die weniger stark auf zentrale SD-WAN-Controller angewiesen sind. Wer seine kritische Infrastruktur stärker regionalisiert und segmentiert, begrenzt den Schaden, den ein einzelner kompromittierter Controller anrichten kann. Zudem sollten Unternehmen das Prinzip der kleinstmöglichen Privilegien konsequent umsetzen: netadmin-Accounts dürfen keine Pfade zu Root-Rechten eröffnen, und Dateiupload-Funktionen in Verwaltungsschnittstellen müssen streng isoliert und validiert werden.