Neun Cisco-Lücken treffen die Netzwerksteuerung

Zwei Advisories, ein Tag, neun Lücken

Cisco veröffentlichte am 19. August 2026 zwei getrennte Sicherheits-Advisories und legte dabei neun Schwachstellen in zwei besonders sensiblen Produktlinien offen. Das erste Advisory, 'Cisco Crosswork Security Hardening Release: August 2026', betrifft Crosswork Data Gateway, Crosswork Network Controller, Crosswork Planning und Crosswork Workflow Manager. Das zweite, 'Cisco Secure Workload Software Security Hardening Release: August 2026', betrifft Cisco Secure Workload sowohl als SaaS- als auch als On-Premises-Lösung.

Crosswork ist die Plattform, mit der Telekommunikationsanbieter und große Unternehmensnetzwerke ihre Netzwerkinfrastruktur programmatisch automatisieren, während Secure Workload ein Produkt für Mikrosegmentierung und Zero Trust ist, das Richtlinien zwischen Workloads durchsetzt. Zusammen listen die beiden Advisories vier beziehungsweise fünf CVEs, neun insgesamt.

Ciscos eigenes Advisory stellt klar fest, dass dem Unternehmen 'keine öffentlichen Ankündigungen oder böswillige Nutzung der in diesem Advisory beschriebenen Schwachstellen bekannt' sind, und zwar für beide Veröffentlichungen. The Hacker News und SecurityWeek berichteten beide über die beiden Advisories, nachdem Cisco sie veröffentlicht hatte.

Neun CVEs, fünf Höchstwerte

Die neun Schwachstellen umfassen SQL-Injection, fehlende Authentifizierung, externe Kontrolle des Dateisystems, unsachgemäße Zugriffskontrolle, unsachgemäße Authentifizierung, Kommando-Injection, Fehler bei der Eingabevalidierung und einen Pufferüberlauf. Fünf der neun erreichen den maximal möglichen CVSS-Wert von 10.0, ein sechster liegt bei 9.9, eine ungewöhnlich dichte Häufung von Werten nahe dem Maximum für einen einzigen Tag an Veröffentlichungen.

Cisco nennt für jedes betroffene Produkt eine feste Version: Crosswork Data Gateway, Crosswork Network Controller und Crosswork Planning wechseln alle auf 7.2.1-SP, Crosswork Workflow Manager auf 2.1.1-SP, und Secure Workload je nach Release-Zweig auf 3.10.9.1 oder 4.0.4.16. Cisco stellt ausdrücklich fest, dass es für keines der beiden Advisories eine Abhilfe gibt, die neue Version ist die einzige verfügbare Maßnahme.

Die Netzwerksteuerung hat einen größeren Wirkungsradius

Crosswork und Secure Workload sind keine gewöhnlichen Anwendungen, sie sind die Steuerungsebene, die das Netzwerk um sie herum betreibt und schützt. Crosswork automatisiert die Netzwerkinfrastruktur selbst, und Secure Workload setzt die Mikrosegmentierung und Zero-Trust-Grenzen zwischen Workloads durch, sodass eine Lücke in einem der beiden Werkzeuge einen kategorisch größeren Wirkungsradius hat als eine Lücke in einem einzelnen Endpunkt oder einer einzelnen Anwendung.

Eine nicht authentifizierte SQL-Injection oder eine Lücke bei fehlender Authentifizierung mit CVSS 10.0 in Crosswork legt nicht nur den Crosswork-Server selbst offen, sie erreicht potenziell jedes Gerät, das die Plattform automatisieren darf, denn wer das Werkzeug kompromittiert, das alles andere steuert, kann auch alles kompromittieren, was dieses Werkzeug steuert. Die gleiche Logik gilt für Secure Workload, wo eine Lücke bei Zugriffskontrolle oder Authentifizierung mit Höchstwert in dem Produkt, das Segmentierungsgrenzen durchsetzt, genau die Isolation zu untergraben droht, für die es eingesetzt wurde.

Das ist das Muster, das Betreiber schwerer gewichten sollten als die einzelnen CVE-Nummern. Orchestrierungs- und Richtliniensoftware steht über den Systemen, die sie verwaltet, ihre eigene Sicherheitslage setzt damit eine Obergrenze für die Sicherheit von allem darunter.

Cisco fand diese Lücken vor allen anderen

Beide Advisories sind das Ergebnis von Ciscos eigener interner Sicherheitsprüfung im Engineering, kein Bericht eines externen Forschers und keine Reaktion auf aktive Ausnutzung. Die meisten Offenlegungen in diesem Bereich erreichen Betreiber erst, nachdem ein externer Forscher oder ein Angreifer in freier Wildbahn den Hersteller zum Handeln zwingt.

Fünf Lücken mit Höchstwert durch interne Prüfung zu finden, bevor es jemand von außen tut, ist echte proaktive Sicherheitsarbeit, und das verdient es, so benannt zu werden. Es wirft aber auch eine faire Frage für Betreiber über ihre eigene Steuerungssoftware auf: Wenn eine einzige interne Prüfung bei Cisco neun derart schwere Lücken in einem Durchgang fand, haben vergleichbare Plattformen anderer Hersteller vermutlich noch nicht dasselbe Maß an Prüfung erfahren.

Der Patch-Weg für beide Advisories

Da keines der beiden Advisories eine Abhilfe bietet, ist das Update selbst die einzige wirkliche Maßnahme. Kunden von Crosswork Data Gateway, Crosswork Network Controller und Crosswork Planning benötigen Version 7.2.1-SP, Kunden von Crosswork Workflow Manager benötigen Version 2.1.1-SP.

Kunden von Secure Workload auf Release 3.10 oder früher benötigen 3.10.9.1, jene auf Release 4.0 benötigen 4.0.4.16. SaaS-Kunden müssen nur ihre Agent- und Connector-Komponenten aktualisieren, da Cisco den Cluster selbst verwaltet, während On-Premises-Kunden Cluster, Agent und Connector gemeinsam aktualisieren müssen.

Noch nicht ausgenutzt beschreibt den heutigen Stand, und dieser Stand kann sich ändern. Ohne verfügbare Abhilfe ist das Einplanen des Updates die einzige Handlung, die die Angriffsfläche tatsächlich schließt.

Weiterlesen: Der ausgenutzte Cisco-Fehler bekam nur 5,3  |  18 Jahre alter Cisco-Fehler: jetzt 3 Tage Frist