Kritische Sicherheitsupdates bei Cisco: Wenn die Verwaltungsebene zum Einfallstor wird
Cisco hat Sicherheitsupdates für zwei schwerwiegende Schwachstellen veröffentlicht, die beide mit der höchstmöglichen CVSS-Bewertung von 9.8 eingestuft wurden. Die Lücken betreffen den Integrated Management Controller (IMC) und den Smart Software Manager On-Prem (SSM On-Prem). Beide Fehler ermöglichen es unauthentifizierten Angreifern aus der Ferne, kritische Systeme zu kompromittieren – im schlimmsten Fall mit Root-Privilegien.
Für Administratoren bedeutet das: Sofortiges Handeln ist angesagt, denn Workarounds gibt es nicht.
CVE-2026-20093: Auth-Bypass im Cisco IMC
Die erste Schwachstelle (CVE-2026-20093) sitzt im Cisco Integrated Management Controller (IMC). Der IMC ist die Out-of-Band-Management-Schnittstelle von Cisco-Servern – quasi das „Gehirn“ der Hardware, das unabhängig vom eigentlichen Betriebssystem läuft und für administrative Tasks unerlässlich ist. Genau hier wird es gefährlich: Die Lücke entsteht durch eine fehlerhafte Verarbeitung von HTTP-Requests zur Passwortänderung.
Ein unauthentifizierter Angreifer kann über das Netzwerk einen speziell präparierten HTTP-Request an das betroffene Gerät senden und so die Authentifizierung komplett umgehen. Noch brisanter: Der Angreifer kann nicht nur sich selbst Zugang verschaffen, sondern die Passwörter aller Benutzer im System ändern – inklusive des Admin-Accounts. Wer den IMC kontrolliert, kontrolliert den Server.
Entdeckt wurde die Lücke vom Security-Researcher „jyh“. Betroffen sind laut Cisco folgende Produkte, und zwar unabhängig von ihrer spezifischen Gerätekonfiguration:
- 5000 Series Enterprise Network Compute Systems (ENCS) – behoben in Version 4.15.5
- Catalyst 8300 Series Edge uCPE – behoben in Version 4.18.3
- UCS C-Series M5 and M6 Rack Servers (Standalone-Modus) – behoben in 4.3(2.260007), 4.3(6.260017) und 6.0(1.250174)
- UCS E-Series Servers M3 – behoben in 3.2.17
- UCS E-Series Servers M6 – behoben in 4.15.3
Besonders Homelabber und SMB-Admins, die UCS C-Series Server im Standalone-Modus betreiben, sollten einen genauen Blick auf ihre Versionsnummern werfen, da diese Systeme oft direkter im Internet exponiert sind als großes Enterprise-Setup.
CVE-2026-20160: Root-Zugriff über den Smart Software Manager
Die zweite Schwachstelle (CVE-2026-20160) zielt auf den Cisco Smart Software Manager On-Prem (SSM On-Prem) ab. Dieses Tool wird genutzt, um Cisco-Lizenzen intern zu verwalten. Auch hier lautet die Diagnose: CVSS 9.8. Die Ursache ist jedoch eine andere: Ein interner Dienst wurde versehentlich nach außen hin freigelegt („unintentional exposure of an internal service“).
Über diese ungewollte Schnittstelle kann ein Angreifer ohne Authentifizierung einen manipulierten API-Request senden und auf dem zugrundeliegenden Betriebssystem beliebige Befehle mit Root-Rechten ausführen. Wenn ein Lizenzmanager Root-Zugriff erlaubt, ist nicht nur die IT-Infrastruktur gefährdet, sondern auch das Vertrauen in die Lieferkette massiv gestört.
Interessant ist die Entdeckungsgeschichte: Cisco hat diesen Fehler nicht durch externe Forscher gemeldet bekommen, sondern selbst – und zwar eher zufällig – bei der Bearbeitung eines Support-Falls (TAC) entdeckt. Das wirft die Frage auf, wie lange diese exponierte API-Schnittstelle bereits unentdeckt im Netz stand.
Der Fix ist in der Version 9-202601 für SSM On-Prem verfügbar.
Journalistische Einordnung: Das Management-Paradoxon
Beide Lücken teilen ein grundlegendes Problem der modernen IT-Architektur: Die Verwaltungsebene (Management Plane) wird oft weniger hartnäckig abgesichert als die Datenebene.
Out-of-Band-Management-Systeme wie der IMC oder Lizenzverwaltungen wie der SSM sind per Design netzwerkzugänglich – sie sollen Admins gerade dann erreichen, wenn das System nicht mehr reagiert. Gleichzeitig bergen sie enorme Macht. Ein Auth-Bypass im IMC macht Verschlüsselungen auf dem Host-System oder komplexe Netzwerk-Firewall-Regeln wertlos, da der Angreifer direkt auf der Hardware-Ebene sitzt. Dass ein einfacher Fehler in der Verarbeitung von Passwort-Requests (CVE-2026-20093) einen kompletten Auth-Bypass ermöglicht, zeugt von mangelnder Absicherung kritischer Code-Pfade.
Zudem zeigt die SSM-Lücke ein klassisches „Shadow API“-Problem: Interne Dienste, die versehentlich nach außen geroutet werden oder an einen öffentlichen Port gebunden sind. Gerade bei On-Premises-Lösungen setzen Entwickler oft voraus, dass sich das System in einer vertrauenswürdigen Zone befindet, was jedoch in der Praxis selten der Fall ist (Stichwort: Zero Trust).
Fazit und Handlungsempfehlung
Obwohl Cisco laut eigenem Statement bisher keine aktive Ausnutzung („exploited in the wild“) der Lücken beobachtet hat, ist die Gefahr real. Die Geschichte zeigt, dass gerade kritische Cisco-Schwachstellen – wie zuletzt bei VPN-Gateways oder Routern – rasch von Ransomware-Gruppen und staatlichen Akteuren integriert werden. Da für beide Schwachstellen keine Workarounds existieren, bleibt nur der direkte Weg: Patches sofort einspielen.
Zusätzlich raten wir Administratoren, die Angreifsfläche für Management-Systeme radikal zu reduzieren. IMC- und SSM-Interfaces gehören niemals direkt ins offene Internet, sondern in streng isolierte VLANs hinter einem VPN. Wenn das Patch-Management Wochen dauert, nützt auch der beste Firewall-Regelsatz nichts mehr.
Quelle: The Hacker News
