Was CERT-FR meldet
Am 1. Oktober 2026 hat CERT-FR einen Sicherheitshinweis zu CVE-2026-76504 in Cisco Catalyst SD-WAN veröffentlicht. Laut Meldung kann ein Angreifer über die Schwachstelle eine Umgehung von Sicherheitsrichtlinien herbeiführen. Cisco hat angegeben, dass sie aktiv ausgenutzt wird.
Die vorliegende Zusammenfassung nennt weder betroffene Versionsbereiche noch Voraussetzungen für die Ausnutzung oder das genaue Behebungsverfahren. Teams sollten daher den offiziellen Sicherheitshinweis als maßgebliche Referenz nutzen, statt die Betroffenheit allein aus dem Produktnamen oder der CVE-Kennung abzuleiten.
Die aktive Ausnutzung erhöht die Priorität, ersetzt aber keine präzise Abgrenzung. Bestätigen Sie für jedes Gerät seine Rolle und die installierte Version, bevor Sie es als betroffen oder behoben erfassen.
Unmittelbare operative Prioritäten
1. Das Catalyst-SD-WAN-Inventar aufbauen
Erfassen Sie jede Komponente von Cisco Catalyst SD-WAN in der Umgebung, auch Systeme in Niederlassungen, Rechenzentren und Ausweichstandorten. Halten Sie für jedes Gerät fest:
Hostname und Verantwortlichen
Standort und betriebliche Rolle
Identität der Hardware oder der virtuellen Appliance
Installierte Softwareversion
Management-Adresse und bekannte Exposition
Unterstützten Geschäftsdienst oder Standort
Aktuellen Lebenszyklus- und Supportstatus
Beziehen Sie Standby-, Labor- und Disaster-Recovery-Systeme ein. Auch Geräte außerhalb des Hauptproduktionspfads können Lücken in der Untersuchung verursachen, wenn sie im Inventar fehlen.
2. Betroffenheit anhand maßgeblicher Hinweise prüfen
Gleichen Sie die erfassten Produkt- und Versionsangaben mit dem betroffenen Umfang ab, der in den offiziellen Hinweisen von Cisco und CERT-FR veröffentlicht ist. Gehen Sie nicht davon aus, dass jedes Catalyst-SD-WAN-Gerät verwundbar ist, und schließen Sie ein Gerät nicht nur deshalb ab, weil sein Name leicht vom Wortlaut des Hinweises abweicht.
Fehlen Versionsdaten oder sind sie veraltet, erheben Sie sie direkt am Gerät über einen genehmigten Administrationsweg. Halten Sie den Zeitpunkt der Erhebung fest, damit Prüfer aktuelle Nachweise von historischen Inventardaten unterscheiden können.
3. Nach Exposition und betrieblicher Bedeutung priorisieren
Sobald die Betroffenheit feststeht, organisieren Sie die Reaktion nach praktischen Risikofaktoren:
Ob die Komponente in den betroffenen Umfang fällt
Ihre Erreichbarkeit im Netzwerk und ihre administrative Exposition
Die Kritikalität der unterstützten Standorte oder Dienste
Verfügbare Wartungsfenster
Abhängigkeiten, die Behebung oder Prüfung beeinflussen könnten
Die Quellzusammenfassung beschreibt den Angriffsweg nicht. Gehen Sie nicht davon aus, dass eine bestimmte Topologie, Schnittstelle oder Zugriffsbedingung ein System sicher macht, solange maßgebliche Hinweise dies nicht bestätigen.
4. Konfigurationen vor Änderungen sichern
Erstellen Sie ein aktuelles Konfigurations-Backup, bevor Sie die vom Hersteller vorgegebene Behebung oder damit verbundene Konfigurationsänderungen umsetzen. So entsteht eine bekannte Ausgangsbasis für Vergleiche, und eine Wiederherstellung ist möglich, falls eine Konfigurationsänderung betriebliche Probleme verursacht.
Ein Rollback der Konfiguration ist nicht mit einem Rollback des Software-Images zu verwechseln. Jede Softwareänderung muss den einschlägigen Herstellerhinweisen und dem getesteten Change-Verfahren des Unternehmens folgen.
5. Prüfen und Nachweise aufbewahren
Prüfen Sie nach der Behebung jedes Gerät erneut und bewahren Sie Nachweise auf, die Folgendes zeigen:
Das geprüfte Gerät
Seine Version vor der Änderung
Die genehmigte Behebungsmaßnahme
Zeitpunkt und Ergebnis der Änderung
Version und Konfigurationsstand danach
Das Ergebnis der Prüfung
Jede Ausnahme, Verschiebung oder fehlgeschlagene Änderung
Mit diesen Nachweisen arbeiten Security-, Netzwerk-, Audit- und Managementteams auf demselben Stand, statt sich auf Tabellen oder ungeprüfte Erledigt-Meldungen zu verlassen.
Wie ConnectMyAssets unterstützt
ConnectMyAssets bietet einen herstellerunabhängigen On-Premises-Workflow, um diesen Hinweis in eine kontrollierte Reaktion der Infrastruktur zu überführen:
Dynamische CMDB: Catalyst-SD-WAN-Geräte, Verantwortliche, Standorte, Rollen, Versionen und Dienstbeziehungen in einem aktuellen Inventar erfassen.
CVE-Tracking je Gerät: CVE-2026-76504 den geprüften Geräten zuordnen und für jedes Gerät verfolgen, ob es betroffen ist, auf Prüfung wartet, behoben ist oder unter eine Ausnahme fällt.
Backup & Historie: Konfigurationsversionen vor und nach Änderungen sichern, vergleichen und bei Bedarf per Klick auf eine frühere Konfiguration zurückrollen.
Automatisierung & ZTP: Genehmigte, gestaffelte Inventar- oder Prüfaufgaben auf ausgewählten Geräten ausführen, statt sich auf wiederholte manuelle Erhebungen zu verlassen.
Compliance-Engine: Behebungsnachweise aufbewahren und, wo relevant, internen Kontrollen oder Frameworks wie NIS2, ISO 27001, PCI, CISA und NIST zuordnen.
Zugangsdaten-Tresor und SSH-Bastion: Genehmigte administrative Zugriffe zentralisieren und einen kontrollierten Weg für die Erhebung von Versions- und Konfigurationsnachweisen bereitstellen.
End-of-Life-Tracking: Betroffene Geräte kennzeichnen, deren Lebenszyklusstatus die Behebung erschweren oder eine Austauschentscheidung erfordern könnte.
ConnectMyAssets ersetzt nicht die Schwachstellenhinweise von Cisco. Die Plattform hilft Teams festzustellen, welche verwalteten Geräte betroffen sind, die Änderungshistorie zu sichern, genehmigte Betriebsschritte auszuführen und nachzuweisen, was geprüft und behoben wurde.
Checkliste für eine belastbare Reaktion
Den Hinweis von CERT-FR und CVE-2026-76504 im Incident- oder Schwachstellen-Workflow erfassen.
Eine vollständige Liste der Catalyst-SD-WAN-Geräte erstellen.
Fehlende oder veraltete Versionsangaben aktualisieren.
Jedes Gerät mit den maßgeblichen Angaben zu betroffenen Produkten abgleichen.
Bestätigte Exposition nach Erreichbarkeit und geschäftlicher Auswirkung priorisieren.
Konfigurationen vor genehmigten Änderungen sichern.
Die einschlägige Behebung des Herstellers über das Change-Management umsetzen.
Versionen und Konfigurationsstand nach der Änderung erneut prüfen.
Ausnahmen und kompensierende Entscheidungen mit Verantwortlichen und Prüfterminen dokumentieren.
Nachweise vor und nach der Änderung für die betriebliche und die Compliance-Prüfung aufbewahren.
Quelle: CERT-FR
