Cisco: Neue Schwachstellen in Secure Email, IOS XR, Nexus-9000-Switches und IP-Telefonen

Cisco hat am 2. September 2026 mehrere Security Advisories veröffentlicht, die E-Mail-Infrastrukturen, Netzwerkgeräte und VoIP-Endgeräte betreffen. Die schwerwiegendsten Probleme können eine Remote-Codeausführung, eine Kompromittierung mit Root-Rechten oder einen Denial-of-Service ermöglichen.

Zwei mittelschwere Schwachstellen betreffen hingegen die S/MIME-Entschlüsselung in Cisco Secure Email. Ein Angreifer in einer Machine-in-the-Middle-Position könnte dabei den Klartext verschlüsselter Nachrichten abrufen.

Die operative Priorität hängt von der Exponierung der einzelnen Assets ab. IOS XR und Nexus 9000 weisen das höchste technische Risiko auf, während Secure Email unmittelbar die Vertraulichkeit der Kommunikation betrifft.

Secure Email kann den Inhalt von S/MIME-Nachrichten offenlegen

Die Schwachstellen CVE-2026-20354 und CVE-2026-20355 befinden sich in der Funktion, die Cisco Secure Email zur Entschlüsselung von Nachrichten verwendet, die mit Secure/Multipurpose Internet Mail Extensions (S/MIME) geschützt sind.

Ursache ist eine unzureichende Prüfung der Nachrichtenintegrität. Cisco ordnet die beiden CVEs den internen Fehlern CSCwu28362 und CSCwu28364 sowie den Klassifizierungen CWE-345 und CWE-354 zu. Beide weisen auf unzureichende Prüfungen der Authentizität oder Integrität von Daten hin.

Für die Ausnutzung muss sich ein nicht authentifizierter Remote-Angreifer in den Datenverkehr zwischen den E-Mail-Gateways einschleusen können. Dadurch kann er die Kommunikation abfangen und manipulieren und das verwundbare System dazu bringen, manipulierte S/MIME-Inhalte zu verarbeiten.

Bei erfolgreicher Ausnutzung kann der Angreifer den Klartext verschlüsselter E-Mails abrufen. Die Auswirkung betrifft die Vertraulichkeit; die CVSS-Vektoren weisen keine direkten Folgen für die Integrität oder Verfügbarkeit der Systeme aus.

Beide Schwachstellen haben einen CVSS-Score von 5.9 und den folgenden Vektor:

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N

Die hohe Angriffskomplexität ergibt sich daraus, dass eine Machine-in-the-Middle-Position erforderlich ist. Zugangsdaten oder eine Interaktion des Benutzers sind dagegen nicht notwendig.

AsyncOS 16.5.0 und frühere Versionen sind betroffen

Die beiden Schwachstellen betreffen Cisco-Secure-Email-Geräte, wenn beide folgenden Bedingungen erfüllt sind:

• Sie verwenden Cisco AsyncOS 16.5.0 oder eine frühere Version.
• S/MIME ist für die Kommunikation zwischen E-Mail-Gateways konfiguriert.

Das Vorhandensein einer verwundbaren Version allein reicht daher nicht aus: Die S/MIME-Funktion muss im konkreten Gateway-Szenario aktiviert sein. Administratoren sollten bei der Bestandsaufnahme beide Bedingungen prüfen und sich nicht ausschließlich auf die installierte Version stützen.

Cisco empfiehlt den Wechsel auf die in den Details zu den Fehlern CSCwu28362 und CSCwu28364 angegebene korrigierte Software. Die genauen Versionsnummern der fehlerbereinigten Releases wurden in den verfügbaren Informationen nicht genannt. Daher lässt sich für jedes Appliance-Modell kein konkreter gültiger Build angeben.

Es gibt keine Workarounds, mit denen sich die Schwachstellen vollständig beseitigen lassen. Vor dem Update sollten der verfügbare Speicher, die Hardwarekompatibilität und die Beibehaltung einer unterstützten Konfiguration geprüft werden. Falls das erforderliche Release nicht direkt verfügbar ist, empfiehlt Cisco, sich an das Technical Assistance Center oder den zuständigen Wartungsanbieter zu wenden.

Das Advisory cisco-sa-esa-smime-disc-dzw4rEdY, Version 1.0, wurde am 2. September 2026 um 16:00 GMT veröffentlicht. Eine vorläufige PSIRT-Mitteilung war am 26. August 2026 um 16:00 GMT veröffentlicht und am 2. September um 16:02 GMT auf Version 1.1 aktualisiert worden. Dabei wurden Verweise auf die vollständigen Advisories ergänzt.

Cisco ist eine öffentliche Bekanntmachung der beiden Schwachstellen bekannt, hat jedoch keine böswillige Ausnutzung festgestellt. Die Meldung geht auf einen externen Sicherheitsforscher zurück, dessen Name nicht veröffentlicht wurde.

IOS XR: Sieben CVEs und Risiko einer Remote-Codeausführung

Das Cisco IOS XR Software Security Hardening Release: September 2026 umfasst sieben Schwachstellen:

• CVE-2026-20277, CVSS 8.2;
• CVE-2026-20278, CVSS 8.8;
• CVE-2026-20280, CVSS 8.8;
• CVE-2026-20279, CVSS 9.8;
• CVE-2026-20276, CVSS 8.6;
• CVE-2026-20275, CVSS 8.8;
• CVE-2026-20274, für die hier kein individueller Score verfügbar ist.

Das Hardening Release ist insgesamt als kritisch eingestuft und erreicht einen maximalen CVSS-Score von 9.8. Die einzelnen Bewertungen zeigen jedoch deutliche Unterschiede bei den Voraussetzungen und Auswirkungen.

CVE-2026-20279 ist die schwerwiegendste Schwachstelle der Gruppe. Sie kann remote, ohne Authentifizierung und ohne Benutzerinteraktion ausgenutzt werden und hat erhebliche Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Sie steht im Zusammenhang mit Problemen der Memory Safety und einer unzulässigen Zugriffskontrolle.

CVE-2026-20274 betrifft dagegen Speicherbeschädigungen. Insgesamt warnt Cisco davor, dass die IOS-XR-Schwachstellen den Weg für Remote-Codeausführung und weitere Angriffsformen ebnen können.

Für CVE-2026-20278 und CVE-2026-20280 sind geringe Berechtigungen erforderlich. CVE-2026-20275 verfügt über einen benachbarten Angriffsvektor; der Angreifer muss sich daher in einem logisch oder physisch angrenzenden Netzwerk befinden. CVE-2026-20276 wirkt sich vor allem auf die Verfügbarkeit aus, während CVE-2026-20277 Daten verändern und den Dienst erheblich beeinträchtigen kann.

Die betroffenen IOS-XR-Releases und die korrigierten Builds wurden nicht angegeben. Ebenso sind keine spezifischen Indicators of Compromise bekannt, anhand derer sich eine Ausnutzung der sieben CVEs erkennen ließe. Betreiber müssen daher das Advisory für ihre jeweilige Plattform heranziehen und die von Cisco bereitgestellte korrigierte Software installieren.

Nexus 9000: Eine Kompromittierung kann zu Root-Rechten führen

Die Cisco Nexus 9000 Series, insbesondere Modelle auf Basis von Silicon One, ist von CVE-2026-20212 betroffen, einer kritischen Schwachstelle mit einem CVSS-Score von 9.8.

Ein Remote-Angreifer kann sich mit standardmäßig zugänglichen TCP-Ports verbinden und Code mit Root-Rechten ausführen. Ein derartiger Zugriff kann zu einer vollständigen Kompromittierung des Switches führen und den verwalteten Datenverkehr, die Konfiguration sowie die Verfügbarkeit des Netzwerks beeinträchtigen.

Die betroffenen Portnummern, verwundbaren Releases und korrigierten Builds wurden nicht bekannt gegeben. Administratoren sollten die in der Infrastruktur eingesetzten Nexus-9000-Geräte identifizieren, prüfen, ob sie zu den im Advisory genannten Plattformen gehören, und die Erreichbarkeit der Management-Dienste nach Möglichkeit einschränken.

Da die Portnummern fehlen, lässt sich keine allgemeingültige Erkennungsregel definieren. Dennoch sind die Analyse von Verbindungen zu TCP-Diensten, die auf dem Switch üblicherweise exponiert sind, sowie die Suche nach nicht autorisierten administrativen Änderungen, Prozessen oder Konfigurationen sinnvoll.

Kontinuierliche HTTP-Pakete können Cisco-Telefone blockieren

CVE-2026-20281 betrifft vier Geräteserien, auf denen SIP-Software ausgeführt wird:

• Cisco Desk Phone 9800 Series;
• Cisco IP Phone 7800 Series;
• Cisco IP Phone 8800 Series;
• Cisco Video Phone 8875.

Die Schwachstelle ist als kritisch eingestuft und hat einen CVSS-Score von 7.5. Ein nicht authentifizierter Remote-Angreifer kann speziell präparierte, kontinuierliche HTTP-Paketströme senden und dadurch einen Denial of Service auslösen.

Die Folge ist die Nichtverfügbarkeit der Telefone. Dies ist besonders kritisch in Umgebungen, die für operative Abläufe, den Support oder die Notfallkommunikation auf VoIP angewiesen sind. Die betroffenen Versionen, korrigierten Releases oder spezifischen temporären Gegenmaßnahmen wurden nicht genannt.

Netzwerkteams sollten ungewöhnlich hohe HTTP-Volumina zu den Telefonen, wiederholte Sequenzen von Anfragen sowie gleichzeitig auftretende Neustarts oder Verbindungsabbrüche überwachen. Die Segmentierung der VoIP-Endgeräte und die Einschränkung des Zugriffs auf die zugehörigen Dienste reduzieren die erreichbare Angriffsfläche, ersetzen jedoch nicht das Patchen.

Prioritäten für die Maßnahmen festlegen

IOS XR und Nexus 9000 sollten aufgrund der Möglichkeit einer Codeausführung prioritär behandelt werden, insbesondere wenn die verwundbaren Dienste aus nicht vertrauenswürdigen Netzwerken erreichbar sind. Bei den Nexus-Geräten erhöht ein möglicher Root-Zugriff die Auswirkungen zusätzlich.

Anschließend sollten Secure-Email-Gateways mit AsyncOS 16.5.0 oder früher überprüft werden. Die Schwachstellen wurden öffentlich bekannt gemacht, und es gibt keine Workarounds, auch wenn Cisco keine böswillige Ausnutzung der beiden S/MIME-CVEs festgestellt hat.

SIP-Telefone sollten in denselben Update-Zyklus aufgenommen und durch eine Überwachung des HTTP-Datenverkehrs ergänzt werden. Ein auf viele Endgeräte verteilter DoS kann einen vollständigen Telefondienst lahmlegen.

Es ist nicht bekannt, ob diese Schwachstellen in den Katalog Known Exploited Vulnerabilities der CISA aufgenommen wurden. Daher gibt es keine damit verbundene bundesweite Frist. Für alle Plattformen bleibt die operative Empfehlung, die von Cisco in den jeweiligen Advisories veröffentlichten korrigierten Releases zu installieren.