CISA-Dreierwarnung: Cisco, Citrix und Fortinet aktiv angegriffen – Edge-Geräte jetzt patchen

Die US-Cyberbehörde CISA hat am 9. September 2026 drei aktiv ausgenutzte Schwachstellen in Netzwerk- und Sicherheits-Appliances von Cisco, Citrix und Fortinet in ihren Katalog bekannter ausgenutzter Lücken (KEV) aufgenommen. Betroffen sind genau die Geräte, die bei vielen Unternehmen am Internet-Rand stehen – Firewalls und VPN-Gateways. Für US-Bundesbehörden gilt eine Patch-Frist bis zum 12. September 2026; für alle anderen ist das ein klares Signal, dass Angriffe bereits laufen.

Was ist passiert?

CISA stuft drei Lücken als aktiv ausgenutzt ein:

• CVE-2026-20079 (CVSS 10.0) im Cisco Secure Firewall Management Center (FMC): Ein unauthentifizierter Angreifer kann über präparierte HTTP-Anfragen die Anmeldung umgehen, Skripte ausführen und Root-Rechte auf dem darunterliegenden Betriebssystem erlangen. Laut Cisco Talos nutzen mehrere Gruppen die Lücke aus, darunter die russische Einheit Sandworm und die Ransomware-Gruppe Qilin. Einen Workaround gibt es nicht – nur den Patch.
• CVE-2026-19490 (CVSS 9.3) in Citrix NetScaler ADC und NetScaler Gateway: Ein Authentifizierungs-Bypass, der Konfigurationen als AAA-Virtual-Server, Gateway/SSL-VPN, ICA-Proxy, CVPN oder RDP-Proxy betrifft. Exploit-Aktivität wurde bereits beobachtet.
• CVE-2025-25249 (CVSS 7.3) in Fortinet FortiOS, FortiSwitchManager und FortiSASE: Ein Heap-basierter Buffer Overflow, der Angreifern aus der Ferne Codeausführung erlaubt.

Wer ist betroffen?

Relevant ist das für jedes Unternehmen, das eine dieser Appliances einsetzt – und das sind im Mittelstand vor allem Fortinet-FortiGate-Firewalls und Citrix-NetScaler-Gateways für den Remote-Zugriff. Besonders kritisch: Alle drei Systeme stehen typischerweise direkt am Internet-Übergang. Ein kompromittiertes Firewall-Management oder VPN-Gateway gibt Angreifern einen Brückenkopf ins gesamte interne Netz – inklusive der Möglichkeit, Sicherheitsregeln abzuschalten und sich unbemerkt weiterzubewegen.

Was jetzt zu tun ist

1. Inventar prüfen: Setzen Sie Cisco Secure FMC, Citrix NetScaler ADC/Gateway oder Fortinet FortiOS/FortiSwitchManager/FortiSASE ein? Erfassen Sie Modelle und Firmware-Stände.
2. Sofort patchen: Spielen Sie die von den Herstellern bereitgestellten Updates für die genannten CVEs ein – priorisiert vor allen internet-erreichbaren Geräten.
3. Management-Zugänge abschotten: Firewall- und Gateway-Verwaltungsoberflächen dürfen nicht aus dem Internet erreichbar sein. Beschränken Sie den Zugriff auf ein internes Management-Netz oder VPN.
4. Kompromittierung ausschließen: Prüfen Sie Logs auf verdächtige HTTP-Anfragen, neue Konten oder Konfigurationsänderungen. Bei Cisco FMC gibt es keinen Workaround – ohne Patch bleibt das Gerät angreifbar.
5. MFA und Monitoring: Aktivieren Sie Mehr-Faktor-Authentisierung für Fernzugänge und behalten Sie ungewöhnliche Anmeldungen im Blick.

So hilft Binary System Services

Wir inventarisieren Ihre Netzwerk- und Sicherheits-Appliances, gleichen sie gegen aktuelle Warnungen wie den CISA-KEV-Katalog ab und übernehmen das Patch-Management für Firewalls und VPN-Gateways – inklusive der richtigen Härtung, damit Management-Oberflächen gar nicht erst aus dem Internet erreichbar sind. Bei Verdacht auf Kompromittierung unterstützen wir bei der schnellen Analyse. Sprechen Sie uns an.

Angaben ohne Gewähr. Im Zweifel bitte die offizielle Quelle prüfen.