CISA-Dreierwarnung: Cisco, Citrix und Fortinet gemeinsam auf Edge-Priorität

Die US-Cybersicherheitsbehörde CISA hat am 9. September 2026 gleich drei aktiv ausgenutzte Schwachstellen in ihren Known Exploited Vulnerabilities (KEV)-Katalog aufgenommen: eine Authentifizierungs-Bypass-Lücke im Cisco Secure Firewall Management Center, eine Authentifizierungs-Bypass-Lücke in Citrix NetScaler ADC und Gateway sowie einen Heap-basierten Buffer Overflow in Fortinet FortiOS. Für Federal Civilian Executive Branch (FCEB)-Behörden gilt eine einheitliche Patch-Frist bis zum 12. September 2026. Der eigentliche Nachrichtenwert liegt weniger in den drei Einzel-CVEs als in der zeitlichen Bündelung: CISA markiert damit drei unterschiedliche Hersteller-Ökosysteme am selben Tag als gleichermaßen dringlich und signalisiert IT-Teams eine gemeinsame Prioritätsklasse für Edge- und Management-Infrastruktur.

Die drei CVEs im Überblick

Alle drei Lücken betreffen Systeme, die typischerweise am Netzwerkrand oder in zentralen Verwaltungsrollen stehen und deshalb ein besonders attraktives Ziel für Angreifer darstellen. Die folgende Tabelle fasst die Kerndaten zusammen, wie sie CISA im KEV-Eintrag sowie die Hersteller in ihren Advisories dokumentieren.

CVE-ID	Produkt	CVSS	Schwachstellentyp	KEV-Aufnahme
CVE-2026-20079	Cisco Secure Firewall Management Center (FMC)	10.0	Authentifizierungs-Bypass (CWE-288)	09.09.2026
CVE-2026-19490	Citrix NetScaler ADC / NetScaler Gateway	9.3	Authentifizierungs-Bypass bei AAA-/Gateway-Konfiguration	09.09.2026
CVE-2025-25249	Fortinet FortiOS, FortiSwitchManager, FortiSASE	7.3	Heap-basierter Buffer Overflow	09.09.2026

Cisco FMC CVE-2026-20079: Root über die Weboberfläche

Bei CVE-2026-20079 handelt es sich laut CISA-Beschreibung um eine Authentication Bypass Using an Alternate Path or Channel Vulnerability in der Weboberfläche des Cisco Secure Firewall Management Center sowie in Cisco Security Cloud Control (SCC) Firewall Management. Ein nicht authentifizierter, entfernter Angreifer kann die Authentifizierung umgehen und Skriptdateien auf dem betroffenen System ausführen, um Root-Zugriff auf das zugrunde liegende Betriebssystem zu erlangen. Der CVSS-Wert von 10.0 markiert damit die maximal mögliche Schwere. Cisco hat dazu die Sicherheitsmeldung cisco-sa-onprem-fmc-authbypass-5JPp45V2 veröffentlicht. Kritisch ist hier vor allem die Rolle des FMC selbst: Als zentrale Management-Plattform für Firewalls steuert es Netzsegmentierung, Richtlinien und Telemetrie für ganze Umgebungen, ein kompromittiertes FMC gefährdet damit potenziell die gesamte darunterliegende Firewall-Flotte.

Citrix NetScaler CVE-2026-19490: Bypass am Perimeter

Die zweite Lücke betrifft Citrix NetScaler ADC und NetScaler Gateway. Ein Authentifizierungs-Bypass entsteht, sobald die Appliance als AAA-virtueller Server oder als Gateway konfiguriert ist, das schließt Rollen wie SSL-VPN, ICA-Proxy, CVPN oder RDP-Proxy ein. Genau diese Rollen bilden in vielen Netzwerken das zentrale Tor zwischen Internet und internen Ressourcen. Citrix dokumentiert die Lücke im Support-Artikel CTX696939. Wird die Zugriffskontrolle an dieser Stelle ausgehebelt, wird aus einem reinen Perimeter-Problem schnell ein Lateral-Movement-Problem, weil Angreifer im Anschluss oft bereits eine vertrauenswürdige Sitzung vorfinden. Der CVSS-Wert von 9.3 unterstreicht die hohe praktische Ausnutzbarkeit, es wurden bereits Exploit-Aktivitäten gegen Honeypot-Systeme beobachtet.

Fortinet FortiOS CVE-2025-25249: Heap-Overflow mit RAT-Nachladen

Die dritte KEV-Aufnahme betrifft einen heap-basierten Buffer Overflow in Fortinet FortiOS sowie in FortiSwitchManager und FortiSASE, dokumentiert im Fortinet-Advisory FG-IR-25-084. Über speziell präparierte Anfragen kann ein entfernter, nicht authentifizierter Angreifer beliebigen Code oder Befehle ausführen. Auswertungen von Sicherheitsforschern ordnen die Lücke einer Kampagne zu, die sie mit dem Node.js-basierten Remote-Access-Trojaner PivotC2 in Verbindung bringen: Ein Shell-Skript mit Exploit-Binary zielt auf eine verwundbare FortiGate-Instanz, etabliert eine Reverse Shell und lädt anschließend ein weiteres JavaScript-Payload nach. PivotC2 baut danach eine persistente ausgehende TLS-Verbindung zu einem Command-and-Control-Server auf und bietet interaktive Shells, Dateiübertragung sowie Tunneling über SOCKS5/HTTP-Proxys. Nach Angaben der Auswertung wurden mehr als 3.000 IP-Adressen als Ziele erfasst, bei 178 infizierten Geräten mit PivotC2, der Großteil der Kompromittierungen liegt in den USA, frühestes Datum für aktives Ausnutzen ist Juli 2026.

Warum CISA drei Lücken am selben Tag bündelt

Der eigentliche Nachrichtenwert dieser Meldung liegt in der Bündelung, nicht in einer der drei Einzel-CVEs. CISA nimmt regelmäßig einzelne Lücken auf, doch die gleichzeitige Aufnahme von drei Edge- und Management-Komponenten unterschiedlicher Hersteller am selben Tag mit identischer Frist ist ein deutliches Priorisierungssignal. Die Vorgabe BOD 26-04 (Prioritizing Security Updates Based on Risk) verlangt von FCEB-Behörden ohnehin, Patches nach Risikobewertung statt nach Hersteller-Zyklus einzuspielen, bei zwei der drei Einträge verlangt CISA zusätzlich eine Forensic-Triage nach BOD-26-04-Vorgaben. Für Unternehmen außerhalb des Bundesbereichs ist die Frist nicht bindend, dient aber als praktikable Referenz: KEV-Einträge wirken wie ein Priorisierungs-Trigger, weil sie sowohl aktive Ausnutzung dokumentieren als auch später in Audit- und Incident-Argumentationen auftauchen. Wer Cisco Secure FMC, Citrix NetScaler in den genannten Gateway-/AAA-Rollen oder die betroffenen Fortinet-Produkte betreibt, sollte alle drei Systeme als eine gemeinsame Prioritätsklasse behandeln statt als drei getrennte Tickets.

Was Admins jetzt konkret prüfen sollten

• Cisco Secure FMC und Security Cloud Control (SCC) Firewall Management auf die im Advisory cisco-sa-onprem-fmc-authbypass-5JPp45V2 genannten Fix-Versionen aktualisieren.
• Zugriff auf die FMC-Weboberfläche auf vertrauenswürdige Management-Netze beschränken, keine direkte Internetexposition.
• Citrix NetScaler ADC und NetScaler Gateway prüfen, ob eine AAA-virtuelle-Server- oder Gateway-Rolle (SSL-VPN, ICA-Proxy, CVPN, RDP-Proxy) aktiv ist.
• Citrix-Patch gemäß CTX696939 einspielen und aktive Sessions sowie Logs auf ungewöhnliche Authentifizierungsmuster prüfen.
• FortiOS, FortiSwitchManager und FortiSASE auf die in FG-IR-25-084 genannten reparierten Releases anheben.
• FortiGate-Systeme auf Indicators of Compromise für PivotC2 prüfen, etwa unbekannte ausgehende TLS-Verbindungen oder verdächtige Node.js-Prozesse.
• Credentials auf allen drei Systemklassen rotieren, wenn eine Kompromittierung nicht ausgeschlossen werden kann.
• Internetexposition aller Management-Oberflächen und Gateway-Rollen systematisch inventarisieren, nicht nur einzelfallbezogen.
• Patch-Reihenfolge nach tatsächlicher Exposition staffeln: internetseitige FMC- und NetScaler-Instanzen zuerst, danach interne FortiOS-Systeme.
• Change- und Rollback-Plan für alle drei Patches vorbereiten, da Firewall-Management- und VPN-Gateway-Updates Wartungsfenster erfordern.
• Monitoring- und Alerting-Regeln für die drei betroffenen Systemklassen überprüfen, bevor der Patch eingespielt wird, um Post-Patch-Anomalien zuverlässig zu erkennen.
• Ergebnisse der Prüfung dokumentieren, da KEV-Einträge regelmäßig in späteren Audits abgefragt werden.

Passende Anleitungen auf S-EDV

• CISA KEV Catalog: Wie Admins den Katalog für Patch-Priorisierung nutzen
• Citrix NetScaler: Aktive Ausnutzungsversuche gegen kritische Lücken
• Fortinet FortiOS SSL-VPN: Patch-Bypass CVE-2025-68686 aktiv ausgenutzt

Quellen

• CISA Known Exploited Vulnerabilities Catalog
• IT BOLTWISE: CISA nimmt Cisco-, Citrix- und Fortinet-Lücken in KEV auf
• The Hacker News: CISA Flags Exploited Cisco, Citrix Bugs
• Cisco Security Advisory cisco-sa-onprem-fmc-authbypass-5JPp45V2
• Citrix Support Artikel CTX696939
• Fortinet PSIRT Advisory FG-IR-25-084