Cisco IOS CVE-2008-4128: 18 Jahre alter Router-Bug wird aktiv ausgenutzt

Am 13. Juli 2026 hat CISA die Schwachstelle CVE-2008-4128 in den Known Exploited Vulnerabilities (KEV) Katalog aufgenommen. Es handelt sich um eine Cross-Site-Reqüst-Forgery (CSRF)-Lücke in Cisco IOS Version 12.4, die Angreifer zur Remote-Ausführung beliebiger Befehle nutzen können. Die BOD-26-04 Frist für die Remediation war der 16. Juli 2026.

Was ist passiert?

Die Schwachstelle existiert seit 2008 und betrifft Cisco IOS 12.4(12) und 12.4(4). Ein Angreifer kann über eine CSRF-Anfrage einen Befehl an die administrative Web-Oberfläche des Geräts senden. Konkret ermöglicht der Fehler die Ausführung von Befehlen über die URIs /level/15/exec/- und bestimmte alias exec-Kommandos. Das führt zu beliebiger-kommando-Ausführung-mit-vollen-admin-rechten-auf-dem-Gerät.

CISA hat die Aufnahme in den KEV-Katalog mit dem Hinweis begründet, dass die Schwachstelle aktiv von Angreifern ausgenutzt wird. Der Fristablauf am 16. Juli 2026 betraf alle FCEB-Behörden (Federal Civilian Executive Branch). für private Unternehmen gilt die Frist nicht direkt, aber die aktive Ausnutzung macht das Thema dringend.

Wer ist betroffen?

Betroffen sind Cisco-Geräte mit IOS Version 12.4, insbesondere Router der Serien ISR und Catalyst Switches, die noch auf dieser älteren IOS-Version laufen. In KMU sind oft alte Router als Standortverbindungen oder Access-Switches im Einsatz, die seit Jahren nicht aktualisiert wurden. Nicht betroffen: Geräte mit aktüllem IOS (15.x, 16.x, 17.x) oder IOS XE.

Wie kritisch ist das?

für betroffene Geräte kritisch. Der Angriff erfordert Zugang zur Web-Oberfläche (HTTP/HTTPS), aber kein Authentifizierungs-Token für den CSRF-Vektor. Ein kompromittierter Client im selben Netzwerk oder ein Angreifer mit Netzwerkzugang zum Management-Interface kann den Router komplett übernehmen. Aufgrund der 18 Jahre alten CVE und der geringen Installationsbasis moderner IOS-Versionen ist die reale Bedrohung für die meisten KMU gering, aber für Betreiber von Legacy-Infrastruktur akut.

Was sollten Admins jetzt tun?

1. Geräte-Inventar prüfen: Mit show version prüfen, ob noch IOS 12.4 im Einsatz ist. Das betrifft oft "vergessene" Geräte an Standortfilialen.
2. IOS aktualisieren: Auf mindestens IOS 15.x upgraden. Wenn Upgrade nicht möglich (End-of-Support), Gerät austauschen.
3. Management-Interface absichern: Die Web-Oberfläche darf nie im WAN erreichbar sein. ACLs oder Management-VLAN nutzen.
4. Alternative: Wenn ein Upgrade nicht möglich ist, Management-Interface komplett deaktivieren und nur CLI-Zugang via SSH erlauben.

Einordnung für Unternehmen

für KMU mit moderner Cisco-Infrastruktur (IOS XE, 15.x+) besteht keine direkte Gefahr. Das Thema ist aber ein Weckruf: Alte Netzwerkkomponenten, die seit Jahren nicht aktualisiert wurden, werden aktiv von Angreifern gesucht. Ein regelmäßiges Netzwerk-Inventar mit Versionsprüfung ist essenziell.

Passende Anleitungen auf S-EDV

1. Cisco Unified CM: SSRF-Lücke CVE-2026-20230 aktiv ausgenutzt – Eine weitere aktülle Cisco-Schwachstelle mit aktiver Ausnutzung.
2. CISA KEV: Warum der Known Exploited Vulnerabilities Catalog für Admins Pflicht ist – Erklärt den KEV-Katalog und dessen Bedeutung für Admins.

Qüllen

1. CISA Alert: CVE-2008-4128 KEV-Aufnahme
2. CybersecurityNews: Decades Old Cisco IOS Vulnerability
3. CyberPress: 18-Year-Old Cisco IOS Vulnerability
4. SC World: CISA KEV Catalog