Cisco patcht neun kritische Lücken in Crosswork und Secure Workload - fünf mit CVSS 10.0

Cisco hat im Rahmen einer fortlaufenden internen Sicherheitsüberprüfung eine weitere Runde an Patches veröffentlicht. Betroffen sind diesmal die Netzwerk-Management-Plattform Crosswork und die Security-Analytics-Lösung Secure Workload. Insgesamt schließt der Hersteller neun Schwachstellen, fünf davon mit dem maximal möglichen CVSS-Wert von 10.0. Aktive Ausnutzung ist laut Cisco aktuell nicht bekannt, dennoch stufen Sicherheitsexperten die Kombination aus SQL-Injection, fehlender Authentifizierung und externer Dateisystem-Kontrolle als hochkritisch ein.

Worum es geht

Cisco veröffentlichte am 21. August 2026 Sicherheitsupdates für zwei getrennte Produktfamilien: die Crosswork-Plattform (Netzwerk-Automatisierung und -Orchestrierung) sowie Secure Workload (Segmentierung und Workload-Sicherheit für Rechenzentren und Cloud). Beide Advisories entstammen derselben unternehmensweiten Initiative, bei der Cisco eigene Produkte systematisch auf Schwachstellen prüft, bevor diese von Angreifern gefunden werden können. Vier der neun Lücken betreffen Crosswork, fünf betreffen Secure Workload.

Vier Lücken in Crosswork Data Gateway, Network Controller und Planning

Die vier Crosswork-Schwachstellen betreffen Crosswork Data Gateway, Crosswork Network Controller und Crosswork Planning unabhängig von der jeweiligen Gerätekonfiguration. Betroffen ist Cisco Crosswork Release Version 7.2.1 und früher, behoben in Version 7.2.1-SP.

1. CVE-2026-20030 (CVSS 10.0) - SQL-Injection-Schwachstelle
2. CVE-2026-20357 (CVSS 10.0) - Fehlende Authentifizierung für eine kritische Funktion
3. CVE-2026-20358 (CVSS 10.0) - External Control of File System (externe Kontrolle über das Dateisystem)
4. CVE-2026-20359 (CVSS 9.9) - Unzureichend geschützte Zugangsdaten

Drei der vier Lücken erreichen damit den absoluten CVSS-Maximalwert. Eine SQL-Injection kombiniert mit fehlender Authentifizierung für kritische Funktionen bedeutet im schlimmsten Fall, dass ein Angreifer ohne gültige Zugangsdaten direkten Zugriff auf die Datenbank der Crosswork-Plattform erhalten könnte.

Fünf Lücken in Secure Workload (SaaS und On-Premises)

Bei Secure Workload sind sowohl SaaS- als auch On-Premises-Installationen betroffen. Cisco Secure Workload Release Version 3.10 und früher wurde in Version 3.10.9.1 gepatcht, Version 4.0 in Version 4.0.4.16.

1. CVE-2026-20231 (CVSS 9.9) - Mehrere Command-, OS- und Argument-Injection-Schwachstellen
2. CVE-2026-20315 (CVSS 10.0) - Mehrere Improper-Access-Control-Schwachstellen (Autorisierung, Authentifizierung, Privilegien, Bypässe)
3. CVE-2026-20317 (CVSS 10.0) - Mehrere Improper-Authentication-Schwachstellen (fehlende Authentifizierung, Bypass, Vertrauen auf nicht-vertrauenswürdige Eingaben)
4. CVE-2026-20318 (CVSS 9.6) - Mehrere Improper-Input-Validation-Schwachstellen (Path Traversal, externe Pfad-Kontrolle)
5. CVE-2026-20319 (CVSS 7.5) - Mehrere Buffer-Overflow- und Out-of-Bounds-Write-Schwachstellen

Auch hier stechen zwei Lücken mit CVSS 10.0 heraus. CVE-2026-20315 und CVE-2026-20317 betreffen jeweils mehrere Schwachstellen rund um Zugriffskontrolle und Authentifizierung - in Summe könnten sie es einem Angreifer erlauben, Authentifizierungsmechanismen vollständig zu umgehen und mit erhöhten Rechten auf die Plattform zuzugreifen, die eigentlich zur Überwachung und Segmentierung ganzer Rechenzentren dient.

Alle neun CVEs im Überblick

Kein Zero-Day, aber keine Entwarnung

Cisco betont in den Advisories ausdrücklich: "Diese Schwachstellen wurden während interner Tests gefunden und sind nicht als aktiv ausgenutzt bekannt." Es handelt sich also nicht um einen Zero-Day mit akuter Angriffswelle, sondern um Funde aus Ciscos eigener, umfassender interner Sicherheitsüberprüfung. Das ändert jedoch wenig an der Dringlichkeit: Sobald technische Details oder Proof-of-Concept-Exploits öffentlich werden, können Angreifer die Lücken innerhalb weniger Tage in automatisierte Scan- und Angriffs-Toolkits integrieren. Bei einem CVSS-Wert von 10.0 bedeutet das im Zweifel vollständige Kompromittierung ohne Nutzerinteraktion und ohne vorherige Authentifizierung.

Diese Patch-Runde ist bereits die zweite im Rahmen der laufenden internen Cisco-Sicherheitsüberprüfung. Vor rund zwei Wochen hatte Cisco im selben Kontext bereits zwölf Schwachstellen in Catalyst SD-WAN und IOS XE Software geschlossen. Der Hersteller beschreibt die Überprüfung selbst als Prozess, der zu Software-Hardening-Releases führt, die mehrere intern entdeckte Schwachstellen adressieren. Cisco-Systeme sind aufgrund ihrer weiten Verbreitung in Unternehmensnetzen ein bevorzugtes Angriffsziel - in der Vergangenheit wurden zahlreiche Lücken in Cisco-Produkten wiederholt aktiv ausgenutzt, um unbefugten Zugriff zu erlangen und Malware zu platzieren.

Was Admins jetzt tun sollten

Wer Crosswork oder Secure Workload betreibt, sollte die Updates nicht auf die lange Bank schieben, auch wenn aktuell keine aktive Ausnutzung bekannt ist. Konkrete Schritte:

1. Prüfen, ob Crosswork Data Gateway, Network Controller oder Planning in Version 7.2.1 oder früher im Einsatz ist, und zeitnah auf 7.2.1-SP aktualisieren.
2. Secure Workload SaaS- und On-Premises-Instanzen auf die aktuelle Version prüfen: 3.10.x auf 3.10.9.1, 4.0.x auf 4.0.4.16 anheben.
3. Bei SaaS-Instanzen von Secure Workload klären, ob Cisco das Update automatisch einspielt oder ob eine manuelle Freigabe nötig ist.
4. Management-Interfaces von Crosswork und Secure Workload nicht ungeschützt aus dem Internet erreichbar machen, sondern konsequent auf Management-VLANs oder VPN-Zugänge beschränken.
5. Zugangsdaten und API-Tokens für beide Plattformen rotieren, insbesondere angesichts der Lücke zu unzureichend geschützten Zugangsdaten (CVE-2026-20359).
6. Logs beider Plattformen auf ungewöhnliche Datenbankzugriffe, unerwartete Dateisystem-Operationen oder Authentifizierungs-Anomalien der letzten Wochen prüfen.
7. Die Cisco Security Advisories für die eigene Systemlandschaft im Blick behalten, da im Rahmen der laufenden internen Überprüfung mit weiteren Patch-Runden zu rechnen ist.

Da fünf der neun Lücken den maximalen CVSS-Wert von 10.0 erreichen und aktuell die einzige Verteidigungslinie darin besteht, dass noch keine aktive Ausnutzung bekannt ist, gilt: zeitnahes Patchen ist hier keine Kür, sondern Pflicht.

Einordnung für Unternehmen

Crosswork und Secure Workload sind keine Consumer- oder Kleinstunternehmen-Produkte, sondern richten sich an größere Mittelstandskunden und Unternehmen mit dediziertem Netzwerk-Monitoring beziehungsweise Rechenzentrums-Segmentierung. Wer diese Plattformen betreibt, verfügt in aller Regel bereits über ein IT-Team oder einen Managed-Service-Provider, der Patch-Zyklen aktiv steuert. Genau deshalb lohnt sich der Blick auf die vollständige Advisory-Liste bei Cisco: Neben den hier beschriebenen neun Lücken warnte Cisco erst Anfang des Monats vor CVE-2026-20349 (CVSS 8.6) in Secure Firewall ASA und FTD Software - jene Lücke wird bereits aktiv ausgenutzt und unterstreicht, wie wichtig eine konsequente und schnelle Patch-Disziplin bei Cisco-Infrastruktur insgesamt ist.

Passende Anleitungen auf S-EDV

1. Cisco ASA und FTD: CVE-2026-20349 wird aktiv für DoS-Angriffe ausgenutzt
2. Cisco Unified CM: Kritische SSRF-Lücke CVE-2026-20230 jetzt aktiv ausgenutzt
3. Metabase-Zero-Day mit CVSS 10.0: SQL-Injection ohne Authentifizierung aktiv ausgenutzt

Quellen

1. The Hacker News: Cisco Patches 9 Vulnerabilities in Crosswork, Secure Workload Platforms
2. Cisco Security Advisories (offizielle Advisory-Übersicht)
3. Cisco Security Advisories List