Angriffe auf Cisco SD-WAN, Zimbra, TeamCity, PaperCut und mehr beobachtet

Die US-amerikanische IT-Sicherheitsbehörde CISA warnt vor derzeit beobachteten Angriffen auf Cisco SD-WAN, Zimbra, TeamCity, PaperCut und weitere Software. Die Schwachstellen reichen von 2023 bis zum Februar 2026, Updates stehen zum Ausbessern bereit. Spätestens jetzt sollten Admins prüfen, ob sie verwundbare Software einsetzen und diese gegebenenfalls aktualisieren.

Die CISA listet insgesamt acht attackierte Schwachstellen auf. Die drei jüngsten betreffen Ciscos Catalyst SD-WAN Manager. Die Beschreibungen dazu lauten etwa, dass die Software höher privilegierte APIs nicht korrekt nutzt (CVE-2026-20122, CVSS 5.4, Risiko „mittel“), wodurch Angreifer bösartige Dateien hochladen und ihre Rechte ausweiten können. Außerdem speichert Ciscos SD-WAN Passwörter, sodass sie wiederherstellbar sind (CVE-2026-20128, CVSS 7.5, Risiko „hoch“) und ermöglicht dadurch Angreifern aus dem Netz, Zugriff mit Data-Collection-Agent-Rechten (DCA) zu erlangen. Zudem ermöglicht eine der Schwachstellen, dass Angreifer durch einen unzureichenden Zugriffsschutz unbefugt sensible Informationen über eine API abgreifen können (CVE-2026-20133, CVSS 7.5, Risiko „hoch“).

Insgesamt sechs Produkte attackiert

Angreifer nehmen zudem eine Cross-Site-Scripting-Lücke in der Kollaborationssoftware Zimbra Collaboration Suite (ZCS) ins Visier (CVE-2025-48700, CVSS 6.1, Risiko „mittel“). Eine Lücke mit höchstmöglichem Risiko in Quest KACE System Management Appliances (SMA) nutzen bösartige Akteure, wodurch sie administrativen Zugang erhalten und die Systeme komplett übernehmen können (CVE-2025-32975, CVSS 10.0, Risiko „kritisch“). Ebenfalls im Visier: Eine Path-Traversal-Schwachstelle in Kentico Xperience (CVE-2025-2749, CVSS 7.2, Risiko „hoch“), auch in JetBrains TeamCity greifen Kriminelle so eine Schwachstelle an (CVE-2024-27199, CVSS 7.3, Risiko „hoch“). Die älteste Lücke findet sich in PaperCut NG/MF und ermöglicht die Umgehung der Authentifizierung (CVE-2023-27351, CVSS 8.2, Risiko „hoch“).

Jedwede Details zu den Angriffen fehlen jedoch. Die CISA meldet lediglich, auf welche Sicherheitslücken Attacken beobachtet wurden, aber nicht, auf welche Art und in welchem Umfang sie missbraucht werden. Daher fehlen auch für Admins wichtige Informationen wie Hinweise auf erfolgreiche Angriffe (Indicators of Compromise, IOC). IT-Verantwortlichen bleibt somit derzeit nur, zu prüfen, ob die Software bei ihnen auf dem aktuellen und nicht verwundbarem Stand ist.

Zuletzt hat die CISA zum Wochenende gewarnt, dass Angreifer es auf Apache ActiveMQ und ActiveMQ Broker abgesehen haben.

(dmk)