Vier aktiv ausgenutzte Sicherheitslücken bei Cisco, Fortinet, Palo Alto und im cPanel
KI-generiert mit ChatGPT
An einem einzigen Tag warnten vier Hersteller vor aktiv ausgenutzten Sicherheitslücken. Cisco, Fortinet, Palo Alto und das cPanel-Plugin von LiteSpeed sind betroffen. Drei der vier Schwachstellen werden nachweislich angegriffen, bei der vierten beobachtet eine Sicherheitsfirma erste Exploit-Versuche. Admins sollten sofort reagieren und die Systeme patchen.
Eine Sicherheitslücke gilt als Zero-Day, wenn sie bereits aktiv ausgenutzt wird, bevor ein Patch verfügbar ist oder breit ausgerollt wurde. Die US-Behörde CISA führt solche Fälle in ihrem Katalog der aktiv ausgenutzten Schwachstellen. Drei der vier Sicherheitslücken sind dort bereits aufgeführt. Auffällig ist das gemeinsame Muster. Die Fälle betreffen Edge-Geräte, VPN-Zugänge und Management-Systeme. Genau diese Appliances stehen besonders häufig im Fokus von Angreifern.
Cisco Catalyst SD-WAN Manager: Schreibzugriff bis Root
Des Weiteren wurde bei Cisco eine aktiv ausgenutzte Schwachstelle im Catalyst SD-WAN Manager geschlossen, dem früheren vManage. Über die Software verwalten Admins mit Hilfe eines Dashboard bis zu 6.000 Geräte. Die Schwachstelle CVE-2026-20262 erlaubt einem angemeldeten Angreifer, beliebige Dateien auf dem System zu überschreiben. Daraus kann eine Rechteausweitung bis auf Root-Ebene entstehen. Der CVSS-Score liegt bei 6,5 von 10. Die Schwachstelle betrifft alle Installationsvarianten. Ein Workaround existiert nicht.
AnzeigeFortinet FortiSandbox: drei Lücken, ein KI-Exploit
Die Sicherheitsfirma Defused Cyber beobachtet bereits Exploit-Versuche gegen drei Schwachstellen in FortiSandbox. Fortinet selbst hat eine Ausnutzung in freier Wildbahn bislang nicht bestätigt. FortiSandbox nimmt verdächtige Dateien aus anderen Fortinet-Produkten entgegen, analysiert sie und liefert eine Risikobewertung zurück. Im schlimmsten Fall stuft ein kompromittiertes System Schadsoftware als ungefährlich ein. Die kritischste Sicherheitslücke CVE-2026-25089 erlaubt die unangemeldete Befehlsausführung und liegt laut Fortinet-Advisory bei CVSS 9,1. Ein Detail passt zu einem größeren Trend. Einer der beobachteten Exploits ist laut Defused KI-generiert und fehlerhaft.
cPanel: Ein Symlink reicht für Root
Auch ein Plugin für die Hosting-Oberfläche cPanel steht unter aktivem Beschuss. CISA nahm die Sicherheitslücke CVE-2026-54420 am 15. Juni 2026 in ihren Katalog auf, zusammen mit der erwähnten Cisco-Schwachstelle. Betroffen ist das nutzerseitige Plugin von LiteSpeed. Dies gilt für alle Versionen vor 2.4.8. Ein Nutzer mit Zugriff per FTP oder Web-Shell kann sich auf Servern mit CloudLinux oder CageFS Root-Rechte verschaffen. Möglich macht das eine fehlerhafte Behandlung von symbolischen Verweisen im Dateisystem. Dies ist nicht der erste Fall dieser Art, denn schon ein 64 Tage langer Zero-Day im cPanel traf Millionen Server.
Palo Alto PAN-OS: VPN-Tunnel ohne Passwort
Palo Alto warnt vor aktiver Ausnutzung einer Sicherheitslücke in der VPN-Komponente GlobalProtect. Die Schwachstelle CVE-2026-0257 umgeht die Anmeldung und baut unautorisierte VPN-Verbindungen auf. Der Hersteller hob die Einstufung von Mittel auf Hoch an, nachdem aktive Angriffe bestätigt wurden. Der CVSS-Wert liegt bei 7,8. Die ersten Angriffe beobachteten Forscher von Rapid7 ab dem 17. Mai. Betroffen sind nur Geräte mit einer bestimmten Zertifikatskonfiguration und aktivierten Override-Cookies.
Was Admins jetzt unternehmen müssen
Alle vier Hersteller raten zur sofortigen Installation der Updates. Bei Cisco und cPanel gibt es keinen wirksamen Workaround, hier hilft nur Patchen. Wer betroffene Systeme im Internet exponiert, sollte die Logs prüfen. Die Hersteller haben dazu jeweils konkrete Indikatoren veröffentlicht. Das gemeinsame Muster ist klar. Angreifer gehen dorthin, wo Systeme erreichbar sind und tief in der Infrastruktur sitzen. Netzwerk-Appliances, VPN-Zugänge und Management-Systeme bleiben deshalb besonders attraktive Ziele. Für Betreiber zählt daher nicht nur, ob ein Patch existiert, sondern wie schnell er tatsächlich auf den exponierten Systemen landet.
Erst kürzlich zeigte der Rekord-Patchday bei Microsoft mit rund 200 Schwachstellen, unter welchem Patchdruck Administratoren inzwischen stehen.
Server, KI-Modelle und Recherche kosten Geld. ClawNews ist unabhängig — hilf mit, dass das so bleibt.
