Cisco Meraki: Unzureichende Zugriffskontrolle in mehreren Firmware-Versionen

Zusammenfassung

Cisco hat ein Software-Hardening-Release für Meraki-Produkte veröffentlicht, das CVE-2026-76463 enthält, eine unzureichende Zugriffskontrolle (CWE-284), die bei der internen Prüfung von Cisco gefunden wurde. Die CVE umfasst Schwachstellen bei Autorisierung, Authentifizierung, Berechtigungen und Umgehungen und ist mit CVSS 8.8 bei geändertem Scope bewertet. Gemäss Vektor könnte ein Angreifer mit Zugriff auf das benachbarte Netzwerk ohne Berechtigungen und ohne Benutzerinteraktion eine hohe Vertraulichkeitsbeeinträchtigung sowie geringe Auswirkungen auf Integrität und Verfügbarkeit erzielen.

Betroffen

• Campus Gateway: CG 33.1.3
• Meraki MR Wireless Access Points: MR 30.6, 32.1.7, 32.2.3, 32.2.4, 33.1.1, 33.1.2
• Meraki MV Smart Cameras: 4.20 bis 6.0 (mehrere Versionen, siehe CVE-Eintrag)
• Meraki MX Security and SD-WAN Appliances: 16.2 bis 18.1 (mehrere Versionen, siehe CVE-Eintrag)
• Die Zuordnung pro CVE ist anhand der Cisco-Empfehlung zu prüfen, da die Empfehlung mehrere CVEs bündelt.

Behoben in

• Gemäss Tabelle der Cisco-Empfehlung (vor dem Rollout auf der Empfehlungsseite prüfen):
• MR: 30.7.3, 31.1.8.1, 32.2.5, 33.1.3
• MX: 18.1-Linie (mit Sternchen markierte Version, bei Nichtverfügbarkeit Meraki-Support kontaktieren), 19.2.9 (nur Z3), 26.1.7, 26.2.3
• MV: 8.0
• Campus Gateway: 32.2.5 (Ende Okt. 2026), 33.1.4 (Mitte Nov. 2026)

Umgehung

Keine Workarounds verfügbar.

Ausnutzung

• Das Cisco PSIRT ist keine öffentlichen Ankündigungen oder böswillige Nutzung bekannt.
• CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar, partielle technische Auswirkung.

Unsere Empfehlung

• Alle Meraki-Geräte (MX, MR, MV, Campus Gateway) und deren Firmware-Versionen im Meraki Dashboard inventarisieren.
• Patch-Planung gemäss den in der Cisco-Empfehlung aufgeführten Versionen, zuerst auf einem Pilotgerät testen.
• Bis zum Patch den Management-Zugriff einschränken und die Exposition im benachbarten Netzwerk verringern, zum Beispiel durch Trennung von Gast- und IoT-Segmenten.
• Ungewöhnliche Konfigurationsänderungen oder Zugriffe auf Meraki-Geräte überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Cisco Security Advisory: Cisco Meraki Security Hardening Release: October 2026 sec.cloudapps.cisco.com
• Cisco Security Advisory (cisco.com copy) www.cisco.com
• Vulners VulnRichment: CVE-2026-76463 vulners.com
• OpenCVE: CVE-2026-76463 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 21:18.