Cisco Expressway Series: Remote Code Execution über persistente Cookies
Zusammenfassung
Der Datenbankdienst der Cisco Expressway Series (Expressway-C und Expressway-E) kann von einem nicht authentifizierten Angreifer mit Netzwerkzugriff missbraucht werden, um beliebige Betriebssystembefehle als root auszuführen. Ursache sind persistente Cookies in Kombination mit einer unzureichenden Prüfung von Client-Zertifikaten, wenn TLS Verify Mode für das Clustering auf Enabled gesetzt ist. Ein Angreifer benötigt die Cookies und muss bestimmte RPC-Befehle am Datenbankdienst aufrufen. Nur Geräte, die in einem Cluster konfiguriert sind, sind betroffen.
Betroffen
- Cisco Expressway-C und Expressway-E (virtuell und als Appliance) mit X14 und älter
- X15.5.3 und älter, nur wenn das Gerät in einem Cluster konfiguriert ist
Behoben in
- X15.5.20 (für X15.5.3 und älter)
- X14 und älter: auf eine korrigierte Version migrieren
- Cisco hat zusätzlich das Cisco Expressway Series Security Hardening Release: October 2026 veröffentlicht, das diesen Fix enthält
Umgehung
- Keine. Cisco gibt an, dass keine Workarounds verfügbar sind.
- Übergangsmassnahme: Logs auf Verbindungen zum Datenbankdienst von Hosts prüfen, die keine Cluster-Peers sind.
Ausnutzung
- Das Cisco PSIRT kennt keine öffentlichen Ankündigungen oder missbräuchliche Nutzung.
- Kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
- Widersprüchliche Angaben zur Aufnahme in den CISA KEV-Katalog; im CISA KEV-Katalog prüfen.
Unsere Empfehlung
- Alle Expressway-C- und Expressway-E-Geräte auf Softwareversion und Clustering-Status prüfen.
- Geclusterte Geräte auf X15.5.20 oder das Hardening Release vom Oktober 2026 aktualisieren; X14 und älter auf eine korrigierte Version migrieren.
- Aus dem Internet erreichbare Expressway-E-Geräte priorisieren.
- Zugriff auf den Datenbankdienst auf Netzwerkebene einschränken, nachdem Port und Schnittstelle auf den eigenen Geräten geprüft wurden.
- Logs auf unerwartete Verbindungen zum Datenbankdienst überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Cisco Security Advisory cisco-sa-vcs-static-cred-hr7EWZ8t sec.cloudapps.cisco.com
- Analysis of CVE-2026-76466 (dev.to) dev.to
- Cryptika: Critical Cisco Expressway vulnerability www.cryptika.com
- ThreatFrontier: CVE-2026-76466 threatfrontier.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 17:06.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.