Sicherheitslage: Angreifer zielen auf Firewalls und VPN-Zugänge

Was ist passiert

Am 28. Oktober 2026 hat Cisco eine Lücke in seinen Firewalls der Reihen ASA und FTD veröffentlicht (CVE-2026-76418). Über den VPN-Zugang für Mitarbeiter können Angreifer die Firewall ohne Anmeldung zum Neustart bringen, wenn dort eine zweite Anmeldestufe eingerichtet ist. Cisco bestätigt, dass die Lücke bereits ausgenutzt wird. Eine echte Umgehung gibt es laut Hersteller nicht, nur eine vorübergehende Abschwächung bis zum Update.

Fast zeitgleich hat Ivanti die VPN-Lösung Connect Secure nachgebessert. Angreifer hatten mehrere Lücken (CVE-2026-104935, CVE-2026-111357 und CVE-2026-118527) hintereinander ausgenutzt und so auch auf vollständig aktualisierten Geräten volle Kontrolle erlangt. Ihr Ziel waren Zugangsdaten, Daten aus dem Firmennetz und das Verwischen der Spuren in den Protokollen. Behoben ist das laut Ivanti erst in den Versionen 25.1.1.3 und 22.8R2.6.

Die US-Behörde CISA hat beide Fälle Ende Oktober in ihre Liste der aktiv ausgenutzten Schwachstellen aufgenommen. Das Muster ist nicht neu und betrifft nicht nur diese beiden Hersteller: VPN-Zugänge stehen zwangsläufig im Internet, werden selten überwacht und oft erst Monate später aktualisiert.

Wen betrifft es

Direkt betroffen sind Betriebe mit einer Cisco-Firewall der Reihen ASA oder FTD mit eingeschaltetem Mitarbeiter-VPN und Betriebe mit Ivanti Connect Secure. Grundsätzlich betrifft das Thema aber jeden Betrieb, der einen Zugang von außen anbietet: Homeoffice, Außendienst oder Fernwartung durch Lieferanten. Wer nicht sicher weiß, welches Gerät dafür zuständig ist und wann es zuletzt aktualisiert wurde, sollte die folgenden Schritte ernst nehmen.

Was Sie sofort tun sollten

1. Gerät und Version feststellen. Fragen Sie Ihre IT-Betreuung oder Ihren Lieferanten schriftlich: Welche Firewall und welche VPN-Lösung sind im Einsatz, und welche Softwareversion läuft gerade?
2. Aktualisieren. Bei Cisco ASA oder FTD auf die vom Hersteller genannten Versionen, bei Ivanti Connect Secure auf 25.1.1.3 oder 22.8R2.6. Wer erst Mitte Oktober aktualisiert hat, muss bei Ivanti noch einmal nachziehen.
3. Auf Spuren prüfen lassen. Ein Update schließt die Lücke, entfernt aber keinen Angreifer, der schon drin ist. Lassen Sie die VPN-Anmeldungen der letzten Wochen auf ungewöhnliche Uhrzeiten, Länder und Konten prüfen.
4. Bei Verdacht Zugangsdaten tauschen. Passwörter der VPN-Benutzer und der Administratoren ändern und offene Sitzungen beenden.

Was mittelfristig hilft

• Ein fester Ablauf für Firewall-Updates. Kritische Updates innerhalb weniger Tage, nicht beim nächsten Wartungstermin in drei Monaten. Dazu gehört, dass jemand die Warnungen der Hersteller und von CERT.at tatsächlich liest.
• Mehr-Faktor-Anmeldung für jeden Zugang von außen. Ein erbeutetes Passwort allein darf nicht reichen.
• Nur öffnen, was gebraucht wird. Die Verwaltungsoberfläche der Firewall gehört nie ins Internet, nicht genutzte Portale und Dienste werden abgeschaltet.
• Protokolle sammeln und ansehen. Anmeldungen am VPN gehören an eine Stelle, an der jemand Auffälligkeiten bemerkt, nicht nur in den Speicher des Geräts, wo sie ein Angreifer löschen kann.
• Geräte ohne Updates ersetzen. Eine Firewall, für die der Hersteller keine Updates mehr liefert, ist ein offenes Fenster mit Schild davor.

Wie wir unterstützen

Im Firewall-, WLAN- und Netzwerk-Review prüfen wir Regelwerk, VPN-Zugänge, Versionen und Lebenszyklus Ihrer Geräte. Im Paket Secure+ ist eine Managed Firewall samt Betrieb und Updates enthalten, dazu der laufende Blick von außen auf das, was Angreifer von Ihnen sehen.

Quellen

• Cisco Security Advisory: ASA und FTD Remote Access SSL VPN (CVE-2026-76418)
• Ivanti Security Advisory: Connect Secure (CVE-2026-104935 und Folgelücken)
• SecurityWeek: Ivanti Patches Two More Zero-Days Exploited in Connect Secure Attack Chain
• CISA: Known Exploited Vulnerabilities Catalog

Dieser Beitrag gibt den Stand vom 3. November 2026 wieder. Maßgeblich für Versionen und Abhilfen sind die Hinweise der Hersteller.