Cisco hat sieben Sicherheitslücken offengelegt, die Meraki-Gateways, Switches, WLAN-Access-Points und Kameras betreffen, darunter eine kritische Schwachstelle mit einer Bewertung von 9,6 auf der CVSS-Schweregradskala. Für mehrere Produkte sind bereits Fehlerbehebungen verfügbar, einige Firmware-Updates werden jedoch voraussichtlich erst später im Oktober oder im November veröffentlicht.
Die Schwachstellen betreffen sechs Meraki-Produktfamilien unabhängig von der Gerätekonfiguration. Cisco zufolge gibt es keine Workarounds, sodass Administratoren auf die für jedes Produkt und jede Softwareversion verfügbare korrigierte Firmware angewiesen sind.
Der Sicherheitshinweis wurde am 7. Oktober 2026 veröffentlicht und am folgenden Tag um eine zusätzliche korrigierte Version für MX-Sicherheits-Appliances ergänzt. Cisco hat keine bekannte böswillige Ausnutzung der Schwachstellen gemeldet.
Sieben Cisco-Meraki-Schwachstellen erreichen Bewertungen von bis zu 9,6
Laut Sicherheitsratgeber von Cisco fällt die schwerwiegendste Schwachstelle, CVE-2026-76464, unter CWE-119, eine Kategorie für Fehler bei Speicherpuffern wie Pufferüberläufe und Schreibvorgänge außerhalb von Speichergrenzen.
Sie hat einen CVSS-Wert von 9,6 und einen Angriffsvektor über ein benachbartes Netzwerk. Laut dem von Cisco veröffentlichten Schweregradvektor erfordert die Ausnutzung weder eine Authentifizierung noch eine Benutzerinteraktion.
Die sechs anderen Schwachstellengruppen betreffen Probleme bei Zugriffskontrollen, Eingabevalidierung, Ressourcenverwaltung, Berechnungen, Kontrollfluss und Einschleusungen.
Cisco führt die folgenden CVEs auf:
- CVE-2026-76464 (CVSS 9,6): Unzulässige Einschränkungen bei Speicherpufferoperationen.
- CVE-2026-76463 (CVSS 8,8): Unzureichende Zugriffskontrolle.
- CVE-2026-76467 (CVSS 7,5): Unzureichende Verwaltung einer Ressource während ihrer gesamten Lebensdauer.
- CVE-2026-76468 (CVSS 8,2): Unzureichende Eingabevalidierung.
- CVE-2026-76469 (CVSS 7,4): Unzureichende Verwaltung des Kontrollflusses.
- CVE-2026-76470 (CVSS 8,8): Fehlerhafte Berechnungen.
- CVE-2026-76472 (CVSS 8,8): Fehlerhafte Verarbeitung spezieller Elemente, einschließlich Schwachstellen durch Einschleusung.
Cisco fasst zusammengehörige Probleme unter einzelnen CVE-Kennungen zusammen, die auf ihrer Kategorie in der Common Weakness Enumeration (CWE) basieren. Jede veröffentlichte Schweregradbewertung steht für die schwerwiegendste zugrunde liegende Schwachstelle in der jeweiligen Gruppe und nicht für jede Schwachstelle mit derselben Auswirkung.
Die Entwicklungsteams des Unternehmens identifizierten die Probleme durch interne Sicherheitstests, die bestehende Testverfahren und moderne KI-Modelle umfassten.
Ciscos Product Security Incident Response Team (PSIRT) erklärte, ihm seien zum Zeitpunkt der Veröffentlichung des Sicherheitshinweises keine öffentlichen Ankündigungen oder böswilligen Nutzungen dieser Schwachstellen bekannt gewesen.
Welche Cisco-Meraki-Produkte benötigen Updates?
Der Sicherheitshinweis deckt sechs Meraki-Produktfamilien ab:
- Meraki Campus Gateways
- Meraki MG-Mobilfunk-Gateways
- Drahtlose Meraki-MR-Access-Points
- Meraki-MS-Switches
- Intelligente Meraki-MV-Kameras
- Meraki-MX-Sicherheits- und SD-WAN-Appliances
Die betroffenen Softwareversionen und Fehlerbehebungen unterscheiden sich bei diesen Produkten. Administratoren sollten die Produktfamilie und den Firmware-Zweig jedes Geräts mit Ciscos Liste der korrigierten Versionen abgleichen.
Bereits verfügbare korrigierte Firmware
Cisco nennt die folgenden ersten korrigierten Versionen für mehrere betroffene Produktfamilien:
- MG-Mobilfunk-Gateways: Version 26.1.4 für den Zweig 26.1.
- Drahtlose MR-Access-Points: Versionen 30.7.3, 31.1.8.1 und 33.1.3 für die jeweiligen Zweige.
- MS-Switches: IOS XE 17.15.6, 17.18.4.1 und 26.1.2 für die entsprechenden IOS-XE-Zweige.
- Intelligente MV-Kameras: Version 8.0 für den Zweig der 7er-Serie.
- MX-Sicherheits-Appliances: Versionen 18.107.14, 19.2.9, 26.1.7 und 26.2.3 für die entsprechenden Zweige.
Für die MX-Versionen gelten wichtige Ausnahmen. Cisco zufolge ist Version 19.2.9 nur für Meraki-Z3-Geräte verfügbar.
Kunden, die die MX-Versionen 18.107.14 oder 19.2.9 nicht unter ihren verfügbaren Update-Optionen finden, sollten den technischen Support von Cisco Meraki kontaktieren.
Korrigierte Firmware steht noch aus
In Ciscos Sicherheitshinweis vom 8. Oktober wurden drei korrigierte Versionen mit künftigen Verfügbarkeitsdaten aufgeführt:
- Campus Gateway 32.2: Version 32.2.5, voraussichtlich Ende Oktober 2026.
- Campus Gateway 33.1: Version 33.1.4, voraussichtlich Mitte November 2026.
- MS-Switch 18.1: Version 18.1.9, voraussichtlich Mitte Oktober 2026.
Für drahtlose MR-Access-Points mit dem Zweig 32.2 ist ebenfalls Version 32.2.5 erforderlich, die Cisco für Ende Oktober angekündigt hat.
Dabei handelt es sich um von Cisco prognostizierte Verfügbarkeitsdaten, nicht um eine Bestätigung, dass die Firmware bereits ausgeliefert wurde. Administratoren sollten vor der Planung von Upgrades den aktuellen Sicherheitshinweis und das Meraki Dashboard prüfen.
Die Unterscheidung zwischen den Produktfamilien ist insbesondere bei Version 33.1 wichtig. Die erste korrigierte Version für MR-Access-Points ist 33.1.3, während Campus Gateways den späteren Build 33.1.4 benötigen.
Eine übereinstimmende Versionsnummer aus einer anderen Meraki-Produktfamilie bietet nicht zwangsläufig Schutz.
Was Administratoren tun sollten, solange Fehlerbehebungen ausstehen
Cisco erklärt, dass es keine Workarounds für diese Schwachstellen gibt. Die empfohlene Abhilfe besteht darin, die für jedes betroffene Produkt aufgeführte korrigierte Software zu installieren.
Für Unternehmen mit gemischten Meraki-Installationen sind zunächst folgende Schritte erforderlich:
- Betroffene Geräte inventarisieren. Alle Campus Gateways, MG-Gateways, MR-Access-Points, MS-Switches, MV-Kameras und MX-Appliances einschließlich ihrer Firmware-Versionen erfassen.
- Geräte den korrigierten Versionen zuordnen. Ciscos Sicherheitshinweis anhand der Gerätefamilie und des Firmware-Zweigs prüfen, nicht nur anhand der Versionsnummer.
- Verfügbare Fehlerbehebungen installieren. Firmware-Updates planen und anschließend die installierten Versionen überprüfen.
- Ausstehende Firmware verfolgen. Die für Oktober und November erwarteten Versionen überwachen und Wartungsfenster einplanen, sobald sie verfügbar sind.
- Upgrade-Zugriff und Berechtigungen prüfen. Sicherstellen, dass autorisierte Administratoren Firmware-Upgrades über das Meraki Dashboard verwalten können.
- Versionshinweise prüfen. Bekannte Probleme und modellspezifische Einschränkungen prüfen, bevor die Firmware auf Produktivgeräten bereitgestellt wird.
Administratoren, die MR-Access-Points verwalten, sollten den Versionshinweisen zu MR 33.1.3 besondere Aufmerksamkeit widmen.
Die Version enthält 12 dokumentierte Fehlerbehebungen und vier bekannte Probleme. Diese bekannten Probleme sollten vor dem Upgrade mit den konkret eingesetzten Access-Point-Modellen abgeglichen werden.
Unternehmen, die ältere Firmware verwenden, müssen außerdem Ciscos Richtlinie zum Supportende der Meraki-Firmware prüfen. Einige ältere Firmware-Zweige erhalten keine reguläre Wartung mehr; ihre Berechtigung für Sicherheitsupdates muss daher bestätigt und darf nicht einfach vorausgesetzt werden.
Die Nachverfolgung korrigierter Versionen ist ein wichtiger Bestandteil des Schwachstellenmanagements – insbesondere dann, wenn unterschiedliche Produkte unterschiedliche Updates benötigen.
Für Sicherheitsteams, die umfangreichere Infrastrukturumgebungen verwalten, können auch Patch-Management-Prozesse dabei helfen, ausstehende Updates zu dokumentieren und zu bestätigen, ob die Behebung abgeschlossen wurde.
Ciscos Meraki-Sicherheitshinweis lässt Administratoren mit einem gestaffelten Patch-Zeitplan zurück. Unternehmen können Produkte mit verfügbaren Fehlerbehebungen jetzt aktualisieren. Wer betroffene Firmware ohne veröffentlichte Fehlerbehebung einsetzt, muss dagegen die von Cisco veröffentlichten Verfügbarkeitsdaten überwachen und Wartungsfenster vorbereiten, sobald die Updates verfügbar werden.
Außerdem lesen: Microsofts September-Sicherheitsupdates haben Hunderte von Schwachstellen behoben, darunter zwei Windows-Zero-Days, die Angreifer bereits ausgenutzt hatten.