Skip to content
Redaktionelle StandardsWerben
MeridiansUnabhängige Berichterstattung, Tests und Kaufberatung
LIVE
Software/News

CISA setzt Frist noch in derselben Woche für vier aktiv ausgenutzte Sicherheitslücken – eine erreicht die Höchstwertung 10

Die Behörde nahm diese Woche Schwachstellen in Cisco, Citrix, Fortinet und Chrome in ihren Katalog bekannter ausgenutzter Lücken auf. Für drei davon mussten US-Bundesbehörden bis zum 12. September nachbessern.

Meridians Wirtschafts-Redaktion

Published 13. September 2026 · Updated 13. September 2026 · 4 min read

CISA setzt Frist noch in derselben Woche für vier aktiv ausgenutzte Sicherheitslücken – eine erreicht die Höchstwertung 10Software
Photo: Photo by cottonbro studio / Pexels (Pexels License — free to use, no attribution legally required (credited above as good practice).)

The short answer

  • Die CISA hat um den 10. September 2026 vier aktiv ausgenutzte Schwachstellen in ihren Katalog bekannter ausgenutzter Sicherheitslücken (Known Exploited Vulnerabilities) aufgenommen: in Cisco Secure Firewall Management Center, Citrix NetScaler ADC/Gateway, Fortinet FortiOS/FortiSwitchManager und in der V8-Engine von Google Chromium.
  • Die Cisco-Lücke CVE-2026-20079 erreicht auf der CVSS-Skala die Höchstwertung 10,0 und erlaubt es Angreifern ohne Anmeldung, die Authentifizierung zu umgehen und Root-Rechte zu erlangen.
  • US-Zivilbehörden des Bundes mussten die Lücken in Cisco, Citrix und Fortinet bis zum 12. September 2026 schließen.
  • Die Chrome-Lücke CVE-2026-87491 gilt Berichten zufolge als siebter aktiv ausgenutzter Chrome-Zero-Day des Jahres 2026 und ist ab Chrome-Version 153.0.8010.36 behoben.

Die CISA hat diese Woche vier Schwachstellen in ihren Katalog bekannter ausgenutzter Sicherheitslücken aufgenommen – alle vier werden nachweislich aktiv ausgenutzt. Eine davon, in einem Cisco-Sicherheitsgerät, erreicht die höchstmögliche Risikobewertung. Für drei der vier Lücken mussten die zivilen US-Bundesbehörden bis zum 12. September nachbessern, dem Tag vor Veröffentlichung dieses Artikels.

Die vier Schwachstellen

  • CVE-2026-20079 (Cisco Secure Firewall Management Center) – CVSS 10,0. Eine Umgehung der Authentifizierung, über die nicht angemeldete Angreifer aus der Ferne Root-Rechte auf dem Gerät erlangen können.
  • CVE-2026-19490 (Citrix NetScaler ADC und Gateway) – CVSS 9,3. Eine Umgehung der Authentifizierung auf Geräten, die als AAA-Virtual-Server oder Gateway konfiguriert sind; ausnutzbar über einen Fehler im SAML-HTTP-Redirect-Binding.
  • CVE-2025-25249 (Fortinet FortiOS, FortiSwitchManager, FortiSASE) – CVSS 8,1. Ein Heap-basierter Pufferüberlauf, der über präparierte Datenpakete die Ausführung von Schadcode aus der Ferne ohne Anmeldung erlaubt; bei der beobachteten Ausnutzung wird unter anderem ein Fernwartungstrojaner namens PivotC2 eingeschleust.
  • CVE-2026-87491 (V8-Engine von Google Chromium) – CVSS 8,8. Ein Schreibzugriff außerhalb der vorgesehenen Speichergrenzen, ausnutzbar über präpariertes HTML, der die Ausführung beliebigen Codes ermöglicht. Behoben ab Chrome 153.0.8010.36.

Wer bis wann nachbessern muss

Nach den Vorgaben der Binding Operational Directive mussten die zivilen US-Bundesbehörden die Lücken in Cisco, Citrix und Fortinet bis zum 12. September 2026 schließen. Für ein weiteres Paket von Windows-Schwachstellen, das etwa zeitgleich aufgenommen wurde, gilt eine Frist bis zum 22. September 2026.

Wer Chrome nutzt, ist unmittelbar betroffen

Die Anordnung des US-Bundes bindet nur Behörden. Die Chrome-Lücke betrifft dagegen Endnutzerinnen und Endnutzer direkt: Sie gilt als siebter dokumentierter, aktiv ausgenutzter Chrome-Zero-Day des Jahres 2026. Chrome und Browser auf Chromium-Basis – Edge, Brave, Opera und andere mit derselben Engine – sollten geprüft und auf Version 153.0.8010.36 oder neuer aktualisiert werden.

Für die meisten Privatanwender ergibt sich daraus kein weiterer Handlungsbedarf, außer den Browser aktuell zu halten. Die Lücken in Cisco, Citrix und Fortinet betreffen Netzwerkgeräte für Unternehmen, keine Verbraucherprodukte – aber es ist genau jene Infrastruktur, die im Fall einer Kompromittierung Diensten vorgelagert ist, die Menschen nutzen, ohne davon zu wissen.

Sources

Every factual claim above is traceable to these documents. Check them — that is why they are here.

About this byline

Meridians Wirtschafts-Redaktion is an editorial desk at Meridians, not an individual. A desk byline means the article was produced and fact-checked to that desk's published standards. Read our editorial standards and corrections policy.

Anzeige

Paid placement · not editorial

Related reading

The Meridians Brief

One considered email a week

What changed, what it costs you, and what to do about it — from the Meridians desks. No sponsored picks disguised as recommendations.

Sign-up opens with our launch issue. Nothing is sent or stored yet.