IOS-XE Security Advisory vom August 2026 und damit verbundenen kritischen Problemen beheben

Einleitung

In diesem Dokument werden die Wireless-Softwarefehler beschrieben, die bei den für das Cisco IOS® XE-Gutachten vom August 2026 veröffentlichten Versionen für erhöhte Sicherheit gemeldet wurden.

Hintergrund

Dieses Dokument enthält Upgrade-Anleitungen für die Sicherheitsempfehlung, FN74383 und die wichtigsten Probleme.

Am 5. August 2026 hat Cisco einen Cisco IOS XE Security Hardening Advisory veröffentlicht, der sich auf mehrere Plattformen auswirkt, darunter u. a. Wireless LAN Controller der Serie 9800. Wie dokumentiert, behebt dieser Ratgeber mehrere intern entdeckte Schwachstellen, die sich aus einer umfassenden internen Sicherheitsüberprüfung durch Cisco IOS XE Engineering ergeben haben.

Wireless-Plattformen im Test enthalten

Catalyst Wireless 9800 (C9800-L, C9800-CL, C9800-40, C9800-80)

Cisco Wireless 9800 WLC (CW9800L, CW9800M, CW9800H1/H2)

Integriertes Wireless 9800 auf Catalyst Switch (9800-SW) - unterstützt nur SDA-Bereitstellung

COS-basierte Catalyst Access Points der Serie 11ax 91xx (9105/9115/9117/9120/9130/9136/9164/9166)

Cisco Wireless Access Points der Serie 917x (CW9171/CW9172/CW9174/CW9176/CW9178/CW9179)

Cisco IOS XE Softwareversion	Erste feste Version
17.9	17.9.10
17.12	17.12.8
17.15	17.15.6
17.18	17.18.4, 17.18.4a*
26.1	26.1.2

Tabelle 1. In der Prüfung enthaltene Software-Versionen und entsprechende Versionen mit eingeschränkter Funktionalität

* Hinweis: 17.18.4a unterstützt alle Standalone-WLCs. Verwenden Sie für den integrierten Wireless LAN Controller auf Switches in SDA-Bereitstellungen das Wireless-Paket 17.18.4, das mit der Switch-Version 17.18.4 kompatibel ist. Es gibt keine Version 17.18.4a für den Switch oder das Wireless-Paket.

Kritische Fehler

In den sicherheitsoptimierten Versionen in Tabelle 1 wurden einige kritische Probleme identifiziert, die sich auf Ihre Verwendung dieser Versionen auswirken können:

• Cisco Bug-ID CSCwv93265
• Cisco Bug-ID CSCwv98483

Kritische Fehler im Detail

Cisco Bug-ID CSCwv93265:

Symptom: Client-Verbindungen oder Roaming-Fehler beim Einsatz von OpenRoaming-, WPA3-, 11k-, 11v- und 11r-Funktionen

Betroffene Plattformen: Alle Cisco Wireless Controller und Wireless-Pakete der Serie 9800 für Cat9K.
Betroffene Softwareversion: Cisco IOS XE 26.1.2, Cisco IOS XE 17.18.4a, Cisco IOS XE 17.18.4, Cisco IOS XE 17.15.6, Cisco IOS XE 17.12.8, Cisco IOS XE 17.9.10
Für alle Releases steht ein korrigierender APSP zur Verfügung. Cisco empfiehlt, APSP auf allen Bereitstellungen mit der Härtungsfreigabe bereitzustellen.

Feste Version:

	C9800-L	CW9800-L	C9800-40	C9800-80	C9800-CL	CW9800-M	CW9800-H1	CW9800-H2	Cat9k-Switches	C9350	EWC in den 1990er Jahren
17.15.6	APSP-Link	NA	APSP-Link	APSP-Link	APSP-Link	APSP-Link	APSP-Link	APSP-Link	APSP-Link	NA	Kontaktieren Sie das TAC, um eine technische Sondererstellung zu erhalten.
17,18,4a	APSP-Link	APSP-Link	APSP-Link	APSP-Link	APSP-Link	APSP-Link	APSP-Link	APSP-Link	NA	NA	NA
17.18.4	NA	NA	NA	NA	NA	NA	NA	NA	APSP-Link	NA	NA
17.12.8	APSP-Link	NA	APSP-Link	APSP-Link	APSP-Link	NA	NA	NA	APSP-Link	NA	Umzug in 17.15 Uhr
26.1.2	APSP-Verbindung	APSP-Verbindung	APSP-Verbindung	APSP-Verbindung	APSP-Verbindung	APSP-Verbindung	APSP-Verbindung	APSP-Verbindung	APSP-Verbindung	APSP-Verbindung	NA
17.9.10	APSP-Link	NA	APSP-Link	APSP-Link	APSP-Link	NA	NA	NA	APSP-Link	NA	Umzug in 17.15 Uhr

Tabelle 2. APSP-Links für verschiedene 9800 WLC-Plattformen

Cisco Bug-ID CSCwv98483

Symptom: Verankerte Wireless-Clients bleiben bei IP_Learn hängen, wenn C9800-L, CW9800-L, C9800-CL als ausländischer WLC konfiguriert sind.
Betroffene Plattformen: C9800-L, CW9800-L, C9800-CL (nur im Guest-Anchor-Szenario, bei dem die betroffenen Plattformen als fremder WLC fungieren).
Betroffene Softwareversion: Cisco IOS XE 26.1.2, Cisco IOS XE 17.18.4a, Cisco IOS XE 17.15.6.
Problemumgehung: Aktivieren Sie die Mobility Data-Link-Verschlüsselung im Tunnel zwischen dem Fremd- und dem Ankerpunkt:

wireless mobility group member mac-address <peer_mac> ip <peer_ip> public-ip <peer_ip> group <peer_group> data-link-encryption

Feste Version:

Produkt	C9800L	CW9800L	C9800-CL
17.15.6	SMU-Link	NA	SMU-LINK
17,18,4a	SMU-Link	SMU-Link	SMU-Link
26.1.2	SMU-Link	SMU-Link	SMU-Link

Upgrade-Leitfaden für Hinweise und kritische Probleme

Cisco empfiehlt Folgendes, um sowohl auf beratende als auch auf kritische Probleme bei sicherheitskritischen Versionen einzugehen:

1. Wireless-Kunden mit Cisco IOS XE Version 17.12, 17.15, 17.18 fahren mit den Schritten 2, 3 und 4 fort. Wireless-Kunden mit Cisco IOS XE Version 17.9, 26.1 warten, bis der APSP-Patch auf cisco.com gepostet wird, BEVOR Sie ein Upgrade durchführen. Die Veröffentlichungsdaten der Patches finden Sie in Tabelle 2.
2. Führen Sie vor dem Upgrade die hier beschriebenen Upgrade-Prüfungen und Wiederherstellungsschritte durch, um die Auswirkungen von FN74383 zu minimieren.
3. Führen Sie im selben Wartungsfenster ein Upgrade der gesicherten Cisco IOS XE-Version und des APSP-Patches durch, um eine Beeinträchtigung des Wireless-Services zu vermeiden.
4. Wenn der Fehler durch die Cisco Bug-ID CSCwv98483 betroffen ist, sollten Sie die Problemumgehung anwenden, bis SMU verfügbar ist. Sobald SMU bereitgestellt ist, werden die Kunden voraussichtlich einen SMU-Patch anwenden.

Überlegungen zur Ausfallzeitplanung Wartungsfenster für Cisco IOS XE-Upgrade + Patches

Das Cisco IOS XE-Upgrade auf 9800 WLCs, die in nicht redundanten oder hochverfügbaren redundanten Konfigurationen konfiguriert sind, kann verschiedene Mechanismen nutzen, darunter:

• In-Service-Software-Upgrades (ISSU)
• N+1 Rolling-Upgrade
• One-shot Upgrade

Weitere Informationen finden Sie in der 9800 WLC Upgrade Quick Start Guide.

Darüber hinaus erfordern die kritischen Probleme Patches mit dem Software Maintenance Update (SMU) und dem Access Point Service Pack (APSP).

Weitere Informationen zu den verschiedenen Patching-Optionen, die vom 9800 WLC unterstützt werden, finden Sie im Patching and Rolling AP Upgrade Guide for 9800 WLC.

Bei der Planung Ihres Wartungsfensters für das Cisco IOS XE-Upgrade + Patching mit jedem Upgrade-Mechanismus müssen Sie die in diesem Abschnitt dokumentierten Ausfallzeiten und Auswirkungen berücksichtigen.

In-Service-Software-Upgrades (ISSU)

• Gilt nur für 9800 WLC-Paare, die in HA Stateful Switchover (HA SSO)-Konfiguration betrieben werden und nur zwischen langlebigen Release-Zügen und deren Wartungsversionen unterstützt werden. (Keine Unterstützung bei Eskalations-Releases und kurzfristigen Release-Zügen ohne Wartungs-Releases)
• ISSU ermöglicht nahtlose Upgrades durch Unterstützung von 9800 Paar in HA SSO bei gleichzeitiger Ausführung verschiedener Softwareversionen und Nutzung von rollierenden AP-Upgrades. Auf einem betriebsbereiten HA-Paar der Serie 9800 wird der Standby-WLC aktualisiert, und nach der SSO wird der neue Standby-WLC aktualisiert. Weitere Informationen zum ISSU-Prozess und den entsprechenden CLIs und GUI-Snapshots finden Sie unter Upgrade 9800 HA SSO mit ISSU.
• Führen Sie die Upgrade-Prüfungen und die Wiederherstellung auf den APs aus, bevor Sie ISSU initiieren.
• Mit ISSU lässt sich die Dauer des Upgrades nicht ohne Weiteres vorhersagen. Je nach Umfang der Bereitstellung und den Netzwerkgeschwindigkeiten kann ein Upgrade mehrere Stunden in Anspruch nehmen.
• Darüber hinaus nutzt ISSU ein schrittweises AP-Upgrade, bei dem APs nach und nach neu gestartet werden, um Ausfallzeiten zu minimieren. In diesem Fall bedeutet dies jedoch, dass für Clients, die mit APs verbunden sind, auf denen eine robuste Version ausgeführt wird, weiterhin Verbindungs- und Roaming-Probleme auftreten, die in den Cisco Bug-IDs CSCwv93265 und CSCwv98483 dokumentiert sind, bis WLC nach dem ISSU-Upgrade gepatcht wird.
• SMU für Cisco Bug-ID CSCwv98483 ist ein kalter Patch, der WLC neu laden muss.
• Der APSP für die Cisco Bug-ID CSCwv93265 kann mithilfe eines Rolling AP-Upgrades oder in einer Momentaufnahme angewendet werden. Bei Verwendung eines Rolling AP-Upgrades kann es je nach Größe der Bereitstellung mehrere "Stunden" dauern, bis alle Access Points aktualisiert sind und bekannte kritische Fehler definitiv vermieden werden.
• Gesamtdauer, während der der Service beeinträchtigt werden kann (entweder WLC oder die APs sind ausgefallen ODER die Client-Konnektivität/das Roaming ist beeinträchtigt) = Zeit bis zum Abschluss des ISSU + Zeit für das erneute Laden des WLC aufgrund des SMU Cold Patches + Zeit für das automatische Upgrade des AP für den APSP.

N+1 Rolling AP-Upgrade

• Dieses Verfahren beruht auf einem Ersatzgerät 9800 WLC, das als N+1 WLC mit aktualisierter Softwareversion bezeichnet wird, um APs zu hosten, während für die "Produktion" ein 9800 Paar oder 9800 als Standalone-Gerät ein Upgrade durchgeführt wird. Es wird empfohlen, für diesen N+1 9800 WLC keine APs zu registrieren, BEVOR das N+1-Rolling-Upgrade initiiert wird.
• Führen Sie die Upgrade-Prüfungen und die Wiederherstellung auf den APs aus, während diese beim primären WLC registriert sind.
• Weitere Informationen zum Prozess und den zugehörigen CLI- und GUI-Snapshots finden Sie unter Upgrade 9800 WLC using N+1 Rolling AP upgrade (Upgrade für N+1-Rolling-AP).
• Damit die APs nahtlos vom primären WLC auf den N+1 WLC umgestellt werden können, muss die auf dem N+1 WLC ausgeführte und auf die APs vorab heruntergeladene Softwareversion exakt übereinstimmen.
• Das Vorabdownload auf APs wird durch Herunterladen, jedoch NICHT durch Aktivieren der verstärkten Cisco IOS XE-Version auf dem primären WLC erleichtert. Ohne Image-Aktivierung können Software-Patches nicht auf APs angewendet oder vorab heruntergeladen werden. Das wiederum bedeutet, dass N+1 WLC nicht auch gepatcht werden kann.
• Auch bei diesem Prozess sind, wie bei ISSU, APs, die auf N+1 WLC umgestellt werden, weiterhin durch Client-Verbindungs- und Roaming-Probleme gefährdet, die in den Cisco Bug-IDs CSCwv93265 und CSCwv98483 dokumentiert sind, bis N+1 WLC nach dem Rolling AP-Upgrade gepatcht ist. beendet.
• SMU für Cisco Bug-ID CSCwv98483 ist ein kalter Patch, der WLC neu laden muss.
• Der APSP für die Cisco Bug-ID CSCwv93265 kann mithilfe eines Rolling AP-Upgrades oder in einer Momentaufnahme angewendet werden. Bei Verwendung eines Rolling AP-Upgrades kann es je nach Größe der Bereitstellung mehrere "Stunden" dauern, bis alle Access Points aktualisiert sind und bekannte kritische Fehler definitiv vermieden werden.
• Gesamtdauer, während der der Service beeinträchtigt werden kann (WLC oder APs sind ausgefallen ODER Client-Konnektivität/Roaming ist beeinträchtigt) = Dauer des Rollovers aller APs auf N+1 WLC + Zeit für WLC-Neuladen aufgrund des SMU Cold Patches + Zeit für AP-Rollover-Upgrade für APSP.
• Berücksichtigen Sie für Ihr Wartungsfenster auch die Zeit, die für das Upgrade von N+1 WLC auf robuste Cisco IOS XE-Versionen und für das Vorabdownload der robusten Cisco IOS XE-Version vom primären WLC durch die APs benötigt wurde, auch wenn keines der beiden Ereignisse Auswirkungen auf den Service hat.

N+1 Reguläres AP-Upgrade - EMPFOHLEN

• Bei diesem Verfahren wird ein 9800-WLC-Ersatzruf als N+1-WLC mit aktualisierter Softwareversion zum Hosten von APs verwendet, während die "Produktions"-Switches der Serie 9800 oder die Serie 9800 als Standalone-Lösung aktualisiert werden.
• Es wird empfohlen, für diesen 9800 WLC-Ersatzteil keine APs zu registrieren, BEVOR das N+1-Rolling-Upgrade initiiert wird.
• Der N+1 WLC kann auf robusten Cisco IOS XE aktualisiert, mit APSP und SMU aktiviert und aktiviert sowie aktiviert und mit Patches versehen werden. Wenn keine APs registriert sind, wirkt sich dies nicht auf die Services aus, Sie müssen jedoch die Zeit berücksichtigen, die für das mehrfache Neuladen des WLC erforderlich ist, wenn Sie Ihr Wartungsfenster planen.
• Navigieren Sie auf der primären WLC-GUI, auf der die Access Points registriert sind, zu Configuration > Tags and Profiles: AP-Priming > Primärbasis
  • Legen Sie die N+1 WLC- und WMI-IP-Adresse (Wireless Management Interface) als primäre Adresse fest.
  • Definieren Sie den aktuellen primären WLC-Namen und die WMI-IP unter "Sekundär".
• Verwendung von Regex-Filtern für die Massenmigration von APs vom primären WLC auf N+1 WLC.
• Nach der Registrierung bei N+1 WLC führen die APs bereits eine Version mit Sicherheitsmaßnahmen und Patches zur Behebung kritischer Fehler aus.

Gesamtdauer, während der der Service beeinträchtigt werden kann (entweder WLC oder die APs sind ausgefallen ODER die Client-Konnektivität/das Roaming ist beeinträchtigt) = Dauer der Migration der APs vom primären WLC zum N+1-WLC, die durch die Netzwerkgeschwindigkeit zwischen den APs und den WLCs bestimmt wird.

One Shot Upgrade - EMPFOHLEN, falls kein N+1 WLC vorhanden

• Bei diesem Verfahren wird das Upgrade des primären WLC (zusammen mit der Aktivierung und Zusage) auf die sicherheitsoptimierte Cisco IOS XE-Version in einem Schritt durchgeführt.
• Im Rahmen der Image-Aktivierung wird der primäre WLC neu geladen, und alle APs registrieren sich mit dem Upgrade des primären WLC und erhalten die sicherheitsoptimierte Cisco IOS XE-Version.
• Bis zur Anwendung der APSP sind die APs durch Client-Verbindungs- und Roaming-Probleme gefährdet, die in den Cisco Bug-IDs CSCwv93265 und CSCwv98483 dokumentiert sind.

Gesamtdauer, während der der Service beeinträchtigt werden kann (WLC oder APs sind ausgefallen ODER Client-Konnektivität/Roaming ist beeinträchtigt) = Zeit für das erneute Laden des primären WLC + Zeit für das Herunterladen der gehärteten Cisco IOS XE-Version vom primären WLC über CAPWAP und für die Registrierung beim primären WLC. (Diese Zeit verdoppeln, wenn ein SMU-Patch angewendet wird) + Zeit für das Herunterladen von APSP für alle APs Patch vom primären WLC zu installieren und sich wieder beim primären WLC anzumelden.

Häufig gestellte Fragen

Sind die APs von dieser Sicherheitsempfehlung betroffen?

COS-basierte Access Points wurden in die Sicherheitsüberprüfung einbezogen und die entsprechenden Fixes in die robusten Cisco IOS XE-Versionen integriert.

Welches Risiko besteht für AireOS WLCs?

AireOS WLCs wurden nicht in die Sicherheitsüberprüfung einbezogen, da sie den letzten Support-Tag (Last Day of Support, LDoS) erreicht haben.

Gibt es eine Version, die alle Korrekturen enthält, sodass eine einzige Upgrade-Aktion durchgeführt werden kann?

Cisco zieht dies in Betracht und kann weitere Informationen veröffentlichen, sobald diese verfügbar sind. Es ist eine spezielle Eskalationsversion verfügbar, die den APSP bei Anforderung des TAC enthält. Diese spezielle Version für Eskalationen erlaubt keine Installation weiterer SMUs oder APSPs und enthält nur den Fix von APSP1.

Revisionsverlauf

Überarbeitung	Veröffentlichungsdatum	Kommentare
3.0	17-Aug-2026	Hinweis zu Kunden mit Cisco Essentials-Lizenzen sowie 26.1-APSP-Link hinzugefügt
2.0	14-Aug-2026	EWC-on-AP hinzugefügt
1.0	13-Aug-2026	Erstveröffentlichung