August 2026 Threat Report: Vulnpocalypse geht weiter
Der sogenannte Vulnpocalypse ist nun in vollem Gange. Dieser Threat Report für August 2026 kratzt nur an der Oberfläche der neuen, hochriskanten Schwachstellen, die im August 2026 aufgetaucht sind. Um zu sehen, wie die branchenführende Schwachstellenerkennung von Greenbone Ihre IT-Sicherheitsabläufe unterstützen kann, besuchen Sie unser SecInfo-Portal und werfen Sie einen Blick auf unser vollständiges Erkennungsportfolio.
Der August bestätigte ein inzwischen allzu vertrautes Muster: hochriskante Schwachstellen in weitverbreiteter Unternehmenssoftware bewegen sich rasant von der Offenlegung zur aktiven Ausnutzung. Die folgenden Abschnitte beleuchten die Schwachstellen und zugehörigen Angriffskampagnen, die sofortige Aufmerksamkeit erfordern.
Jetzt kostenlos testen
Sicherheitsverantwortliche, die Schwachstellen erkennen und sich davor schützen möchten, können OPENVAS SCAN jetzt kostenlos herunterladen – inklusive einer zweiwöchigen Testversion des OPENVAS ENTERPRISE FEED. Mit den Cybersicherheitsprodukten von Greenbone erhalten Sie den tiefsten Einblick darüber, wo in der Infrastruktur Ihres Unternehmens Softwareschwachstellen bestehen.
Microsoft: Neue aktiv ausgenutzte CVEs, Spionage, Ransomware und PoCs
Microsofts Patch-Veröffentlichung im August 2026 war erneut eine umfangreiche Offenlegung. Von 457 neuen CVEs wurden 36 mit einem kritischen CVSS-Score bewertet. 80 erhielten einen EPSS-Score über dem 50. Perzentil und 16 über dem 80. Perzentil. Microsoft stufte 34 der CVEs als „Exploitation More Likely“ ein. Bereits Anfang August berichtete der Greenbone-Blog über eine Spionagekampagne, die CVE-2026-68820 (CVSS 7,0, EPSS ≥ 93. Perzentil) ausnutzt, welche den Windows Ancillary Function Driver für WinSock betrifft.
Die neu offengelegte CVE-2026-33824, die die Windows-IKE-Erweiterung betrifft, wurde in CISAs KEV-Liste aufgenommen, ebenso wie CVE-2026-55040, die SharePoint betrifft und bereits im Juli offengelegt wurde. Zusätzlich zu diesen neuen CVEs wurde auch eine ältere Schwachstelle, CVE-2019-1068, die Microsoft SQL Server betrifft, in CISAs KEV-Liste aufgenommen. CISA ordnete zudem CVE-2026-45659, einer Deserialisierungsschwachstelle [CWE-502] in Microsoft SharePoint Server, sowie CVE-2025-60710, einer Windows-Link-Following-Schwachstelle [CWE-59] zur Rechteausweitung, einen Ransomware-Bezug zu [1][2].
Microsofts Auseinandersetzung mit Zero-Day-Offenlegungen durch externe Sicherheitsforschende setzte sich auch im August 2026 fort [1][2][3]. Weitere hochriskante Bedrohungen für Microsoft-Umgebungen, die im August 2026 auftraten, umfassen:
- CVE-2026-54121 (CVSS 8,8, EPSS ≥ 77. Perzentil): Die als „Certighost“ bezeichnete Schwachstelle beruht auf unzureichender Autorisierung [CWE-285] in den Active Directory Certificate Services (AD CS). Ein authentifizierter Angreifer kann ein Zertifikat von AD CS erhalten und anschließend über Kerberos Rechte ausweiten. Detaillierte technische Analysen [4][5] sowie ein PoC-Exploit [6] sind öffentlich verfügbar, was das Angriffsrisiko erhöht.
- CVE-2026-70329 (CVSS 8,8, EPSS ≥ 50. Perzentil): Ein Integer-Overflow [CWE-190] in Microsoft Office Outlook ermöglicht einem Angreifer die Codeausführung über das Netzwerk mittels Social Engineering; das Opfer muss dazu eine bösartige Office-Datei öffnen.
- CVE-2026-42897 (CVSS 6,1, EPSS ≥ 99. Perzentil): Eine XSS-Schwachstelle in Outlook Web Access (OWA) wurde genutzt, um Organisationen aus den Bereichen Regierung, Telekommunikation, Finanzwesen, Hotellerie und Luft- und Raumfahrt anzugreifen [7]. Das Öffnen einer bösartigen E-Mail in OWA genügte, um vom Angreifer kontrollierten JavaScript-Code auszuführen. Die Angreifer setzten OWAReaper ein, ein im Browser residierendes JavaScript-Implantat, um Zugangsdaten und OAuth-Token zu stehlen, dauerhaften Zugriff auf den Computer des Opfers aufrechtzuerhalten, beliebige Befehle auszuführen und Daten über HTTPS und DNS-Tunneling zu exfiltrieren.
Die vier weiteren hochriskanten Microsoft-CVEs aus August 2026, jeweils mit ihrer CVSS-Schweregradstufe und ihrem EPSS-Ausnutzungswahrscheinlichkeitswert
Betrifft den Windows Ancillary Function Driver für WinSock; wurde in einer Spionagekampagne ausgenutzt, die Social Engineering mit dieser Windows-Rechteausweitungsschwachstelle kombiniert.
Als „Certighost“ bezeichnet — eine Schwachstelle durch unzureichende Autorisierung [CWE-285] in den Active Directory Certificate Services (AD CS), die es einem authentifizierten Angreifer ermöglicht, ein Zertifikat zu erhalten und über Kerberos Rechte auszuweiten.
Ein Integer-Overflow [CWE-190] in Microsoft Office Outlook ermöglicht einem Angreifer die Codeausführung über eine bösartige, per Social Engineering geöffnete Office-Datei.
Eine XSS-Schwachstelle in Outlook Web Access ermöglichte Angreifern die Ausführung von JavaScript über eine einzelne bösartige E-Mail und den Einsatz des OWAReaper-Implantats zum Diebstahl von Zugangsdaten und OAuth-Token.
Der OPENVAS ENTERPRISE FEED von Greenbone bietet regelmäßige Schwachstellenerkennung für zahlreiche Microsoft-Produkte, einschließlich aller oben genannten CVEs.
Neue Cisco-Risiken: Kritische Schwachstellen, öffentliche PoCs und neue Angriffe
Cisco veröffentlichte im August 2026 mehrere hochriskante Schwachstellen-Cluster in seinen Produkten für Firewalls, Netzwerkmanagement, Endpunktsicherheit, Server-Management und Workload-Sicherheit. Der Hersteller entschied sich, die neuen Schwachstellen nach Common Weakness Enumeration (CWE)-Klasse zu gruppieren und mehrere Schwachstellen unter einer einzigen CVE-Kennung zu veröffentlichen. Diese Praxis wurde vom CVE-Programm kürzlich offiziell missbilligt.
Der OPENVAS ENTERPRISE FEED von Greenbone bietet regelmäßige Erkennungsprüfungen für Schwachstellen in Cisco-Produkten. Hier sind einige der bedeutendsten Risiken für Cisco-Produkte aus August 2026:
CVE-2026-20349: Secure Firewall ASA/FTD: Aktiv ausgenutzt für DoS
CVSS 8,6 · HochEPSS 2,2 % (81.)Aktiv ausgenutztIn CISA KEV
CVE-2026-20349 (CVSS 8,6, EPSS ≥ 81. Perzentil) betrifft den Remote Access SSL VPN-Dienst in Cisco Secure Firewall Adaptive Security Appliance (ASA) und Secure Firewall Threat Defense (FTD). Ein nicht authentifizierter Remote-Angreifer kann über eine präparierte HTTP-Anfrage einen Denial-of-Service (DoS)-Zustand auf betroffenen Geräten herbeiführen. Für die Ausnutzung müssen IKEv2 Remote Access VPN mit Client Services, SSL VPN oder, bei FTD, Zero Trust Network Access aktiviert sein.
Die CVE wurde in CISAs KEV-Liste aufgenommen, was auf aktive Ausnutzung hinweist. Laut Cisco gibt es keine Workarounds, sodass verfügbare Hotfixes die primäre Abhilfemaßnahme darstellen. Weitere Informationen finden Sie im offiziellen Advisory.
Integrated Management Controller: Authentifizierte Root-Level-RCE mit öffentlichem Exploit
CVSS 8,8 · HochEPSS 5,7 % (93.)Keine bekannte AusnutzungÖffentlicher PoC
CVE-2026-20200 (CVSS 8,8, EPSS ≥ 93. Perzentil) ist eine Argument-Injection-Schwachstelle in der Weboberfläche des Cisco Integrated Management Controller (IMC). Ein Angreifer mit geringen Rechten kann Parameter manipulieren, die IMC beim Abrufen eines SSH-Public-Keys verwendet, zusätzliche curl-Argumente einschleusen und letztlich beliebige Befehle mit Root-Rechten ausführen.
Mehrere technische Erläuterungen [1][2] sowie ein öffentliches PoC-Exploit-Toolkit sind verfügbar [3]. Der PoC unterstützt das beliebige Hoch- und Herunterladen von Dateien sowie die Ausführung von Befehlen über eine Reverse Shell. Aktive Ausnutzung wurde bisher nicht gemeldet. Das Risiko wird zusätzlich dadurch verstärkt, dass IMC unterhalb des Host-Betriebssystems arbeitet und mit Firmware, BIOS und Secure Boot interagieren kann.
Es sind keine Workarounds verfügbar. Weitere Informationen, einschließlich einer vollständigen Liste betroffener Produkte, finden Sie im offiziellen Advisory.
Sieben ClamAV-Schwachstellen: CVE-2026-20337 mit öffentlichem Exploit
Sieben ClamAV-Parsing-Schwachstellen betreffen den Secure Endpoint Connector und können es nicht authentifizierten Remote-Angreifern ermöglichen, bösartige ZIP-, PESpin-, GPT-, PDF-, Mach-O- oder XAR-Inhalte einzureichen, um den ClamAV-Prozess zum Absturz zu bringen. Cisco stuft die Auswirkung unter Windows höher ein, da ClamAV dort in einem privilegierten Sicherheitskontext ausgeführt wird, während die Connectors unter Linux und macOS mit geringeren Rechten laufen. Am bedeutsamsten: Cisco PSIRT bestätigt die Existenz eines öffentlichen PoC-Exploits für CVE-2026-20337 und CVE-2026-20338. Aktive Ausnutzung wurde bisher nicht gemeldet.
Catalyst SD-WAN: Mehrere kritische Schwachstellengruppen
Cisco hat fünf CVE-Gruppen behoben, die Catalyst SD-WAN in allen Konfigurationen betreffen. CVE-2026-20303 und CVE-2026-20304 (beide mit CVSS 9,9 bewertet) betreffen unzureichende Eingabevalidierung [CWE-20] beziehungsweise unzureichende Zugriffskontrolle [CWE-284]. CVE-2026-20310 (CVSS 9,1) betrifft eine fehlerhafte Link-Auflösung [CWE-59]. CVE-2026-20312 (CVSS 8,8) und CVE-2026-20313 (CVSS 7,7) betreffen die Klartextspeicherung sensibler Informationen [CWE-312] und eine unzureichende Validierung der Eingabemenge [CWE-1284].
Die fünf Cisco-Catalyst-SD-WAN-CVE-Gruppen aus August 2026, jeweils mit ihrer CVSS-Schweregradstufe und ihrem EPSS-Ausnutzungswahrscheinlichkeitswert
Unzureichende Eingabevalidierung [CWE-20] in Cisco Catalyst SD-WAN.
Unzureichende Zugriffskontrolle [CWE-284] in Cisco Catalyst SD-WAN.
Fehlerhafte Link-Auflösung [CWE-59] in Cisco Catalyst SD-WAN.
Klartextspeicherung sensibler Informationen [CWE-312] in Cisco Catalyst SD-WAN.
Unzureichende Validierung der Eingabemenge [CWE-1284] in Cisco Catalyst SD-WAN.
Es sind keine detaillierten technischen Informationen oder PoC-Exploits öffentlich verfügbar. Aktive Ausnutzung wurde bisher nicht gemeldet. Es sind keine Workarounds verfügbar. Weitere Informationen finden Sie im offiziellen Advisory.
CVE-2026-20272: Nicht authentifizierte Injection in IOS XE
CVSS 9,8 · KritischEPSS 0,4 % (34.)Keine bekannte Ausnutzung
Cisco veröffentlichte sieben Schwachstellengruppen, die IOS XE im autonomen Modus oder im Controller-Modus in allen Konfigurationen betreffen. Hervorzuheben ist CVE-2026-20272 (CVSS 9,8), eine Gruppe, die durch unzureichende Neutralisierung spezieller Elemente [CWE-74] verursacht wird und mindestens einen nicht authentifizierten, über das Netzwerk ausnutzbaren Punkt enthält. Es sind keine detaillierten technischen Informationen oder PoC-Exploits öffentlich verfügbar. Aktive Ausnutzung wurde bisher nicht gemeldet. Es sind keine Workarounds verfügbar. Weitere Informationen finden Sie im offiziellen Advisory.
CVE-2026-72898: CVSS-10-Schwachstelle in Metabase aktiv ausgenutzt
CVSS 10 · KritischEPSS 82,3 % (100.)Aktiv ausgenutztIn CISA KEVÖffentlicher PoC
CVE-2026-72898 (CVSS 10, EPSS = 100. Perzentil) ist eine SQL-Injection-Schwachstelle [CWE-89], die es einem nicht authentifizierten Remote-Angreifer ermöglicht, über den /reset_password-Endpunkt beliebige SQL-Befehle einzuschleusen. Die Ausnutzung ermöglicht Administratorzugriff auf die verbundene Metabase-Instanz. CVE-2026-72898 wurde in CISAs KEV-Liste aufgenommen. Mehrere detaillierte technische Analysen [1][2][3] sowie PoC-Exploits [4][5][6] sind öffentlich verfügbar. Das Sicherheitsunternehmen VeraniX identifizierte bis zum 10. August 15 Opfer. Die Liste dürfte inzwischen jedoch deutlich gewachsen sein.
Der OPENVAS ENTERPRISE FEED von Greenbone enthält eine Remote-Banner-Prüfung für CVE-2026-72898 und weitere CVEs, die im jüngsten Patch für Metabase enthalten sind. Der Hersteller empfiehlt, den Zugriff auf den Endpunkt /api/session/reset_password als vorübergehende Abhilfemaßnahme zu blockieren, bis ein Update möglich ist. Eine Tabelle mit den betroffenen Versionen finden Sie unten; Nutzende sollten dringend auf eine gepatchte Version aktualisieren.
CVE-2026-60004: Gitea erneut aktiv ausgenutzt
CVSS 9,8 · KritischEPSS 86,8 % (100.)Aktiv ausgenutztIn CISA KEVÖffentlicher PoC
Im Juli berichtete unser Blog über die aktive Ausnutzung von Gitea. Seitdem wurde CVE-2026-60004 (CVSS 9,8, EPSS ≥ 100. Perzentil) offengelegt und in CISAs KEV-Liste aufgenommen. Die neue Schwachstelle betrifft Gitea vor Version 1.27.1. Die Ausnutzung ermöglicht RCE über die diffpatch-API während der Installation eines Git-Hooks. Gitea sowie ein Drittanbieter haben PoC-Exploits veröffentlicht [1][2], was das Risiko erhöht.
Der OPENVAS ENTERPRISE FEED enthält eine Remote-Banner-Prüfung für CVE-2026-60004. Nutzende sollten umgehend auf Gitea Version 1.27.1 aktualisieren.
CVE-2026-73570: Neue aktiv ausgenutzte Zimbra-Schwachstelle
CVSS 8,9 · HochEPSS 32,4 % (98.)Aktiv ausgenutztIn CISA KEV
CVE-2026-73570 (CVSS 8,9, EPSS ≥ 98. Perzentil), die Zimbra Collaboration Suite (ZCS) betrifft, wurde Mitte August veröffentlicht und rasch in CISAs KEV-Liste aufgenommen. Insgesamt wurden im Release von ZCS Version 10.1.20 neun Sicherheitsprobleme behoben. Ursache ist eine unzureichende Bereinigung nicht vertrauenswürdiger Eingaben bei der Verarbeitung von SNMP-Benachrichtigungen. Die Ausnutzung von CVE-2026-73570 ermöglicht einem nicht authentifizierten Angreifer RCE als ZCS-Prozess über speziell präparierte SMTP-Anfragen, sofern das optionale zimbra-snmp-Paket installiert und SNMP-Benachrichtigungen aktiviert sind.
Der OPENVAS ENTERPRISE FEED enthält eine Remote-Banner-Prüfung, die alle aktuellen Sicherheitsprobleme in ZCS abdeckt. Nutzende sollten so schnell wie möglich auf Version 10.1.20 aktualisieren.
CVE-2026-34486: Apache Tomcat aktiv ausgenutzt
CVSS 7,5 · HochEPSS 98,6 % (100.)Aktiv ausgenutztIn CISA KEVÖffentlicher PoC
CVE-2026-34486 (CVSS 7,5, EPSS = 100. Perzentil), im April offengelegt, wurde Anfang August in CISAs KEV-Liste aufgenommen. Eine detaillierte technische Analyse [1] sowie öffentlich verfügbare Proof-of-Concept-Exploit-Kits [2][3] erhöhen das Risiko fortlaufender Angriffe zusätzlich.
Ursache ist eine fehlende Verschlüsselung sensibler Daten [CWE-311], die die Umgehung der EncryptInterceptor-Komponente des Tribes-Clustering-Subsystems ermöglicht. EncryptInterceptor dient der Ver- und Entschlüsselung der Cluster-Kommunikation zwischen Tomcat-Knoten mittels eines Pre-Shared Key. CVE-2026-34486 wurde durch einen fehlerhaften Patch für CVE-2026-29146 eingeführt und ermöglicht es, dass der Cluster-Datenverkehr die Verschlüsselung umgeht, wodurch die Kommunikation zwischen den Knoten im Klartext erfolgt.
Diese Schwachstelle betrifft Apache Tomcat in den Versionen 11.0.20, 10.1.53 und 9.0.116. Tomcat-Nutzende sollten auf Version 11.0.21, 10.1.54 oder 9.0.117 aktualisieren. Der OPENVAS ENTERPRISE FEED enthält zahlreiche Erkennungsprüfungen für CVE-2026-34486 über verschiedene Linux-Distributionen hinweg, allgemeine Erkennungstests für Tomcat-Server unter Windows und Linux sowie für weitere Produkte, die Tomcat mitliefern, darunter: diverse Oracle- und Dell-Produkte, Atlassian Jira, Apache OFBiz und IBM Storage Protect Plus.
CVE-2026-9198: IBM Langflow aktiv ausgenutzt
CVSS 9,8 · KritischEPSS 57,0 % (99.)Aktiv ausgenutztIn CISA KEVÖffentlicher PoC
CVE-2026-9198 (CVSS 9,8, EPSS ≥ 99. Perzentil) ermöglicht es nicht authentifizierten Angreifern, die API-Endpunkte /api/v1/auto_login und /api/v1/validate/code zu verketten, um RCE auf Standard-Langflow-Installationen zu erreichen. Ein Angreifer kann diese beiden Schwachstellen verketten, um ein SUPERUSER-Token zu erhalten und anschließend bösartigen Python-Code zur Ausführung einzureichen. Die Ausnutzung kann zu einer vollständigen Kompromittierung des Hosts führen.
Insgesamt wurden 20 CVEs behoben, sechs davon ohne Authentifizierung ausnutzbar. Bislang wurde jedoch nur CVE-2026-9198 in CISAs KEV-Liste aufgenommen. Ein öffentlicher PoC-Exploit ist verfügbar, was das Risiko fortlaufender Exploit-Kampagnen zusätzlich erhöht. Langflow erschien 2026 bereits fünfmal auf der CISA-KEV-Liste. Die Schwachstelle betrifft Langflow 1.0.0 bis 1.10.0. Der OPENVAS ENTERPRISE FEED von Greenbone enthält eine Remote-Banner-Versionsprüfung zur Erkennung betroffener Instanzen. Nutzende sollten umgehend auf Langflow Version 1.10.1 oder höher aktualisieren.
CVE-2026-66384: JFrog Artifactory aktiv ausgenutzt
CVSS 5,3 · MittelEPSS 0,6 % (45.)Aktiv ausgenutztIn CISA KEV
CVE-2026-66384 (CVSS 5,3) ermöglicht es einem authentifizierten Angreifer, Daten außerhalb des vorgesehenen Docker-Cache-Pfads in betroffenen JFrog-Artifactory-Versionen zu schreiben. Ursache ist eine unzureichende Beschränkung von Pfadnamen [CWE-22]. Die Schwachstelle wird aktiv ausgenutzt und wurde in CISAs KEV-Katalog aufgenommen.
Ein Forschungsagent von OpenAI nutzte die Schwachstelle im Rahmen einer internen Evaluierung erfolgreich aus und vergiftete den Cache von Artifactory mit vom Angreifer kontrolliertem Inhalt. Das vergiftete Image schuf einen potenziellen Weg zur beliebigen Codeausführung, falls es später abgerufen und ausgeführt worden wäre. Laut Untersuchung von OpenAI, die eine vollständige technische Beschreibung von CVE-2026-66384 enthält, gelangte das vergiftete Image nicht in Umlauf. Die öffentliche Threat-Intelligence-Plattform Vulnerability Lookup von CIRCL.lu weist darauf hin, dass möglicherweise ein PoC-Exploit auf einem öffentlichen Telegram-Kanal verfügbar ist.
Betroffen sind JFrog Artifactory Version 7.146.0 bis 7.146.34 sowie 7.161.0 bis 7.161.15. Der OPENVAS ENTERPRISE FEED enthält eine Remote-Banner-Prüfung, mit der Nutzende betroffene Instanzen identifizieren können.
CVE-2026-71362: Lokale Rechteausweitungsschwachstelle in Adobe Commerce/Magento
CVSS 9,1 · KritischEPSS 25,1 % (98.)Öffentlicher PoC
CVE-2026-71362 (CVSS 9,1, EPSS ≥ 98. Perzentil) ist eine Schwachstelle durch fehlerhafte Autorisierung [CWE-863], die eine Rechteausweitung und erweiterten Zugriff auf sensible Ressourcen in Adobe-Commerce/Magento-Instanzen ermöglicht. Ein authentifizierter Angreifer mit geringen Rechten und einem registrierten Kundenkonto kann allein über das Feld der Nutzer-ID jedes andere Kundenkonto übernehmen. Ein Proof-of-Concept-Exploit ist öffentlich verfügbar. Adobes APSB26-92-Advisory offenbarte insgesamt sieben neue CVEs, fünf davon mit kritischem Schweregrad. Betroffene Produkte und Versionen sind unten aufgeführt.
Der OPENVAS ENTERPRISE FEED erkennt alle CVEs aus Adobes APSB26-92-Advisory mit einer Remote-Banner-Prüfung. Weitere Informationen finden Sie in den Release Notes des Herstellers [1][2][3][4].
CVE-2026-17106 (auch bekannt als CopyEscape): PoC verfügbar für beliebiges Überschreiben von Host-Dateien vom Container aus in moby/go-archive
CVSS 7,1 · HochEPSS 0,3 % (25.)Keine bekannte AusnutzungÖffentlicher PoC
CVE-2026-17106 (CVSS 7,1, EPSS 25. Perzentil), als CopyEscape bezeichnet, ermöglicht es einem bösartigen Container, die Isolation zu durchbrechen und Root-Codeausführung auf einem Docker-Host zu erreichen. Ursache ist eine Kombination aus einer Path-Traversal-Schwachstelle [CWE-35] und einer fehlerhaften Symlink-Auflösung [CWE-59]. Die Ausnutzung ermöglicht es einem trojanisierten Container, beliebige Dateien auf dem Host zu überschreiben, einschließlich root-eigener Binärdateien wie /usr/bin/runc auf dem Docker-Host, mittels Tar-Extraktion während docker cp. Obwohl keine aktive Ausnutzung bestätigt wurde, sind mehrere detaillierte technische Berichte [1][2][3][4] sowie funktionsfähige öffentliche PoC-Exploits [1][2][3] verfügbar.
CVE-2026-17106 betrifft die Tar-Extraktionsroutinen von moby/go-archive in den folgenden Docker-Produkten:
Der OPENVAS ENTERPRISE FEED enthält eine Registry-Erkennung für Docker Desktop unter Windows, eine Remote-Banner-Prüfung für Docker Engine sowie eine Linux-Paketerkennung für einzelne Distributionen, sobald entsprechende Sicherheitshinweise veröffentlicht werden.
CVE-2026-53413: Zoom verschafft jedem Meeting-Teilnehmenden Remote Code Execution
CVSS 8,3 · HochEPSS 5,6 % (92.)Keine bekannte Ausnutzung
CVE-2026-53413 (CVSS 8,3, EPSS ≥ 92. Perzentil) ermöglicht es einem an einem Zoom-Meeting teilnehmenden Angreifer, ohne jegliche Nutzerinteraktion RCE auf allen Meeting-Teilnehmenden über sämtliche native Clients hinweg zu erreichen. Die Ausnutzung ermöglicht Codeausführung mit den Berechtigungen der Zoom-Anwendung. Ein technischer Bericht für macOS demonstriert den Aufruf von execvp() aus dem kompromittierten zoom.us-Prozess heraus, wodurch dieser Prozess durch Safari ersetzt wird.
Obwohl keine aktive Ausnutzung gemeldet wurde, weist CVE-2026-53413 einen erhöhten EPSS-Score auf, was auf ein hohes Risiko künftiger Ausnutzung hindeutet. Im Falle einer Weaponisierung entsteht durch die Schwachstelle ein Social-Engineering-Risiko, das es Angreifern ermöglicht, sich als potenzielle Kundschaft oder im Rahmen anderer geschäftlicher Kommunikation auszugeben, um beliebigen Code auf dem Computer des Opfers auszuführen. Nutzende sollten ihren Zoom-Patch-Stand überprüfen und alle Zoom-Clients auf automatische Updates der Stufe „Fast“ konfigurieren. Der OPENVAS ENTERPRISE FEED enthält eine paketbasierte Erkennung für Windows, Linux und macOS [1][2][3].
CVE-2023-49105: Drei Jahre alte ownCloud-Schwachstelle aktiv ausgenutzt
CVSS 9,8 · KritischEPSS 43,2 % (99.)Aktiv ausgenutztIn CISA KEVÖffentlicher PoC
CVE-2023-49105 (CVSS 9,8, EPSS ≥ 99. Perzentil), die ownCloud betrifft, wurde Ende 2023 veröffentlicht und im August in CISAs KEV-Liste aufgenommen. Ein philippinischer Nuklear-Marine-Auftragnehmer ist bislang das einzige öffentlich identifizierte Opfer. Mehrere detaillierte technische Berichte [1][2] sowie PoC-Exploits [3][4] sind für CVE-2023-49105 bereits seit Ende 2023 verfügbar.
ownCloud ist eine Open-Source-Plattform zur Dateisynchronisation, -freigabe und Zusammenarbeit. Das Produkt ähnelt Dropbox oder Google Drive und ist beliebt für selbst gehostete Dateifreigabe, wenn Datensouveränität wichtig ist.
Die Schwachstelle wird dadurch verursacht, dass vorsignierte URLs auch dann akzeptiert werden, wenn für den Dateibesitzer kein Signaturschlüssel konfiguriert ist. Für die Ausnutzung benötigt der Angreifer einen bestehenden Benutzernamen, für den kein Signaturschlüssel konfiguriert ist. Eine erfolgreiche Ausnutzung ermöglicht es einem Angreifer, ohne weitere Authentifizierung auf beliebige Dateien zuzugreifen, sie zu ändern oder zu löschen.
CVE-2023-49105 betrifft ownCloud-Versionen ab 10.6.0 bis vor 10.13.1. Der OPENVAS ENTERPRISE FEED enthält seit der Offenlegung von CVE-2023-49105 im November 2023 eine Remote-Banner-Prüfung dafür.
Weitere bemerkenswerte neu aufgetretene Bedrohungen aus August 2026
Hier sind einige weitere bemerkenswerte, hochriskante IT-Sicherheitsbedrohungen, die im August 2026 aufgetreten sind.
TrueConf erneut aktiv ausgenutzt zur Verbreitung von PhantomCore-Malware
CVE-2026-72529 (CVSS 9,8, EPSS ≥ 73. Perzentil) und CVE-2026-72530 (CVSS 9,0, EPSS ≥ 77. Perzentil), die TrueConf Server betreffen, können verkettet werden, um beliebige Skripte auszuführen, aus der isolierten Ausführungsumgebung auszubrechen und RCE auf Host-Ebene zu erreichen. Für die Ausnutzung ist keine Authentifizierung erforderlich. CISA nahm beide Schwachstellen im August in ihren KEV-Katalog auf [3][4]. Auch CVE-2026-3502 wurde in CISAs KEV-Liste im April 2026 aufgenommen, was auf eine anhaltende Bedrohung für die Nutzenden der Konferenzplattform hindeutet.
Die beiden verketteten TrueConf-Server-CVEs aus August 2026, jeweils mit ihrer CVSS-Schweregradstufe und ihrem EPSS-Ausnutzungswahrscheinlichkeitswert
Kann mit CVE-2026-72530 verkettet werden, um beliebige Skripte auszuführen, aus der isolierten Ausführungsumgebung auszubrechen und RCE auf Host-Ebene in TrueConf Server zu erreichen.
Verkettbar mit CVE-2026-72529 für RCE auf Host-Ebene in TrueConf Server; von der Head-Mare-APT-Gruppe zur Verbreitung von PhantomCore-Malware ausgenutzt.
Bei den jüngsten Angriffen beobachtete Kaspersky, dass die Head-Mare-APT-Gruppe diese Kette gegen russische Organisationen ausnutzte, um eine Webshell zu platzieren, TrueConf-Server-Datenbanken zu kompromittieren und bösartige Versionen der TrueConf-Client-Installer zu installieren. Die trojanisierten Installer lieferten PhantomCore-Malware an Konferenzteilnehmende aus. Der Hersteller empfiehlt Nutzenden, auf Version 5.5.2 oder höher zu aktualisieren.
PaperCut NG/MF aktiv ausgenutzt für nicht authentifizierte RCE
CVE-2026-81578 (CVSS 9,8) und CVE-2026-82078 (CVSS 9,1), die PaperCut NG/MF betreffen, können für nicht authentifizierte RCE verkettet werden. Die Angriffskette umfasst zunächst die Änderung der Systemkonfiguration und anschließend den Missbrauch eines unsicheren dynamischen Klassenladens, um beliebigen Java-Bytecode auszuführen. PaperCut bestätigte die aktive Ausnutzung bei seinen Kundinnen und Kunden. Zu den Post-Exploitation-Aktivitäten gehörte die Installation der Remote-Access-Software SimpleHelp und AnyDesk.
Die beiden verketteten PaperCut-NG/MF-CVEs aus August 2026, jeweils mit ihrer CVSS-Schweregradstufe und ihrem EPSS-Ausnutzungswahrscheinlichkeitswert
Verkettbar mit CVE-2026-82078 für nicht authentifizierte RCE in PaperCut NG/MF über unsicheres dynamisches Klassenladen; aktiv ausgenutzt zur Verbreitung von SimpleHelp und AnyDesk.
Verkettbar mit CVE-2026-81578 für nicht authentifizierte RCE in PaperCut NG/MF.
CISA nahm beide Schwachstellen in ihren KEV-Katalog auf [1][2]. Ein öffentliches Metasploit-Modul ist ebenso verfügbar wie ein detaillierter technischer Bericht sowie öffentliche PoC-Exploits [3][4]. Der OPENVAS ENTERPRISE FEED enthält eine Remote-Banner-Prüfung, mit der Nutzende betroffene Instanzen identifizieren können. Zur Behebung der CVEs wurden mindestens drei aufeinanderfolgende Sicherheitspatches veröffentlicht; Nutzende sollten daher das offizielle Advisory des Herstellers auf aktuelle Informationen prüfen.
Kritische Schwachstellen in Veeam ONE und Service Provider Console
Kritische Schwachstellen wurden sowohl für Veeam ONE über KB4892 als auch für die Veeam Provider Console (VSPC) in KB4893 veröffentlicht. Die Schwachstellen in Veeam ONE betreffen alle Version-13-Builds bis einschließlich 13.0.2.6723 und wurden in Veeam ONE 13.1 (Build 13.1.0.7034) beziehungsweise Veeam ONE 13.0.2 Patch 1 (Build 13.0.2.7159) behoben. Alle Schwachstellen in VSPC betreffen alle Version-9-Builds bis einschließlich 9.2.1.33875 und wurden in Veeam Service Provider Console 9.3 (Build 9.3.0.35057) behoben. Die risikoreichsten CVEs sind:
- CVE-2026-64633 (CVSS 10) in Veeam ONE: ermöglicht Remote-Codeausführung ohne Authentifizierung auf dem Agent-Host
- CVE-2026-58073 (CVSS 9,5) in Veeam Service Provider Console: ermöglicht es einem nicht authentifizierten Angreifer, einen verwalteten Agenten zu imitieren und dessen Zugangsdaten zu erlangen
Die beiden risikoreichsten CVEs für Veeam ONE und Service Provider Console aus August 2026, jeweils mit ihrer CVSS-Schweregradstufe und ihrem EPSS-Ausnutzungswahrscheinlichkeitswert
Ermöglicht Remote-Codeausführung ohne Authentifizierung auf dem Agent-Host in Veeam ONE.
Ermöglicht es einem nicht authentifizierten Angreifer, einen verwalteten Agenten zu imitieren und dessen Zugangsdaten in Veeam Service Provider Console zu erlangen.
VSPC dient als zentralisierte Management- und Monitoring-Plattform für kundenseitige Datensicherungsumgebungen. Da sie eine privilegierte, zentrale Verwaltungsposition einnimmt und Remote-Zugriff über mehrere Kunden-Backup-Umgebungen hinweg bereitstellt, könnte eine Kompromittierung als Sprungbrett in verwaltete Infrastrukturen dienen und schwerwiegende Folgen haben. Veeam ONE stellt ein geringeres Risiko als VSPC dar, da es primär eine Monitoring-, Reporting- und Analyseplattform ist. Eine Kompromittierung könnte jedoch sensible Backup-Infrastrukturdaten und Zugangsdaten offenlegen und möglicherweise einen Ausgangspunkt für weiteres Eindringen bieten.
Der OPENVAS ENTERPRISE FEED enthält Remote-Banner-Prüfungen für KB4892 betreffend Veeam ONE [1][2] und für KB4893 betreffend VSPC [3].
CVE-2026-10053: Path Traversal in der Paketregistrierung ermöglicht authentifizierte RCE in GitLab CE/EE
CVSS 8,8 · HochEPSS 0,8 % (53.)Keine bekannte AusnutzungÖffentlicher PoC
CVE-2026-10053 (CVSS 8,8, EPSS ≥ 53. Perzentil) ermöglicht es einem authentifizierten Angreifer mit geringen Rechten, über eine Path-Traversal-Schwachstelle in der Paketregistrierung RCE in GitLab CE/EE zu erreichen. Ein öffentliches PoC-Lab ist verfügbar, aktive Ausnutzung wurde jedoch nicht gemeldet. Das Problem folgt auf Berichte, wonach CVE-2026-19478 Anfang August aktiv ausgenutzt wurde. Der OPENVAS ENTERPRISE FEED bietet eine Remote-Banner-Prüfung für CVE-2026-10053 sowie eine regelmäßige Erkennung für GitLab-Schwachstellen, einschließlich der aktiv ausgenutzten CVE-2026-19478. GitLab behob das Problem in den Versionen 19.0.6, 19.1.4 und 19.2.2.
Zusammenfassung
Der August 2026 brachte erneut eine schwere Welle hochriskanter Schwachstellen mit sich, darunter aktiv ausgenutzte Schwachstellen, öffentliche PoCs, CVSS-10-Probleme sowie Schwachstellen mit Bezug zu Ransomware und Spionage. Die Offenlegungen dieses Monats unterstreichen die Notwendigkeit, internetseitig erreichbare und privilegierte Unternehmenssysteme für eine rasche Behebung zu priorisieren.
Jetzt kostenlos testen
Sicherheitsverantwortliche, die Schwachstellen erkennen und sich davor schützen möchten, können OPENVAS SCAN jetzt kostenlos herunterladen – inklusive einer zweiwöchigen Testversion des OPENVAS ENTERPRISE FEED. Mit den Cybersicherheitsprodukten von Greenbone erhalten Sie den tiefsten Einblick darüber, wo in der Infrastruktur Ihres Unternehmens Softwareschwachstellen bestehen.
Josephs Karriere im Bereich IT und Cybersicherheit ist von Vielfalt und Leidenschaft geprägt. Sie begann in den späten 1980er Jahren mit der Arbeit an einem IBM PS/2, der Montage von PCs und der Programmierung in C++.
Er studierte Computer- und Systemtechnik, Anthropologie und erwarb einen MBA mit Schwerpunkt Technologieprognose.
Josephs Fachgebiete umfassen Datenanalyse, Softwareentwicklung und insbesondere IT-Sicherheit in Unternehmen. Er ist Experte für Schwachstellenmanagement, Verschlüsselung und Penetrationstests.
