Im Jahr 2025 erhöhte Greenbone die Gesamtzahl der Schwachstellentests im OPENVAS ENTERPRISE FEED auf über 227.000 und fügte fast 40.000 Schwachstellenprüfungen hinzu. Seit der Veröffentlichung der ersten CVE im Jahr 1999 wurden über 300.000 Software-Sicherheitslücken zum CVE-Repository von MITRE hinzugefügt. Die Zahl der CVE-Veröffentlichungen stieg weiter rasant an und lag etwa 21 % über dem Wert von 2024. Die CISA fügte ihrem Verzeichnis bekannter ausgenutzter Sicherheitslücken (KEV) 245 CVEs hinzu, von denen 24 als bekannte Ransomware-Vektoren bekannt sind. Sicherheitsbeauftragte, die Schwachstellen erkennen und Schutzmaßnahmen ergreifen möchten, können OPENVAS BASIC kostenlos testen, einschließlich einer zweiwöchigen kostenlosen Testversion des OPENVAS ENTERPRISE FEED.

Im Dezember 2025 wurden 5.519 neue CVEs veröffentlicht, was einen neuen Rekord für einen einzelnen Monat darstellt. Neue kritische Schwachstellen und Notfallmaßnahmen setzten sich während der gesamten Weihnachtszeit unvermindert fort. Der Greenbone-Blog hat bereits über zwei aktiv ausgenutzte CVSS-10-Schwachstellen berichtet, die im Dezember aufgetreten sind: CVE-2025-55182 mit dem Namen React2Shell und CVE-2025-20393, die Cisco AsyncOS Spam Quarantine betrifft. Im Threat Report für Dezember 2025 fassen wir die kritischsten neuen Bedrohungen für die IT-Sicherheit des Monats zusammen.

Ransomware-Angriffe auf Hypervisoren nahmen Ende 2025 sprungartig zu

Untersuchungen von Huntress zeigen, dass Hypervisoren als primäres Ziel für Ransomware zunehmend an Bedeutung gewinnen. Ihren Daten zufolge waren Hypervisoren in der ersten Hälfte des Jahres 2025 an 3 % der böswilligen Verschlüsselungsangriffe beteiligt, in der zweiten Hälfte stieg dieser Anteil auf 25 %. Sie gehen davon aus, dass dieser Anstieg auf die Ransomware-APT „Akira“ zurückzuführen ist, eine Gruppe, die dafür bekannt ist, Software-Schwachstellen aggressiv auszunutzen.

Um das Risiko für die Hypervisor-Infrastruktur zu verringern, sollten Verteidigungsteams umfassende Sicherheitskontrollen planen und implementieren, darunter

• Regelmäßige Durchführung von Schwachstellenscans in der gesamten Hypervisor-Infrastruktur und Priorisierung aller entdeckten Schwachstellen zur Minderung
• Deaktivierung oder Einschränkung unnötiger Hypervisoren und VM-Instanzen
• Keine direkte Freigabe von Verwaltungsschnittstellen an das Internet
• Beschränkung des Zugriffs auf Hypervisor-IP-Adressen und Verwaltungskonsolen mithilfe von Firewall-Regeln

MongoBleed verschenkt einen Notfall-Patch für die Feiertage

CVE-2025-14847 (CVSS 7.5, EPSS 98. Perzentil), der MongoDB betrifft, wurde am 19. Dezember 2025 veröffentlicht. Der Fehler ermöglicht es einem nicht authentifizierten Eindringling aus der Ferne, auf sensible Speicherorte zuzugreifen, indem fehlerhafte Pakete mit inkonsistenten Längenparametern gesendet werden [CWE-130]. Er wurde in Anlehnung an die informelle Konvention für Speicherleck-Schwachstellen wie HeartBleed [1][2] und CitrixBleed [3][4] „MongoBleed” getauft. Der Fehler liegt im zlib-Komprimierungsprozess der Netzwerk-Transportschicht von MongoDB. Bei einer Längeninkongruenz könnte der zlib-Nachrichtenkompressor eine zugewiesene Pufferlänge anstelle der tatsächlichen dekomprimierten Länge zurückgeben, wodurchnicht initialisierten Heap-Speicher gelesen werden könnten.

Ein Sicherheitsforscher schätzt, dass weltweit über 200.000 Instanzen im öffentlichen Internet exponiert sind. Die Shadowserver Foundation listet über 80.000 auf. Für CVE-2025-14847 wurde mindestens ein Proof-of-Concept-Exploit (PoC) veröffentlicht, der automatisch nach Geheimnissen wie DB-Passwörtern und Cloud-Schlüsseln suchen kann. Der PoC demonstriert, wie ein Eindringling den Heap-Speicher durchsuchen kann, um sensible Informationen zu exfiltrieren. CVE-2025-14847 wurde in den KEV-Katalog der CISA aufgenommen, und weltweit wurden zahlreiche nationale CERT-Warnungen herausgegeben [5][6][7][8][9][10][11][12][13]. Bislang wurden noch keine Ransomware-Angriffe gemeldet, die MongoBleed ausnutzen.

Der OPENVAS ENTERPRISE FEED von Greenbone umfasst Remote-Versionserkennungsprüfungen für Windows- und Linux-Instanzen von MongoDB Server [14][15]. Die offizielle Empfehlung von MongoDB enthält eine Liste der betroffenen Versionen und Patches. Benutzer sollten dringend ein Upgrade durchführen und MongoDB-Server auf Anzeichen einer Kompromittierung (IoC) überprüfen.

CVSS 10 SmarterMail-Sicherheitslücke ermöglicht nicht authentifizierte RCE

CVE-2025-52691 (CVSS 10) ist eine neue Sicherheitslücke in SmarterTools SmarterMail, die eine nicht authentifizierte Remote-Code-Ausführung (RCE) ermöglicht und Build 9406 und frühere Versionen betrifft. Die Sicherheitslücke wird durch eine Schwachstelle beim Hochladen beliebiger Dateien [CWE-434] verursacht, die es Schadakteuren ermöglicht, Dateien an einen beliebigen Speicherort auf dem Zielserver hochzuladen. Diese hochgeladenen Dateien können potenziell als Web-Shells dienen oder als SYSTEM ausgeführt werden, wenn sie in sensiblen Verzeichnissen abgelegt werden.

SmarterMail läuft auf dem Windows/IIS/.NET-Stack und umfasst eine Webanwendung mit Webmail- und Synchronisierungsdiensten über HTTPS. Laut der offiziellen Dokumentation von SmarterMail gibt es über 15 Millionen User. Andere Quellen schätzen den Anteil von SmarterMail an allen identifizierbaren Webanwendungen auf weniger als 0,1 %. SmarterMail wird häufig in verwalteten Webhosting-Umgebungen verwendet, was den potenziellen Ausbreitungsradius im Falle einer Ausnutzung vergrößern könnte.

Die Cyber Security Agency (CSA) von Singapur veröffentlichte CVE-2025-52691 und warnte die Öffentlichkeit erstmals vor diesem Risiko. Aktive Ausnutzung in freier Wildbahn oder öffentliche PoC-Exploits wurden nicht bekannt gegeben, aber Forschende von penligent.ai haben technische Beschreibungen der Angriffskette veröffentlicht [1][2]. Andere nationale Sicherheitsbehörden haben ebenfalls Notfall-Cyberwarnungen herausgegeben [3][4].

Der OPENVAS ENTERPRISE FEED enthält eine Versionserkennungsprüfung für CVE-2025-52691. Die Schwachstelle wurde Anfang Oktober 2025 in Build 9413 von SmarterMail gepatcht. Es wird empfohlen, auf die neueste Version zu aktualisieren.

OSGeo GeoServer wird aktiv über XXE-Sicherheitslücke ausgenutzt

CVE-2025-58360 (CVSS 9,8, EPSS 99. Perzentil) ist eine nicht authentifizierte XML External Entity (XXE)-Sicherheitslücke [CWE-611] in OSGeo GeoServer. Die Schwachstelle ermöglicht es Schadakteuren aus der Ferne, beliebige Dateien zu lesen, Server-Side Request Forgery (SSRF) [CWE-918] auszulösen oder einen Denial-of-Service (DoS) zu verursachen. Die Ursache liegt in einer fehlerhaften Bereinigung der XML-Daten, die vom Endpunkt /geoserver/wms GetMap verarbeitet werden.

CVE-2025-58360 wurde am 11. Dezember zu CISA KEV hinzugefügt, und es gibt mehrere öffentliche PoC-Exploits [1][2][3]. Eine Verwendung in Ransomware-Angriffen oder Spionage wurde nicht bestätigt. Die Shadowserver Foundation hat 2.451 exponierte GeoServer-Instanzen verfolgt; Shodan meldet über 14.000, was auf ein erhebliches globales Risiko hinweist. Mehrere nationale CERT-Behörden haben Warnungen zu CVE-2025-58360 veröffentlicht [4][5][6][7][8]. Zuvor, im Jahr 2024, wurde CVE-2024-36401 (CVSS 9.8) in GeoServer aktiv ausgenutzt und führte zu einer bestätigten Sicherheitsverletzung bei einer nicht genannten US-Bundesbehörde. Dies deutet darauf hin, dass Cyber-Bedrohungen mit der Ausnutzung der GeoServer-Infrastruktur vertraut sind, was das Risiko erhöht.

Der OPENVAS ENTERPRISE FEED enthält eine Remote-Banner-Prüfung, um anfällige GeoServer-Instanzen zu erkennen. CVE-2025-58360 betrifft die Hauptanwendung OSGeo GeoServer, docker.osgeo.org/geoserver-Container, gs-web-app und gs-wms Maven-Pakete. Der vollständige Status der betroffenen Produkte ist in einer offiziellen Mitteilung verfügbar.

Living on the Edge: Neue Bedrohungen für Netzwerkperimeter im Dezember 2025

Unser monatlicher Threat Report hat über das Jahr 2025 Software-Schwachstellen, die sich auf den Netzwerkperimeter auswirken, genau verfolgt [1][2][3]. Im Dezember 2025 gab es tatsächlich eine weitere Welle neuer hochriskanter CVEs und aktiver Ausnutzung. Betrachten wir einige neue Risiken für Perimeter-Netzwerke genauer:

Mehrere Fortinet-Produkte werden aktiv über die Authentifizierung ausgenutzt

Am 9. Dezember 2025 wurden CVE-2025-59718 (CVSS 9,8, EPSS 90. Perzentil) und CVE-2025-59719 (CVSS 9,8) eine Woche nach ihrer Veröffentlichung in die KEV-Liste der CISA aufgenommen. CVE-2025-59718 betrifft Fortinet FortiOS, FortiProxy und FortiSwitchManager, während CVE-2025-59719 nur FortiWeb betrifft. Die neuen CVEs ermöglichen die Umgehung der Authentifizierung bei FortiCloud SSO-Admin-Anmeldungen aufgrund einer unsachgemäßen kryptografischen Signaturprüfung [CWE-347] von SAML-Nachrichten. Laut dem ersten Bericht über aktive Angriffe von Arctic Wolf kann die FortiCloud-SSO-Anmeldung standardmäßig aktiviert sein, wenn Geräte über die FortiCare-GUI registriert werden.

Mindestens ein PoC-Exploit ist öffentlich verfügbar [1]. Die neuen CVEs lösten weltweit eine breite Reaktion nationaler CERT-Behörden aus [1][2][3][4][5][6][7][8][9][10][11][12]. Greenbone bietet Erkennung für beide neuen CVEs mit kritischem Schweregrad. Eine vollständige Liste der betroffenen Produkte finden Sie in der offiziellen Mitteilung von Fortinet.

Privilegieneskalationsfehler in SonicWall SMA 1000-Appliances

CVE-2025-40602 (CVSS 6.6, EPSS 84. Perzentil) ist eine lokale Privilegieneskalationsschwachstelle, die die Appliance Management Console von SonicWall Secure Mobile Access (SMA) 1000-Appliances betrifft. Die Schwachstelle wird durch unzureichende oder fehlende Autorisierung verursacht [CWE-862]. Die Ausnutzung kann zur Ausführung von Befehlen auf Root-Ebene des Betriebssystems führen. CVE-2025-40602 steht nun auf der KEV-Liste der CISA und wird aktiv für unauthentifizierte RCE ausgenutzt, kombiniert mit CVE-2025-23006 (CVSS 9,8, EPSS 98. Perzentil), die im Januar 2025 veröffentlicht wurde und in unserem Threat Report vom Januar 2025 behandelt wird. CVE-2025-40602 kann jedoch auch allein mit lokalem Kontozugriff ausgenutzt werden.

Für beide CVEs sind keine detaillierten Angriffsanleitungen oder PoC-Exploits öffentlich verfügbar. Dies könnte darauf hindeuten, dass die laufenden Angriffe von staatlichen Akteuren oder anderen APT-Gruppen durchgeführt werden. Der OPENVAS ENTERPRISE FEED enthält Remote-Banner-Prüfungen für beide oben beschriebenen CVEs [1][2]. Betroffen sind SMA 1000 Series-Geräte (6200, 6210, 7200, 7210, 8000v, 8200v) der Versionen 12.4.3-03093 und früher sowie der Versionen 12.5.x bis 12.5.0-02002.

CVE-2025-14733: WatchGuard-VPNs erneut aktiv ausgenutzt

CVE-2025-14733 (CVSS 9,8, EPSS 97. Perzentil) ist eine nicht authentifizierte RCE-Sicherheitslücke, die mobile User-VPNs und Zweigstellen-VPNs von WatchGuard Firebox mit IKEv2 betrifft, wenn diese mit einem dynamischen Gateway-Peer konfiguriert sind. Die Ursache ist ein Softwarefehler, der das Beschreiben von Speicher außerhalb der Grenzen im iked IKEv2-Daemon ermöglicht, der für die Verwaltung von VPN-Sitzungen zuständig ist. Laut dem Bedrohungsbericht des Anbieters haben Eindringlinge Konfigurationsdateien und die Benutzerdatenbank aus kompromittierten VPN-Geräten exfiltriert [TA0010].

Die CVE wurde in die KEV-Datenbank der CISA aufgenommen, aber es sind noch keine Proof-of-Concept- oder detaillierten technischen Berichte verfügbar. Die Shadowserver Foundation meldet mehr als 100.000 betroffene Geräte, die im Internet exponiert sind. Ein ähnlicher Fehler beim Schreiben außerhalb des zulässigen Bereichs in WatchGuard-VPNs, CVE-2025-9242 (CVSS 9.8), wird seit September 2025 in freier Wildbahn ausgenutzt.

Der OPENVAS ENTERPRISE FEED von Greenbone enthält Remote-Prüfungen für die beiden oben genannten CVEs [1][2], sodass Sicherheitsverantwortliche betroffene Geräte schnell identifizieren können. Weitere Informationen, darunter die konkret betroffenen Versionen und Konfigurationsanforderungen für die Ausnutzung, Maßnahmen zur Schadensbegrenzung und Indikatoren für Kompromittierung (IoC), finden Sie in der offiziellen Empfehlung von WatchGuard.

Array Networks AG Series VPNs für RCE ausgenutzt

CVE-2025-66644 (CVSS 9.8, EPSS 86. Perzentil) ist eine Sicherheitslücke durch unbefugte Befehlsinjektion [CWE-78] in Array Networks ArrayOS AG Series VPNs mit aktivierter DesktopDirect-Fernzugriffsfunktion. Laut einem Anfang Dezember 2025 veröffentlichten Bericht wird CVE-2025-66644 seit mindestens August aktiv gegen Unternehmen in Japan ausgenutzt. Die Angriffskette umfasste die Installation von PHP-Webshells [T1505.003] und die Erstellung von betrügerischen Usern [T1136] zur Persistenz.

Die CVE wurde zur KEV-Liste der CISA hinzugefügt. Es ist jedoch kein öffentlicher PoC-Exploit verfügbar. Greenbone bietet eine Remote-Banner-Prüfung zur Erkennung anfälliger Geräte. Zur Risikominderung wird ein Upgrade auf ArrayOS Version 9.4.5.9 oder höher empfohlen.

Ivanti behebt neue Schwachstellen in EndPoint Manager (EPM)

Im Dezember 2025 wurden vier neue riskante CVEs veröffentlicht und gepatcht, die Ivanti EndPoint Manager (EPM) betreffen. Bislang wurden noch keine aktiven Exploits gemeldet, und keine der Schwachstellen hat zu hohen EPSS-Werten geführt. Sie sollten ein Upgrade auf Ivanti Endpoint Manager 2024 SU4 SR1 durchführen und sicherstellen, dass EPM nicht mit dem Internet verbunden ist. Der OPENVAS ENTERPRISE FEED enthält eine Remote-Erkennung für alle vier neuen Ivanti-Schwachstellen. Weitere Informationen finden Sie in der offiziellen Empfehlung von Ivanti.

Die vier neuen CVEs werden im Folgenden kurz beschrieben.

• CVE-2025-13659 (CVSS 8.8) ermöglicht das Schreiben beliebiger Dateien auf dem Server ohne Authentifizierung, was aufgrund einer unsachgemäßen Kontrolle dynamisch verwalteter Code-Ressourcen [CWE-913] möglicherweise zur Ausführung von Remote-Code führen kann.
• CVE-2025-13662 (CVSS 7.8) ermöglicht die Ausführung von nicht authentifiziertem Code durch unsachgemäße Signaturüberprüfung im Patch-Management-Prozess [CWE-347].
• CVE-2025-13661 (CVSS 8.0) ist eine authentifizierte Pfadüberquerungsschwachstelle [CWE-22], die das Schreiben beliebiger Dateien ermöglicht.
• CVE-2025-10573 (CVSS 6.1): Eine gespeicherte XSS-Sicherheitslücke [CWE-79], die die Ausführung von nicht authentifiziertem JavaScript in einer Admin-Sitzung in Ivanti Endpoint Manager Core und Remote-Konsolen ermöglicht.

Update: Neue CVEs erhöhen das Risiko durch Social Engineering

Social Engineering ist eine beliebte Angriffsmethode. Die Verwendung irreführender Kontexte, um Opfer zum Klicken auf Links und Dateien zu verleiten [T1566], hat sich als äußerst wirksames Mittel erwiesen, um sich unbefugten Zugriff und sogar RCE zu verschaffen. Hier sind einige neue Bedrohungen im Bereich Social Engineering, denen sich Sicherheitsteams entgegenstellen sollten:

Britischer National Health Service: 7-Zip wird aktiv ausgenutzt

CVE-2025-11001 (CVSS 7.8) ist eine Path-Traversal-Sicherheitslücke [CWE-22] in der 7-Zip-Anwendung für Windows, die durch die unsichere Verarbeitung von symbolischen Links im Linux-Stil in ZIP-Dateien verursacht wird. Ein böswillig erstelltes ZIP-Archiv kann potenziell RCE ermöglichen, indem es Dateien in sensible Verzeichnisse legt [T1574], oder andere Angriffe ermöglichen, wie z. B. das Platzieren von Malware an sichtbaren Stellen auf dem System des Opfers, in der Hoffnung, dass sie ausgeführt wird [T1204.002]. Unter Windows hängt die Ausnutzung davon ab, dass der lokale Useraccount über die Berechtigung SeCreateSymbolicLinkPrivilege oder andere Konfigurationen wie den Entwicklermodus verfügt oder 7-Zip als Admin ausführt.

CVE-2025-11001 wurde nicht in die KEV-Liste der CISA aufgenommen, aber der britische NHS hat einen öffentlichen PoC-Exploit gemeldet [1]. Mehrere nationale CERT-Behörden haben weltweit Warnungen herausgegeben [2][3][4][5][6][7][8]. CVE-2025-11002 wird oft zusammen mit CVE-2025-11001 genannt, bleibt aber offiziell im Status RESERVED. CVE-2025-11001 wurde in der Version 25.00 von 7-Zip gepatcht. Der OPENVAS ENTERPRISE FEED von Greenbone enthält Erkennungstests für die Windows-Anwendung 7-Zip und andere Plattformen, die anfällige Versionen von 7-Zip enthalten.

CISA fügt neue WinRAR-Sicherheitslücke zur Liste aktiv ausgenutzter Schwachstellen hinzu

CVE-2025-6218 (CVSS 7.8) ist eine Verzeichnisüberquerungsschwachstelle [CWE-22], die WinRAR-Versionen 7.11 und früher betrifft. Ähnlich wie bei der oben beschriebenen CVE-2025-11001 können Eindringlinge, die ein Opfer dazu verleiten, eine bösartige Archivdatei zu öffnen, Dateien an sensiblen Speicherorten auf dem Zielsystem ablegen, was möglicherweise zu einer Malware-Infektion führen kann. Im August 2025 wurde eine weitere WinRAR-Sicherheitslücke, CVE-2025-8088 (CVSS 8.8), in Spionagekampagnen ausgenutzt.

Es liegen mehrere technische Analysen zu CVE-2025-6218 vor [1][2]. Die chinesische Bedrohungsanalyse 360 Threat Intel hat die Angriffe der Gruppe APT-C-08 (auch bekannt als BITTER, Manlinghua, T-APT-17) zugeschrieben. Die Gruppe ist eine seit 2013 aktive Advanced Persistent Threat (APT) und bekannt dafür, dass sie Regierungs-, Energie-, Militär- und Verteidigungsindustrieunternehmen in Südasien ins Visier nimmt [3][4]. Am 9. Dezember 2025 hat die CISA CVE-2025-6218 in ihre KEV-Liste aufgenommen, und es wurden zahlreiche nationale CERT-Warnungen herausgegeben, die bis zum Zeitpunkt der ersten Offenlegung der CVE zurückreichen [5][6][7][8][9][10][11].

Der OPENVAS ENTERPRISE FEED enthält eine authentifizierte Sicherheitsüberprüfung, um das Vorhandensein von anfälligen WinRAR-Anwendungen auf Windows-Endpunkten zu erkennen. Es wird empfohlen, auf die neueste Version von WinRAR für Windows zu aktualisieren.

CVE-2025-66516: Neue Leitlinien für kritische Apache-Tika-Sicherheitslücke

CVE-2025-66516 (CVSS 9.8) ist eine neue CVE mit maximaler Schwere, die Apache Tika betrifft, ein Open-Source-Toolkit zur Analyse und Extraktion von Inhalten. Die Anwendung wird häufig in Such-, ETL- und Indizierungspipelines, bei der Verhinderung von Datenverlusten (DLP) und Compliance-Scans sowie in KI-RAG-Systemen verwendet, um verschlüsselte Dokumente (wie .pdf und .docx) in Klartext und Metadaten umzuwandeln.

CVE-2025-66516 ermöglicht es jedem Schadakteur, der eine böswillig erstellte XFA-fähige PDF-Datei an den Apache Tika-Prozessor übermitteln kann, eine XML-External-Entity-Injection [CWE-611] auszulösen. Die Ausnutzung ermöglicht aufgrund der unsicheren Verarbeitung externer Entitäten während der XFA-XML-Analyse die Offenlegung von Dateien, SSRF und DoS.

CVE-2025-66516 gilt als Erweiterung von CVE-2025-54988 (CVSS 8.4), veröffentlicht im August 2025. CVE-2025-54988 beschrieb die betroffenen Komponenten nicht korrekt; wurde das tika-parser-pdf-Modul aktualisiert, aber nicht tika-core, waren Systeme weiterhin anfällig. Das Patchen erfordert die Aktualisierung der gesamten Abhängigkeitskette auf eine korrigierte Version.

Obwohl Berichte keine aktive Ausnutzung oder Verwendung von Ransomware vermuten lassen, ist ein öffentlicher PoC-Exploit verfügbar. Die Schwachstelle ist aufgrund der weit verbreiteten Verwendung von Tika in automatisierten Dokumentenverarbeitungs-Pipelines mit einem hohen Risiko verbunden. Das belgische CERT.be und das koreanische KRCERT haben Warnungen herausgegeben. Der OPENVAS ENTERPRISE FEED von Greenbone enthält Erkennungstests für CVE-2025-66516, darunter betroffene Upstream-SaaS-Produkte von Atlassian, Elastic und anderen.

Zusammenfassung

Im Dezember 2025 tauchten während der Feiertage kritische CVEs auf, die Sicherheitsverantwortliche zu Notfall-Patches und einer schnellen Triage zwangen. Dieser Bericht behandelt neue, aktiv ausgenutzte Schwachstellen, darunter MongoBleed, einen nicht authentifizierten RCE von SmarterMail, OSGeo GeoServer und aktuelle Angriffe auf Edge-Geräte wie die von Fortinet SonicWall, WatchGuard und anderen. Sicherheitsbeauftragte, die ihre IT-Infrastruktur absichern möchten, können OPENVAS BASIC kostenlos testen, einschließlich einer zweiwöchigen kostenlosen Testversion von OPENVAS ENTERPRISE FEED.