CVE-2026-5430 (CVSS 10), veröffentlicht am 6. August 2026, ist eine kritische Schwachstelle zur Umgehung der Authentifizierung in der WSO2-JWT-Authentifizierung (JSON Web Token), die mehrere WSO2-API-Management-Produkte betrifft. Die Schwachstelle ermöglicht es, mit einem Token, das mit einem nicht unterstützten Algorithmus signiert wurde, die JWT-Authentifizierung zu umgehen. Eine erfolgreiche Ausnutzung ermöglicht unautorisierten Zugriff, die Kompromittierung von Administratorkonten und die vollständige Account-Übernahme. Obwohl die CVE erst im August vergeben wurde, hatte der Hersteller bereits im Mai eine frühzeitige Sicherheitswarnung, WSO2-2026-5328, veröffentlicht.

Ein Honeypot von watchTowr registrierte ab dem 13. September 2026 bösartige Angriffe. CISA nahm CVE-2026-5430 am 24. September in den Known Exploited Vulnerabilities (KEV)-Katalog auf. Das globale Risiko ist hoch, da WSO2 mehr als 950 zahlende Kunden in über 90 Ländern angibt, darunter zahlreiche große Unternehmenskunden und Betreiber kritischer Infrastrukturen. Zudem ist eine detaillierte technische Analyse mit Proof-of-Concept (PoC)-Exploit öffentlich verfügbar, und das öffentliche Repository des Herstellers enthält Commit-Details, die sich zur Rekonstruktion der Schwachstelle nutzen lassen.

Eine globale Risikobewertung von CVE-2026-5430 in WSO2-API-Management-Produkten

CVSS 10 · KritischEPSS 0,6 % (46.)Aktiv ausgenutztIn der CISA-KEV-ListeÖffentlicher PoC

WSO2 stuft die Schwachstelle als kritisch ein; CVE-2026-5430 ist über das Netzwerk erreichbar und lässt sich ohne Authentifizierung sowie mit geringem Angriffsaufwand ausnutzen. Mitte September wurden bösartige Angriffe beobachtet, und CISA hat CVE-2026-5430 in ihre KEV-Liste aufgenommen. Zudem ist eine detaillierte technische Analyse mit PoC-Exploit öffentlich verfügbar, und das öffentliche Repository des Herstellers enthält Commit-Details, die sich zur Rekonstruktion der Schwachstelle nutzen lassen. WSO2 erklärt, dass eine erfolgreiche Ausnutzung unautorisierten Zugriff ermöglicht, einschließlich der Kompromittierung von Administratorkonten und der vollständigen Account-Übernahme in WSO2 API Control Plane, WSO2 API Manager, WSO2 Traffic Manager und WSO2 Universal Gateway.

WSO2 gibt mehr als 950 zahlende Kunden in über 90 Ländern an, darunter zahlreiche große Unternehmenskunden und Betreiber kritischer Infrastrukturen. Die Plattform kommt in Cloud-, On-Premise- und hybriden Umgebungen zum Einsatz. WSO2 API Manager, Admin Portal und Developer Portal werden für die Verwaltung von API-Schlüsseln und Zugangsdaten eingesetzt, während der Key Manager für Authentifizierung, Autorisierung und Tokens zuständig ist. Vor diesem Hintergrund betrifft eine Umgehung der JWT-Authentifizierung Systeme, die unmittelbar an Identitäts- und Zugriffsentscheidungen beteiligt sind.

Das WSO2-API-Management kann mehrere Gateway-Laufzeitumgebungen über eine einheitliche Control Plane sowie den WSO2 Traffic Manager hinweg umfassen. Traffic Manager und Universal Gateway ermöglichen Rate Limiting über mehrere Gateway-Knoten hinweg. Angesichts dieser Architektur könnte eine Umgehung der Authentifizierung erhebliche Auswirkungen auf den Betrieb verteilter Umgebungen haben. CVE-2026-5430 wurde mit einem CVSS-Wert von 10 für Multi-Tenant-Umgebungen und CVSS 9,8 für Single-Tenant-Umgebungen bewertet, bei denen sich die Auswirkungen auf eine einzelne Sicherheitsdomäne beschränken.

Technische Details zu CVE-2026-5430 in WSO2-API-Management-Produkten

CVE-2026-5430 wird durch eine fehlerhafte Ausnahmebehandlung [CWE-703] während der JWT-Authentifizierung verursacht. Wird ein Token mit einem nicht unterstützten Algorithmus signiert, führt ein Fehlschlagen der JWT-Validierung zu einem Fail-Open– statt zu einem Fail-Closed-Verhalten. Das Ergebnis ist eine unzureichende Überprüfung der kryptografischen Signatur eines Tokens [CWE-347].

Unter normalen Bedingungen löst ein Authenticator, der false zurückgibt, eine AuthenticationException aus und verhindert, dass die Anfrage die geschützte API erreicht. Im verwundbaren Code wird jedoch lediglich eine APIManagementException protokolliert, ohne dass ein fehlgeschlagener Authentifizierungsstatus gesetzt wird, sodass voller Zugriff auf die REST-API möglich ist.

Betroffene Produkte und Gegenmaßnahmen für CVE-2026-5430

CVE-2026-5430 betrifft verschiedene Versionen von WSO2 API Control Plane, WSO2 API Manager, Traffic Manager und Universal Gateway. Der Hersteller hat produktspezifische Updates veröffentlicht, die CVE-2026-5430 beheben. Organisationen, die betroffene Releases einsetzen, sollten jede Instanz auf das entsprechende Update-Level ihres Produktzweigs anheben.

Die betroffenen Produkte, betroffenen Versionen und behobenen Versionen sind nachfolgend aufgeführt:

Produkt	Betroffene Versionen	Behobene Versionen
WSO2 API Control Plane	4.6.0 4.5.0	4.6.0 Update-Level 22 4.5.0 Update-Level 58
WSO2 API Manager	4.6.0 4.5.0 4.4.0 4.3.0 4.2.0 4.1.0	4.6.0 Update-Level 21 4.5.0 Update-Level 57 4.4.0 Update-Level 72 4.3.0 Update-Level 108 4.2.0 Update-Level 197 4.1.0 Update-Level 257
WSO2 Traffic Manager	4.6.0 4.5.0	4.6.0 Update-Level 21 4.5.0 Update-Level 56
WSO2 Universal Gateway	4.6.0 4.5.0	4.6.0 Update-Level 21 4.5.0 Update-Level 57

Zusammenfassung

CVE-2026-5430 ist eine kritische Umgehung der JWT-Authentifizierung in WSO2, die unautorisierten Zugriff, die Kompromittierung von Administratorkonten und die vollständige Account-Übernahme ermöglichen kann. Die Schwachstelle betrifft WSO2 API Control Plane, WSO2 API Manager, Traffic Manager und Universal Gateway. Die beobachteten bösartigen Angriffe erhöhen das mit CVE-2026-5430 verbundene Risiko zusätzlich. Organisationen, die WSO2-Produkte in ihrer IT-Umgebung einsetzen, sollten die veröffentlichten Update-Level als unmittelbaren Handlungsbedarf betrachten.

 

CVE-2026-7273 (CVSS 8,8, EPSS 1,3 % (69.)), Mitte Juni 2026 veröffentlicht, ist ein stapelbasierter Pufferüberlauf, der unauthentifizierte Remote Code Execution (RCE) auf Switches der Zyxel-GS1900-Serie ermöglicht. Die Schwachstelle liegt im CGI-Programm der Geräte-Firmware und lässt sich über eine präparierte HTTP-Anfrage auslösen. Stand 21. September 2026 gilt CVE-2026-7273 als aktiv ausgenutzt und wurde in CISAs Known Exploited Vulnerabilities (KEV) Katalog aufgenommen. Laut Zyxels Advisory sind zehn GS1900-Modelle betroffen. Mehrere nationale CERT-Warnungen wurden kurz nach der ersten Offenlegung der CVE veröffentlicht [1][2], und weitere folgten, nachdem die aktive Ausnutzung bekannt wurde [3][4][5].

Risikobewertung von CVE-2026-7273 in Zyxel-GS1900-Switches

CVSS 8,8 · HochEPSS 1,3 % (69.)Aktiv ausgenutztIn der CISA-KEV

Switches der Zyxel-GS1900-Serie sind smart-managed Geräte, die für kleine Unternehmen vermarktet werden. Zu ihren Funktionen zählen VLAN-Management, Quality-of-Service-(QoS)-Verkehrssteuerung, IGMP-Snooping, Link Aggregation Grouping (LAG) und Denial-of-Service-(DoS)-Schutz.

Ein Angreifer mit Netzwerkzugriff auf die Weboberfläche eines verwundbaren Switches kann CVE-2026-7273 remote ausnutzen, ohne Authentifizierung, Berechtigungen oder Nutzerinteraktion, indem er eine präparierte HTTP-Anfrage an ein verwundbares Gerät sendet. Da CVE-2026-7273 die Ausführung von Betriebssystembefehlen [T1059] auf Switches der Zyxel-GS1900-Serie ermöglicht, kann ein Angreifer DoS-Zustände auslösen [T1499.004] oder komplexere Angriffe durchführen, um vollständige beliebige Codeausführung zu erreichen. Eine Kompromittierung kann Gerätezugangsdaten offenlegen [T1003] sowie Konfigurationsdaten [T1602.002] und Netzwerkverkehr für Abhörangriffe offenlegen [T1040] und möglicherweise Datendiebstahl [TA0010] oder laterale Bewegung [TA0008] zu anderen Netzwerkgeräten ermöglichen. Dies macht die Schwachstelle für Unternehmens- und Kleinbetriebsumgebungen ernst, in denen administrative Schnittstellen aus internen Netzwerksegmenten erreichbar sind.

Das Risiko wird durch Berichte über eine Ausnutzung in freier Wildbahn zusätzlich verschärft. GreyNoise beobachtete bereits ab dem 17. August Angriffe auf CVE-2026-7273, und die CVE wurde am 21. September in CISAs KEV-Liste aufgenommen. Insgesamt verzeichnet Zyxel seit 2021 13 Einträge in CISAs KEV-Liste. Zwei dieser Einträge stehen im Zusammenhang mit Ransomware-Angriffen. Der GreyNoise-Report enthielt eine technische Analyse der Schwachstelle sowie eine Reverse-Engineering-Analyse der Python-basierten Malware-Payload. Bislang sind jedoch keine vollständig funktionsfähigen Proof-of-Concept-(PoC)-Exploits online verfügbar.

Die technischen Details von CVE-2026-7273

CVE-2026-7273 (CVSS 8,8, EPSS 1,3 % (69.)) ist eine stapelbasierte Pufferüberlauf-Schwachstelle [CWE-121] im CGI-Programm der GS1900-Firmware. Die Ausnutzung erfolgt über Speicherkorruption und nicht über klassische Command Injection [CWE-77]. Ein Angreifer mit Netzwerkzugriff auf die Weboberfläche eines verwundbaren Switches kann CVE-2026-7273 remote ausnutzen, ohne Authentifizierung, Berechtigungen oder Nutzerinteraktion, über eine speziell präparierte HTTP-Anfrage. Während der Anfrageverarbeitung werden nutzerseitig übergebene Daten ohne ausreichende Grenzwertprüfung in einen stapelbasierten Puffer geschrieben.

Der von GreyNoise analysierte Python-basierte Exploit enthält Kommandozeilenparameter für eine libc-Basisadresse, die Adresse eines Objekts namens reqParameters, die Einträge der Global Offset Table (GOT) für strcmp() sowie für system() innerhalb von libc. GOT ist eine Datenstruktur, die von ELF-Executables und Shared Libraries unter Linux und anderen Unix-artigen Systemen verwendet wird, um Adressen aufzulösen, die erst zur Laufzeit bekannt sind. Die Parameter des Payloads deuten darauf hin, dass der Exploit eine Speicherkorruptions-Schwachstelle in eine kontrollierte Codeausführung umwandelt, indem er dynamisch verknüpfte Funktionsadressen manipuliert. Daten, die normalerweise an strcmp() übergeben würden, werden an system() umgeleitet, um eine Betriebssystembefehlsausführung auf dem Rechner des Opfers zu erreichen. Die GreyNoise-Analyse legt jedoch nicht den vollständigen Exploit-Pfad offen.

Die Kampagnen gegen Zyxel-GS1900-Switches

GreyNoise beobachtete, dass die Ausnutzung in freier Wildbahn am 17. August 2026 begann. Der Report beschrieb Datendiebstahl nach erfolgreicher Kompromittierung bei 996 kompromittierten Switches in 48 Ländern. Bei einer erfolgreichen Ausnutzung wurden Befehle über die Shell-Umgebung des Geräts ausgeführt. GreyNoise beobachtete, wie der Angreifer /bin/sh aufrief und den Trivial File Transfer Protocol (TFTP)-Client des Switches nutzte, um eine bösartige Second-Stage-Payload auf das infizierte Gerät zu laden.

Anschließend legten die Angreifer die gestohlenen Daten im Verzeichnis /home/web/tmp/ des Geräts ab, von wo sie per HTTP-Anfrage abgerufen werden konnten. Die Angreifer exfiltrierten gehashte Root-Zugangsdaten [T1003], Konfigurationsdaten [T1602.002] sowie Netzwerkinformationen von betroffenen Geräten. GreyNoise bringt die Ausnutzung von CVE-2026-7273 zudem mit einer umfassenderen Kampagne in Verbindung, die Software-Schwachstellen in mehreren weiteren Technologien ausnutzte, darunter Ubiquiti UniFi OS, WordPress, den Linux-Kernel, Gitea, Proxmox VE und PAN-OS GlobalProtect.

Betroffene Zyxel-GS1900-Modelle und Gegenmaßnahmen für CVE-2026-7273

Zyxel veröffentlichte am 16. Juni 2026 in einem Community-Advisory Firmware-Patches für die betroffenen Modelle. Für CVE-2026-7273 stehen keine Workaround-Maßnahmen zur Verfügung. Organisationen, die die betroffenen Modelle einsetzen, sollten die Updates vorrangig behandeln. CISA hat CVE-2026-7273 außerdem das relativ neue forensicTriage-Flag zugewiesen, was bedeutet, dass Nutzende eine forensische Analyse durchführen sollten, um festzustellen, ob ein betroffenes Gerät bereits kompromittiert wurde.

Die von CVE-2026-7273 betroffenen Zyxel-Modelle sind nachfolgend aufgeführt:

Modell	Betroffene Versionen	Behobene Versionen
GS1900-8	2.90(AAHH.1)C0 und früher	2.90(AAHH.2)C0
GS1900-8HP	2.90(AAHI.1)C0 und früher	2.90(AAHI.2)C0
GS1900-10HP	2.90(AAZI.1)C0 und früher	2.90(AAZI.2)C0
GS1900-16	2.90(AAHJ.1)C0 und früher	2.90(AAHJ.2)C0
GS1900-24	2.90(AAHL.1)C0 und früher	2.90(AAHL.2)C0
GS1900-24E	2.90(AAHK.1)C0 und früher	2.90(AAHK.2)C0
GS1900-24EP	2.90(ABTO.1)C0 und früher	2.90(ABTO.2)C0
GS1900-24HPv2	2.90(ABTP.1)C0 und früher	2.90(ABTP.2)C0
GS1900-48	2.90(AAHN.1)C0 und früher	2.90(AAHN.2)C0
GS1900-48HPv2	2.90(ABTQ.1)C0 und früher	2.90(ABTQ.2)C0

Zusammenfassung

CVE-2026-7273 ist eine schwerwiegende stapelbasierte Pufferüberlauf-Schwachstelle im CGI-Programm der Firmware von Switches der Zyxel-GS1900-Serie, die von einem unauthentifizierten Angreifer mit Netzwerkzugriff auf die Geräte ausgenutzt werden kann. Die Ausnutzung ermöglicht die Ausführung von Betriebssystembefehlen auf dem Gerät. Die Schwachstelle wurde in freier Wildbahn ausgenutzt, und einige technische Details zur Ausnutzung wurden veröffentlicht. In der beobachteten Kampagne konzentrierten sich die Angreifer auf die Exfiltration von Daten aus kompromittierten Geräten.

 

Bisher hat Cisco in diesem Monat 97 neue CVE-IDs für seine Produkte veröffentlicht. Zwar weisen Sicherheitsforschende darauf hin, dass die reine Anzahl an CVEs kein direktes Maß für das Risiko ist, doch macht die Gesamtzahl den September zum bisher größten Monat für koordinierte CVE-Veröffentlichungen in der Geschichte von Cisco. Zudem handelt es sich bei 32 der CVEs um sogenannte „Umbrella-CVEs“ – eine einzelne CVE-ID, die mehrere zugrunde liegende Schwachstellen bündelt und nach CWE-Klassifizierung gruppiert. Obwohl dieser Ansatz vom CVE-Programm offiziell nicht empfohlen wird, ist er Teil von Ciscos neuer Offenlegungsrichtlinie zur Bewältigung der durch KI beschleunigten Schwachstellenerkennung.

CVE-2026-76461 (CVSS 9,8, EPSS ≥ 80. Perzentil), das Secure Email Gateway betrifft, sowie CVE-2026-76460 (CVSS 10, EPSS ≥ 58. Perzentil), das die Cisco Identity Services Engine (ISE) betrifft, wurden als aktiv ausgenutzt eingestuft und in die KEV-Liste der CISA aufgenommen [1][2]. CVE-2026-20079 (CVSS 10, EPSS ≥ 99. Perzentil), das das Cisco Secure Firewall Management Center (FMC) betrifft, wurde in diesem Monat ebenfalls in die KEV-Liste der CISA aufgenommen. CVE-2026-20079 wurde bereits Anfang 2026 offengelegt und im Greenbone Threat Report für März 2026 behandelt.

Im Folgenden finden Sie einen konsolidierten Überblick über die neu aufgetretenen Schwachstellen in Cisco-Produkten, die bisher im September 2026 bekannt wurden.

CVE-2026-76460: Identity Services Engine (ISE) aktiv ausgenutzt für Befehlsausführung mit Root-Rechten

CVSS 10 · KritischEPSS 0,9 % (58.)Aktiv ausgenutztIn der CISA-KEV

Am 16. September veröffentlichte Cisco 42 neue CVE-IDs für ISE. CVE-2026-76460 (CVSS 10) wurde umgehend als aktiv ausgenutzt eingestuft und in die KEV-Liste der CISA aufgenommen. CVE-2026-76460 wird als kritische Authentifizierungsumgehung in einer API eingestuft [CWE-648]. Die Ausnutzung ermöglicht es einem nicht authentifizierten Angreifer aus der Ferne, die Authentifizierung zu umgehen, sich unautorisierten Zugriff auf die webbasierte Verwaltungsoberfläche zu verschaffen und Befehle mit Root-Rechten auszuführen. Die Schwachstelle lässt sich über eine HTTP-Anfrage an einen betroffenen API-Endpunkt ausnutzen.

Betroffene Versionen und Gegenmaßnahmen für CVE-2026-76460

Produkt	Betroffene Version	Behobene Version
Cisco ISE / ISE-PIC	3.1	3.1 Patch 12
Cisco ISE / ISE-PIC	3.2	3.2 Patch 11
Cisco ISE / ISE-PIC	3.3	3.3 Patch 12
Cisco ISE / ISE-PIC	3.4	3.4 Patch 7
Cisco ISE / ISE-PIC	3.5	3.5 Patch 4

Ist ein sofortiges Patchen nicht möglich, empfiehlt Cisco, den Datenverkehr zum betroffenen Gerät einzuschränken, indem der Management- und Control-Plane-Verkehr begrenzt wird. Der Hersteller stellt zudem eine Anleitung zur Reaktion auf Sicherheitsvorfälle bereit, um eine mögliche Kompromittierung zu erkennen. Der OPENVAS ENTERPRISE FEED enthält eine paketbasierte Erkennung für CVE-2026-76460 sowie eine umfassende Schwachstellenerkennung für Cisco-Produkte, einschließlich aller neuen CVEs, die ISE betreffen.

CVE-2026-76461: Cisco Secure Email Gateway aktiv ausgenutzt für Remotecodeausführung (RCE) mit Root-Rechten

CVSS 9,8 · KritischEPSS 2,0 % (80.)Aktiv ausgenutztIn der CISA-KEV

CVE-2026-76461 (CVSS 9,8) ist eine SQL-Injection-Schwachstelle [CWE-89] in der E-Mail-Parsing-Logik der Cisco AsyncOS Software für Cisco Secure Email Gateway. Die Schwachstelle gilt als aktiv ausgenutzt und wurde in die KEV-Liste der CISA aufgenommen. Cisco zufolge kann ein nicht authentifizierter Angreifer aus der Ferne durch das Senden einer präparierten E-Mail mit schädlichen SQL-Anweisungen an ein betroffenes Gerät eine Remotecodeausführung (RCE) mit Root-Rechten erzielen.

Betroffene Versionen und Gegenmaßnahmen für CVE-2026-76461

Produkt	Betroffene Version	Behobene Version
Cisco Secure Email Gateway	15.5 und früher	15.5.5-014
Cisco Secure Email Gateway	16.0	16.0.4-302
Cisco Secure Email Gateway	16.5	16.5.0-780

Der OPENVAS ENTERPRISE FEED enthält eine paketbasierte Erkennung für CVE-2026-76461 in Cisco Secure Email Gateway. Cisco empfiehlt, Protokolle auf verdächtige Einträge zu prüfen, unter anderem auf das SQL-Befehlsmuster COPY…TO PROGRAM. Eine Kompromittierung birgt bei Cluster-Bereitstellungen ein zusätzliches Risiko für laterale Bewegungen, da bei der Ausnutzung private SSH-Schlüssel offengelegt werden können, die zwischen Cluster-Mitgliedern verwendet werden.

Weitere Gefährdung der Cisco Secure Email Plattform

In zwei separaten Advisories veröffentlichte Cisco sieben weitere CVE-IDs, darunter fünf CVE-Cluster, die verschiedene Komponenten der Secure-Email-Produktfamilie betreffen [1][2]. Vier der CVE-IDs sind als kritisch eingestuft, was bedeutet, dass sie ohne Authentifizierung aus der Ferne ausnutzbar sind. Der OPENVAS ENTERPRISE FEED enthält eine paketbasierte Erkennung für das aktiv ausgenutzte CVE-2026-76461 sowie für alle weiteren neuen Schwachstellen in Cisco Secure Email Gateway [1][2].

CVE-Cluster mit kritischem Schweregrad in Cisco-Secure-Firewall-Produkten

Cisco veröffentlichte zudem 29 CVE-IDs für Secure Firewall Adaptive Security Appliance (ASA), Secure Firewall Threat Defense (FTD) und Secure Firewall Management Center (FMC). Acht der IDs sind als kritisch eingestuft, was bedeutet, dass sie nicht authentifizierte, aus der Ferne ausnutzbare Sicherheitsprobleme umfassen. Bisher wurde keine davon als aktiv ausgenutzt eingestuft.

In einem Blogbeitrag veröffentlichte Cisco zudem Details zu aktiven Kampagnen gegen CVE-2026-20079 (CVSS 10, EPSS ≥ 99. Perzentil) und CVE-2026-20316 (CVSS 5,3, EPSS ≥ 96. Perzentil), die das FMC betreffen. Beide stehen auf der KEV-Liste der CISA [4][5]. Letzteres, CVE-2026-20316, wurde im Juli aufgenommen und steht bekanntermaßen im Zusammenhang mit Ransomware-Angriffen, während CVE-2026-20079 im September 2026 neu in die KEV-Liste aufgenommen wurde.

Der OPENVAS ENTERPRISE FEED enthält separate paketbasierte Erkennungstests für alle neuen CVEs, die ASA [1], FTD [2] und FMC [3] betreffen, und deckt das aktiv ausgenutzte CVE-2026-20079 [4][5] sowie CVE-2026-20316 [6] seit ihrer Veröffentlichung ab.

CVE-Cluster mit kritischem Schweregrad in Cisco IOS XR

Sieben CVE-Cluster wurden im Rahmen von Ciscos September-Sicherheitshärtungs-Release für IOS XR Software veröffentlicht. Zwei der sieben Cluster sind als kritisch eingestuft, was bedeutet, dass sie nicht authentifizierte, aus der Ferne ausnutzbare Schwachstellen umfassen. Bisher wurde keiner davon als aktiv ausgenutzt eingestuft.

Alle IOS-XR-Software-Releases, einschließlich IOS XR7 (LNT), sind unabhängig von der Gerätekonfiguration betroffen. Fixes stehen in IOS XR 26.2.2 und 26.3.1 zur Verfügung. Es gibt keine Workarounds. Ältere unterstützte Versionsreihen, darunter 7.3, 7.9, 7.10, 7.11, 24.1–24.4, 25.1–25.4, 26.1 und 26.2, müssen zunächst auf ein Maintenance-Release aktualisiert und anschließend mit den entsprechenden Software Maintenance Updates (SMUs) gepatcht werden. Weitere Details finden Sie im Advisory von Cisco zu diesem Release. Der OPENVAS ENTERPRISE FEED enthält einen Remote-Banner-Check, der alle CVE-Cluster aus dem September-Sicherheitshärtungs-Release für IOS XR Software abdeckt.

CVE-Cluster mit kritischem Schweregrad im Cisco Nexus Dashboard

Cisco veröffentlichte sechs CVE-Cluster im Rahmen seines Sicherheitshärtungs-Release für Nexus Dashboard. Drei der sechs Cluster sind als kritisch eingestuft, was bedeutet, dass sie nicht authentifizierte, aus der Ferne ausnutzbare Sicherheitsprobleme umfassen. Bisher wurde keiner davon als aktiv ausgenutzt eingestuft. Es gibt keine Workarounds zur Entschärfung der Schwachstellen, und alle Konfigurationen von Cisco Nexus Dashboard sind betroffen.

Produkt	Betroffene Version	Behobene Version
Cisco Nexus Dashboard	4.2 und früher	Migration auf eine behobene Version
Cisco Nexus Dashboard	4.3	4.3.1.175

Der OPENVAS ENTERPRISE FEED enthält einen Remote-Banner-Check für alle CVE-Cluster aus dem Nexus Dashboard Hardening Release. Nutzende sollten so schnell wie möglich auf eine behobene Version aktualisieren.

Zusammenfassung

Der September 2026 markiert für Cisco den bislang größten koordinierten Zeitraum für Schwachstellenveröffentlichungen, mit 97 neuen CVE-IDs für zentrale Sicherheits- und Netzwerkprodukte. Zweiunddreißig davon sind Umbrella-CVEs, sodass die tatsächliche Anzahl der zugrunde liegenden Softwarefehler unbekannt ist. Bislang wurden in diesem Monat Schwachstellen in Cisco ISE, Secure Email Gateway und FMC in die KEV-Liste der CISA aufgenommen, was auf aktive Ausnutzung hinweist. Nutzende sollten ihre IT-Netzwerke und Endpunkte regelmäßig auf Schwachstellen scannen, um neu auftretende Sicherheitsrisiken zu erkennen und Gegenmaßnahmen zu priorisieren.

 

CVE-2026-82329, CVE-2026-42018 und CVE-2026-42016, die alle JFrog Artifactory betreffen, wurden im September 2026 in CISAs Katalog der aktiv ausgenutzten Schwachstellen (Known Exploited Vulnerabilities, KEV) aufgenommen [1][2][3]. Artifactory dient als zentrales Repository für Software-Build-Artefakte, Binärdateien, Pakete, Container, Dateien, Releases und zunehmend auch KI/ML-Artefakte. Eine Kompromittierung von Artifactory könnte einem Angreifer erlauben, sensible Artefakte und Zugangsdaten zu stehlen, vertrauenswürdige Pakete und Container-Images zu manipulieren oder zu ersetzen und das Repository zu nutzen, um Schadcode über nachgelagerte Build- und Deployment-Pipelines zu verbreiten. Für die aktiv ausgenutzten CVEs wurden zahlreiche nationale CERT-Advisories veröffentlicht [1][2][3][4][5][6][7][8][9][10][11][12][13][14][15].

Risikobewertung der jüngsten Angriffe auf JFrog Artifactory

JFrog Artifactory erschien im August 2026 erstmals in CISAs KEV-Katalog. Der Greenbone-Blog berichtete bereits über die einzige andere KEV-CVE, die JFrog Artifactory betrifft, im August Threat Report: The Vulnpocalypse Hits Full Force. Die neuen Angriffe deuten auf einen verstärkten Fokus auf Artifactory hin und werden vermutlich durch KI-gestützte Exploit-Entwicklung unterstützt.

Am 1. September berichtete watchTowr über die aktive Ausnutzung von CVE-2026-82329, gefolgt von Fastly am 3. September. Eine Angriffskampagne, die CVE-2026-42018 und CVE-2026-42016 verkettet, um selbst gehostete Instanzen anzugreifen, wurde von Wiz Research gemeldet. In Kombination erlaubt der Angriffsablauf für CVE-2026-42018 und CVE-2026-42016 eine böswillige, nicht authentifizierte HTTP-Anfrage, die ein Zugriffstoken mit Admin-Rechten zurückgibt. Wiz beobachtete zudem die in freier Wildbahn erfolgte Ausnutzung von CVE-2026-82329.

Mehrere detaillierte technische Analysen mit Proof-of-Concept-(PoC)-Exploit-Anleitungen sind online verfügbar [1][2][3], und PoC-Exploit-Toolkits sind auf GitHub verfügbar [4][5], was das Risiko weiterer Angriffskampagnen erhöht.

Technische Zusammenfassung der aktiv ausgenutzten JFrog-Artifactory-CVEs

Die neuen, aktiv ausgenutzten Schwachstellen werden im Folgenden beschrieben:

Die drei aktiv ausgenutzten JFrog-Artifactory-CVEs, jeweils mit CVSS-Schweregrad und EPSS-Ausnutzungswahrscheinlichkeit dargestellt

CVE-2026-82329

CVSS 9,8 · Kritisch EPSS 7,7 % (94.)

Eine Authentifizierungsschwäche [CWE-287] erlaubt es einem nicht authentifizierten Angreifer mit Netzwerkzugriff, administrative Rechte zu erlangen. Die Schwachstelle ist in der Standardkonfiguration des Produkts ausnutzbar. Sie wurde am 28. August offengelegt, und der OPENVAS ENTERPRISE FEED erhielt kurz nach der Offenlegung der CVE einen Remote-Banner-Check.

CVE-2026-42016

CVSS 8,8 · Hoch EPSS 0,3 % (18.)

Eine fehlerhafte Autorisierung [CWE-863] ermöglicht eine Rechteausweitung. Ursache ist eine Prüfung, die zwar Signatur und Aussteller eines Tokens validiert, nicht aber dessen Berechtigungsumfang. CVE-2026-42016 wurde Ende Juli 2026 veröffentlicht, und der OPENVAS ENTERPRISE FEED erhielt kurz nach der Offenlegung einen Remote-Banner-Check.

CVE-2026-42018

CVSS 7,5 · Hoch EPSS 0,3 % (28.)

Eine fehlerhafte Authentifizierung [CWE-287] gibt einem nicht authentifizierten Aufrufer ein anonymes Benutzertoken zurück, selbst wenn der anonyme Zugriff deaktiviert ist. Die Ausnutzung kann einem Angreifer Zugriff auf sensible Ressourcen verschaffen. CVE-2026-42018 wurde am 12. August 2026 veröffentlicht, und der OPENVAS ENTERPRISE FEED erhielt seit der Offenlegung einen Remote-Banner-Check.

Gegenmaßnahmen für die aktiv ausgenutzten JFrog-Artifactory-CVEs

Die betroffenen Versionen für jede der neuen, aktiv ausgenutzten CVEs sind unten aufgeführt:

CVE	Betroffene Versionen	Behobene Version
CVE-2026-82329	7.161.0 vor 7.161.20 7.146.0 vor 7.146.38 7.133.0 vor 7.133.29 7.125.0 vor 7.125.20 7.117.0 vor 7.117.28 7.111.4 vor 7.111.21	7.161.20 7.146.38 7.133.29 7.125.20 7.117.28 7.111.21
CVE-2026-42018	< 7.111.20 7.117.0 vor 7.117.27 7.125.0 vor 7.125.19 7.133.0 vor 7.133.28 7.146.0 vor 7.146.8	7.111.20 7.117.27 7.125.19 7.133.28 7.146.8
CVE-2026-42016	< 7.133.11	7.133.11

JFrog unterstützt Minor-Versionen von selbst gehosteten Artifactory-Installationen nur 18 Monate nach ihrem Veröffentlichungsdatum. Die Minor-Versionen 7.111.x für selbst gehostete Instanzen erreichen im Oktober 2026 das Ende ihres Lebenszyklus (EOL). Vollständige Listen der behobenen Versionen finden sich oben sowie in jedem OPENVAS SCAN-Erkennungsergebnis und in den Sicherheitshinweisen des Herstellers. Nutzende sollten ihre Gefährdung sorgfältig prüfen und auf die neueste 7.x-Version mit einem angemessenen Support-Lebenszyklus aktualisieren.

Ist ein sofortiges Upgrade nicht möglich, empfiehlt JFrog als Workaround für CVE-2026-82329, unter shared.security in der Datei system.yaml einen starken, zufällig generierten Wert für additionalJoinKeys zu konfigurieren (bzw. bei containerisierten/Helm-Deployments über JF_SHARED_SECURITY_ADDITIONALJOINKEYS) und den Access-Service neu zu starten, damit nur vertrauenswürdige Join-Keys für die Dienstregistrierung akzeptiert werden. Für CVE-2026-42018 oder CVE-2026-42016 bietet der Hersteller keine Workaround-Maßnahmen an.

Zusammenfassung

Drei Schwachstellen in JFrog Artifactory wurden im September nach bestätigter aktiver Ausnutzung in CISAs KEV-Katalog aufgenommen. Die Schwachstellen stellen ein erhebliches Risiko für Software-Lieferketten und nachgelagerte Build-Umgebungen dar. Öffentlich verfügbare technische Analysen und Exploit-Tools erhöhen die Gefährdung zusätzlich. Organisationen sollten betroffene Artifactory-Instanzen identifizieren, auf unterstützte, behobene Versionen aktualisieren und, sofern ein sofortiges Patchen nicht möglich ist, den von JFrog dokumentierten Workaround für CVE-2026-82329 anwenden.

 

Der sogenannte Vulnpocalypse ist nun in vollem Gange. Dieser Threat Report für August 2026 kratzt nur an der Oberfläche der neuen, hochriskanten Schwachstellen, die im August 2026 aufgetaucht sind. Um zu sehen, wie die branchenführende Schwachstellenerkennung von Greenbone Ihre IT-Sicherheitsabläufe unterstützen kann, besuchen Sie unser SecInfo-Portal und werfen Sie einen Blick auf unser vollständiges Erkennungsportfolio.

Der August bestätigte ein inzwischen allzu vertrautes Muster: hochriskante Schwachstellen in weitverbreiteter Unternehmenssoftware bewegen sich rasant von der Offenlegung zur aktiven Ausnutzung. Die folgenden Abschnitte beleuchten die Schwachstellen und zugehörigen Angriffskampagnen, die sofortige Aufmerksamkeit erfordern.

Microsoft: Neue aktiv ausgenutzte CVEs, Spionage, Ransomware und PoCs

Microsofts Patch-Veröffentlichung im August 2026 war erneut eine umfangreiche Offenlegung. Von 457 neuen CVEs wurden 36 mit einem kritischen CVSS-Score bewertet. 80 erhielten einen EPSS-Score über dem 50. Perzentil und 16 über dem 80. Perzentil. Microsoft stufte 34 der CVEs als „Exploitation More Likely“ ein. Bereits Anfang August berichtete der Greenbone-Blog über eine Spionagekampagne, die CVE-2026-68820 (CVSS 7,0, EPSS ≥ 93. Perzentil) ausnutzt, welche den Windows Ancillary Function Driver für WinSock betrifft.

Die neu offengelegte CVE-2026-33824, die die Windows-IKE-Erweiterung betrifft, wurde in CISAs KEV-Liste aufgenommen, ebenso wie CVE-2026-55040, die SharePoint betrifft und bereits im Juli offengelegt wurde. Zusätzlich zu diesen neuen CVEs wurde auch eine ältere Schwachstelle, CVE-2019-1068, die Microsoft SQL Server betrifft, in CISAs KEV-Liste aufgenommen. CISA ordnete zudem CVE-2026-45659, einer Deserialisierungsschwachstelle [CWE-502] in Microsoft SharePoint Server, sowie CVE-2025-60710, einer Windows-Link-Following-Schwachstelle [CWE-59] zur Rechteausweitung, einen Ransomware-Bezug zu [1][2].

Microsofts Auseinandersetzung mit Zero-Day-Offenlegungen durch externe Sicherheitsforschende setzte sich auch im August 2026 fort [1][2][3]. Weitere hochriskante Bedrohungen für Microsoft-Umgebungen, die im August 2026 auftraten, umfassen:

• CVE-2026-54121 (CVSS 8,8, EPSS ≥ 77. Perzentil): Die als „Certighost“ bezeichnete Schwachstelle beruht auf unzureichender Autorisierung [CWE-285] in den Active Directory Certificate Services (AD CS). Ein authentifizierter Angreifer kann ein Zertifikat von AD CS erhalten und anschließend über Kerberos Rechte ausweiten. Detaillierte technische Analysen [4][5] sowie ein PoC-Exploit [6] sind öffentlich verfügbar, was das Angriffsrisiko erhöht.
• CVE-2026-70329 (CVSS 8,8, EPSS ≥ 50. Perzentil): Ein Integer-Overflow [CWE-190] in Microsoft Office Outlook ermöglicht einem Angreifer die Codeausführung über das Netzwerk mittels Social Engineering; das Opfer muss dazu eine bösartige Office-Datei öffnen.
• CVE-2026-42897 (CVSS 6,1, EPSS ≥ 99. Perzentil): Eine XSS-Schwachstelle in Outlook Web Access (OWA) wurde genutzt, um Organisationen aus den Bereichen Regierung, Telekommunikation, Finanzwesen, Hotellerie und Luft- und Raumfahrt anzugreifen [7]. Das Öffnen einer bösartigen E-Mail in OWA genügte, um vom Angreifer kontrollierten JavaScript-Code auszuführen. Die Angreifer setzten OWAReaper ein, ein im Browser residierendes JavaScript-Implantat, um Zugangsdaten und OAuth-Token zu stehlen, dauerhaften Zugriff auf den Computer des Opfers aufrechtzuerhalten, beliebige Befehle auszuführen und Daten über HTTPS und DNS-Tunneling zu exfiltrieren.

Die vier weiteren hochriskanten Microsoft-CVEs aus August 2026, jeweils mit ihrer CVSS-Schweregradstufe und ihrem EPSS-Ausnutzungswahrscheinlichkeitswert

CVE-2026-68820

CVSS 7,0 · Hoch EPSS 6,2 % (93.)

Betrifft den Windows Ancillary Function Driver für WinSock; wurde in einer Spionagekampagne ausgenutzt, die Social Engineering mit dieser Windows-Rechteausweitungsschwachstelle kombiniert.

CVE-2026-54121

CVSS 8,8 · Hoch EPSS 1,8 % (77.)

Als „Certighost“ bezeichnet — eine Schwachstelle durch unzureichende Autorisierung [CWE-285] in den Active Directory Certificate Services (AD CS), die es einem authentifizierten Angreifer ermöglicht, ein Zertifikat zu erhalten und über Kerberos Rechte auszuweiten.

CVE-2026-70329

CVSS 8,8 · Hoch EPSS 0,7 % (50.)

Ein Integer-Overflow [CWE-190] in Microsoft Office Outlook ermöglicht einem Angreifer die Codeausführung über eine bösartige, per Social Engineering geöffnete Office-Datei.

CVE-2026-42897

CVSS 6,1 · Mittel EPSS 71,2 % (99.)

Eine XSS-Schwachstelle in Outlook Web Access ermöglichte Angreifern die Ausführung von JavaScript über eine einzelne bösartige E-Mail und den Einsatz des OWAReaper-Implantats zum Diebstahl von Zugangsdaten und OAuth-Token.

Der OPENVAS ENTERPRISE FEED von Greenbone bietet regelmäßige Schwachstellenerkennung für zahlreiche Microsoft-Produkte, einschließlich aller oben genannten CVEs.

Neue Cisco-Risiken: Kritische Schwachstellen, öffentliche PoCs und neue Angriffe

Cisco veröffentlichte im August 2026 mehrere hochriskante Schwachstellen-Cluster in seinen Produkten für Firewalls, Netzwerkmanagement, Endpunktsicherheit, Server-Management und Workload-Sicherheit. Der Hersteller entschied sich, die neuen Schwachstellen nach Common Weakness Enumeration (CWE)-Klasse zu gruppieren und mehrere Schwachstellen unter einer einzigen CVE-Kennung zu veröffentlichen. Diese Praxis wurde vom CVE-Programm kürzlich offiziell missbilligt.

Der OPENVAS ENTERPRISE FEED von Greenbone bietet regelmäßige Erkennungsprüfungen für Schwachstellen in Cisco-Produkten. Hier sind einige der bedeutendsten Risiken für Cisco-Produkte aus August 2026:

CVE-2026-20349: Secure Firewall ASA/FTD: Aktiv ausgenutzt für DoS

CVSS 8,6 · HochEPSS 2,2 % (81.)Aktiv ausgenutztIn CISA KEV

CVE-2026-20349 (CVSS 8,6, EPSS ≥ 81. Perzentil) betrifft den Remote Access SSL VPN-Dienst in Cisco Secure Firewall Adaptive Security Appliance (ASA) und Secure Firewall Threat Defense (FTD). Ein nicht authentifizierter Remote-Angreifer kann über eine präparierte HTTP-Anfrage einen Denial-of-Service (DoS)-Zustand auf betroffenen Geräten herbeiführen. Für die Ausnutzung müssen IKEv2 Remote Access VPN mit Client Services, SSL VPN oder, bei FTD, Zero Trust Network Access aktiviert sein.

Die CVE wurde in CISAs KEV-Liste aufgenommen, was auf aktive Ausnutzung hinweist. Laut Cisco gibt es keine Workarounds, sodass verfügbare Hotfixes die primäre Abhilfemaßnahme darstellen. Weitere Informationen finden Sie im offiziellen Advisory.

Integrated Management Controller: Authentifizierte Root-Level-RCE mit öffentlichem Exploit

CVSS 8,8 · HochEPSS 5,7 % (93.)Keine bekannte AusnutzungÖffentlicher PoC

CVE-2026-20200 (CVSS 8,8, EPSS ≥ 93. Perzentil) ist eine Argument-Injection-Schwachstelle in der Weboberfläche des Cisco Integrated Management Controller (IMC). Ein Angreifer mit geringen Rechten kann Parameter manipulieren, die IMC beim Abrufen eines SSH-Public-Keys verwendet, zusätzliche curl-Argumente einschleusen und letztlich beliebige Befehle mit Root-Rechten ausführen.

Mehrere technische Erläuterungen [1][2] sowie ein öffentliches PoC-Exploit-Toolkit sind verfügbar [3]. Der PoC unterstützt das beliebige Hoch- und Herunterladen von Dateien sowie die Ausführung von Befehlen über eine Reverse Shell. Aktive Ausnutzung wurde bisher nicht gemeldet. Das Risiko wird zusätzlich dadurch verstärkt, dass IMC unterhalb des Host-Betriebssystems arbeitet und mit Firmware, BIOS und Secure Boot interagieren kann.

Es sind keine Workarounds verfügbar. Weitere Informationen, einschließlich einer vollständigen Liste betroffener Produkte, finden Sie im offiziellen Advisory.

Sieben ClamAV-Schwachstellen: CVE-2026-20337 mit öffentlichem Exploit

Sieben ClamAV-Parsing-Schwachstellen betreffen den Secure Endpoint Connector und können es nicht authentifizierten Remote-Angreifern ermöglichen, bösartige ZIP-, PESpin-, GPT-, PDF-, Mach-O- oder XAR-Inhalte einzureichen, um den ClamAV-Prozess zum Absturz zu bringen. Cisco stuft die Auswirkung unter Windows höher ein, da ClamAV dort in einem privilegierten Sicherheitskontext ausgeführt wird, während die Connectors unter Linux und macOS mit geringeren Rechten laufen. Am bedeutsamsten: Cisco PSIRT bestätigt die Existenz eines öffentlichen PoC-Exploits für CVE-2026-20337 und CVE-2026-20338. Aktive Ausnutzung wurde bisher nicht gemeldet.

Catalyst SD-WAN: Mehrere kritische Schwachstellengruppen

Cisco hat fünf CVE-Gruppen behoben, die Catalyst SD-WAN in allen Konfigurationen betreffen. CVE-2026-20303 und CVE-2026-20304 (beide mit CVSS 9,9 bewertet) betreffen unzureichende Eingabevalidierung [CWE-20] beziehungsweise unzureichende Zugriffskontrolle [CWE-284]. CVE-2026-20310 (CVSS 9,1) betrifft eine fehlerhafte Link-Auflösung [CWE-59]. CVE-2026-20312 (CVSS 8,8) und CVE-2026-20313 (CVSS 7,7) betreffen die Klartextspeicherung sensibler Informationen [CWE-312] und eine unzureichende Validierung der Eingabemenge [CWE-1284].

Die fünf Cisco-Catalyst-SD-WAN-CVE-Gruppen aus August 2026, jeweils mit ihrer CVSS-Schweregradstufe und ihrem EPSS-Ausnutzungswahrscheinlichkeitswert

CVE-2026-20303

CVSS 9,9 · Kritisch EPSS 0,3 % (25.)

Unzureichende Eingabevalidierung [CWE-20] in Cisco Catalyst SD-WAN.

CVE-2026-20304

CVSS 9,9 · Kritisch EPSS 0,3 % (20.)

Unzureichende Zugriffskontrolle [CWE-284] in Cisco Catalyst SD-WAN.

CVE-2026-20310

CVSS 9,1 · Kritisch EPSS 0,4 % (34.)

Fehlerhafte Link-Auflösung [CWE-59] in Cisco Catalyst SD-WAN.

CVE-2026-20312

CVSS 8,8 · Hoch EPSS 0,3 % (18.)

Klartextspeicherung sensibler Informationen [CWE-312] in Cisco Catalyst SD-WAN.

CVE-2026-20313

CVSS 7,7 · Hoch EPSS 0,3 % (19.)

Unzureichende Validierung der Eingabemenge [CWE-1284] in Cisco Catalyst SD-WAN.

Es sind keine detaillierten technischen Informationen oder PoC-Exploits öffentlich verfügbar. Aktive Ausnutzung wurde bisher nicht gemeldet. Es sind keine Workarounds verfügbar. Weitere Informationen finden Sie im offiziellen Advisory.

CVE-2026-20272: Nicht authentifizierte Injection in IOS XE

CVSS 9,8 · KritischEPSS 0,4 % (34.)Keine bekannte Ausnutzung

Cisco veröffentlichte sieben Schwachstellengruppen, die IOS XE im autonomen Modus oder im Controller-Modus in allen Konfigurationen betreffen. Hervorzuheben ist CVE-2026-20272 (CVSS 9,8), eine Gruppe, die durch unzureichende Neutralisierung spezieller Elemente [CWE-74] verursacht wird und mindestens einen nicht authentifizierten, über das Netzwerk ausnutzbaren Punkt enthält. Es sind keine detaillierten technischen Informationen oder PoC-Exploits öffentlich verfügbar. Aktive Ausnutzung wurde bisher nicht gemeldet. Es sind keine Workarounds verfügbar. Weitere Informationen finden Sie im offiziellen Advisory.

CVE-2026-72898: CVSS-10-Schwachstelle in Metabase aktiv ausgenutzt

CVSS 10 · KritischEPSS 82,3 % (100.)Aktiv ausgenutztIn CISA KEVÖffentlicher PoC

CVE-2026-72898 (CVSS 10, EPSS = 100. Perzentil) ist eine SQL-Injection-Schwachstelle [CWE-89], die es einem nicht authentifizierten Remote-Angreifer ermöglicht, über den /reset_password-Endpunkt beliebige SQL-Befehle einzuschleusen. Die Ausnutzung ermöglicht Administratorzugriff auf die verbundene Metabase-Instanz. CVE-2026-72898 wurde in CISAs KEV-Liste aufgenommen. Mehrere detaillierte technische Analysen [1][2][3] sowie PoC-Exploits [4][5][6] sind öffentlich verfügbar. Das Sicherheitsunternehmen VeraniX identifizierte bis zum 10. August 15 Opfer. Die Liste dürfte inzwischen jedoch deutlich gewachsen sein.

Der OPENVAS ENTERPRISE FEED von Greenbone enthält eine Remote-Banner-Prüfung für CVE-2026-72898 und weitere CVEs, die im jüngsten Patch für Metabase enthalten sind. Der Hersteller empfiehlt, den Zugriff auf den Endpunkt /api/session/reset_password als vorübergehende Abhilfemaßnahme zu blockieren, bis ein Update möglich ist. Eine Tabelle mit den betroffenen Versionen finden Sie unten; Nutzende sollten dringend auf eine gepatchte Version aktualisieren.

Edition	Release-Branch	Betroffene Versionen	Gepatchte Version
Metabase OSS	0.58.x	Vor 0.58.24	0.58.24 oder höher
Metabase OSS	0.59.x	Vor 0.59.21	0.59.21 oder höher
Metabase OSS	0.60.x	Vor 0.60.17	0.60.17 oder höher
Metabase OSS	0.61.x	Vor 0.61.11	0.61.11 oder höher
Metabase OSS	0.62.x	Vor 0.62.9	0.62.9 oder höher
Metabase OSS	0.63.x	Vor 0.63.5	0.63.5 oder höher
Metabase Enterprise	1.58.x	Vor 1.58.24	1.58.24 oder höher
Metabase Enterprise	1.59.x	Vor 1.59.21	1.59.21 oder höher
Metabase Enterprise	1.60.x	Vor 1.60.17	1.60.17 oder höher
Metabase Enterprise	1.61.x	Vor 1.61.11	1.61.11 oder höher
Metabase Enterprise	1.62.x	Vor 1.62.9	1.62.9 oder höher
Metabase Enterprise	1.63.x	Vor 1.63.5	1.63.5 oder höher

CVE-2026-60004: Gitea erneut aktiv ausgenutzt

CVSS 9,8 · KritischEPSS 86,8 % (100.)Aktiv ausgenutztIn CISA KEVÖffentlicher PoC

Im Juli berichtete unser Blog über die aktive Ausnutzung von Gitea. Seitdem wurde CVE-2026-60004 (CVSS 9,8, EPSS ≥ 100. Perzentil) offengelegt und in CISAs KEV-Liste aufgenommen. Die neue Schwachstelle betrifft Gitea vor Version 1.27.1. Die Ausnutzung ermöglicht RCE über die diffpatch-API während der Installation eines Git-Hooks. Gitea sowie ein Drittanbieter haben PoC-Exploits veröffentlicht [1][2], was das Risiko erhöht.

Der OPENVAS ENTERPRISE FEED enthält eine Remote-Banner-Prüfung für CVE-2026-60004. Nutzende sollten umgehend auf Gitea Version 1.27.1 aktualisieren.

CVE-2026-73570: Neue aktiv ausgenutzte Zimbra-Schwachstelle

CVSS 8,9 · HochEPSS 32,4 % (98.)Aktiv ausgenutztIn CISA KEV

CVE-2026-73570 (CVSS 8,9, EPSS ≥ 98. Perzentil), die Zimbra Collaboration Suite (ZCS) betrifft, wurde Mitte August veröffentlicht und rasch in CISAs KEV-Liste aufgenommen. Insgesamt wurden im Release von ZCS Version 10.1.20 neun Sicherheitsprobleme behoben. Ursache ist eine unzureichende Bereinigung nicht vertrauenswürdiger Eingaben bei der Verarbeitung von SNMP-Benachrichtigungen. Die Ausnutzung von CVE-2026-73570 ermöglicht einem nicht authentifizierten Angreifer RCE als ZCS-Prozess über speziell präparierte SMTP-Anfragen, sofern das optionale zimbra-snmp-Paket installiert und SNMP-Benachrichtigungen aktiviert sind.

Der OPENVAS ENTERPRISE FEED enthält eine Remote-Banner-Prüfung, die alle aktuellen Sicherheitsprobleme in ZCS abdeckt. Nutzende sollten so schnell wie möglich auf Version 10.1.20 aktualisieren.

CVE-2026-34486: Apache Tomcat aktiv ausgenutzt

CVSS 7,5 · HochEPSS 98,6 % (100.)Aktiv ausgenutztIn CISA KEVÖffentlicher PoC

CVE-2026-34486 (CVSS 7,5, EPSS = 100. Perzentil), im April offengelegt, wurde Anfang August in CISAs KEV-Liste aufgenommen. Eine detaillierte technische Analyse [1] sowie öffentlich verfügbare Proof-of-Concept-Exploit-Kits [2][3] erhöhen das Risiko fortlaufender Angriffe zusätzlich.

Ursache ist eine fehlende Verschlüsselung sensibler Daten [CWE-311], die die Umgehung der EncryptInterceptor-Komponente des Tribes-Clustering-Subsystems ermöglicht. EncryptInterceptor dient der Ver- und Entschlüsselung der Cluster-Kommunikation zwischen Tomcat-Knoten mittels eines Pre-Shared Key. CVE-2026-34486 wurde durch einen fehlerhaften Patch für CVE-2026-29146 eingeführt und ermöglicht es, dass der Cluster-Datenverkehr die Verschlüsselung umgeht, wodurch die Kommunikation zwischen den Knoten im Klartext erfolgt.

Diese Schwachstelle betrifft Apache Tomcat in den Versionen 11.0.20, 10.1.53 und 9.0.116. Tomcat-Nutzende sollten auf Version 11.0.21, 10.1.54 oder 9.0.117 aktualisieren. Der OPENVAS ENTERPRISE FEED enthält zahlreiche Erkennungsprüfungen für CVE-2026-34486 über verschiedene Linux-Distributionen hinweg, allgemeine Erkennungstests für Tomcat-Server unter Windows und Linux sowie für weitere Produkte, die Tomcat mitliefern, darunter: diverse Oracle- und Dell-Produkte, Atlassian Jira, Apache OFBiz und IBM Storage Protect Plus.

CVE-2026-9198: IBM Langflow aktiv ausgenutzt

CVSS 9,8 · KritischEPSS 57,0 % (99.)Aktiv ausgenutztIn CISA KEVÖffentlicher PoC

CVE-2026-9198 (CVSS 9,8, EPSS ≥ 99. Perzentil) ermöglicht es nicht authentifizierten Angreifern, die API-Endpunkte /api/v1/auto_login und /api/v1/validate/code zu verketten, um RCE auf Standard-Langflow-Installationen zu erreichen. Ein Angreifer kann diese beiden Schwachstellen verketten, um ein SUPERUSER-Token zu erhalten und anschließend bösartigen Python-Code zur Ausführung einzureichen. Die Ausnutzung kann zu einer vollständigen Kompromittierung des Hosts führen.

Insgesamt wurden 20 CVEs behoben, sechs davon ohne Authentifizierung ausnutzbar. Bislang wurde jedoch nur CVE-2026-9198 in CISAs KEV-Liste aufgenommen. Ein öffentlicher PoC-Exploit ist verfügbar, was das Risiko fortlaufender Exploit-Kampagnen zusätzlich erhöht. Langflow erschien 2026 bereits fünfmal auf der CISA-KEV-Liste. Die Schwachstelle betrifft Langflow 1.0.0 bis 1.10.0. Der OPENVAS ENTERPRISE FEED von Greenbone enthält eine Remote-Banner-Versionsprüfung zur Erkennung betroffener Instanzen. Nutzende sollten umgehend auf Langflow Version 1.10.1 oder höher aktualisieren.

CVE-2026-66384: JFrog Artifactory aktiv ausgenutzt

CVSS 5,3 · MittelEPSS 0,6 % (45.)Aktiv ausgenutztIn CISA KEV

CVE-2026-66384 (CVSS 5,3) ermöglicht es einem authentifizierten Angreifer, Daten außerhalb des vorgesehenen Docker-Cache-Pfads in betroffenen JFrog-Artifactory-Versionen zu schreiben. Ursache ist eine unzureichende Beschränkung von Pfadnamen [CWE-22]. Die Schwachstelle wird aktiv ausgenutzt und wurde in CISAs KEV-Katalog aufgenommen.

Ein Forschungsagent von OpenAI nutzte die Schwachstelle im Rahmen einer internen Evaluierung erfolgreich aus und vergiftete den Cache von Artifactory mit vom Angreifer kontrolliertem Inhalt. Das vergiftete Image schuf einen potenziellen Weg zur beliebigen Codeausführung, falls es später abgerufen und ausgeführt worden wäre. Laut Untersuchung von OpenAI, die eine vollständige technische Beschreibung von CVE-2026-66384 enthält, gelangte das vergiftete Image nicht in Umlauf. Die öffentliche Threat-Intelligence-Plattform Vulnerability Lookup von CIRCL.lu weist darauf hin, dass möglicherweise ein PoC-Exploit auf einem öffentlichen Telegram-Kanal verfügbar ist.

Betroffen sind JFrog Artifactory Version 7.146.0 bis 7.146.34 sowie 7.161.0 bis 7.161.15. Der OPENVAS ENTERPRISE FEED enthält eine Remote-Banner-Prüfung, mit der Nutzende betroffene Instanzen identifizieren können.

CVE-2026-71362: Lokale Rechteausweitungsschwachstelle in Adobe Commerce/Magento

CVSS 9,1 · KritischEPSS 25,1 % (98.)Öffentlicher PoC

CVE-2026-71362 (CVSS 9,1, EPSS ≥ 98. Perzentil) ist eine Schwachstelle durch fehlerhafte Autorisierung [CWE-863], die eine Rechteausweitung und erweiterten Zugriff auf sensible Ressourcen in Adobe-Commerce/Magento-Instanzen ermöglicht. Ein authentifizierter Angreifer mit geringen Rechten und einem registrierten Kundenkonto kann allein über das Feld der Nutzer-ID jedes andere Kundenkonto übernehmen. Ein Proof-of-Concept-Exploit ist öffentlich verfügbar. Adobes APSB26-92-Advisory offenbarte insgesamt sieben neue CVEs, fünf davon mit kritischem Schweregrad. Betroffene Produkte und Versionen sind unten aufgeführt.

Betroffenes Produkt	Betroffene Versionen	Behobene Versionen
Adobe Commerce	2.4.9-2026-jul und früher 2.4.8-2026-jul und früher 2.4.7-2026-jul und früher 2.4.6-2026-jul und früher 2.4.5-2026-jul und früher 2.4.4-2026-jul und früher	2.4.9-2026-aug 2.4.8-2026-aug 2.4.7-2026-aug 2.4.6-2026-aug 2.4.5-2026-aug 2.4.4-2026-aug
Adobe Commerce B2B	1.5.3-2026-jul und früher 1.5.2-2026-jul und früher 1.4.2-2026-jul und früher 1.3.4-2026-jul und früher 1.3.3-2026-jul und früher	1.5.3-2026-aug 1.5.2-2026-aug 1.4.2-2026-aug 1.3.4-2026-aug 1.3.3-2026-aug
Magento Open Source	2.4.9-2026-jul und früher 2.4.8-2026-jul und früher 2.4.7-2026-jul und früher 2.4.6-2026-jul und früher	2.4.9-2026-aug 2.4.8-2026-aug 2.4.7-2026-aug 2.4.6-2026-aug

Der OPENVAS ENTERPRISE FEED erkennt alle CVEs aus Adobes APSB26-92-Advisory mit einer Remote-Banner-Prüfung. Weitere Informationen finden Sie in den Release Notes des Herstellers [1][2][3][4].

CVE-2026-17106 (auch bekannt als CopyEscape): PoC verfügbar für beliebiges Überschreiben von Host-Dateien vom Container aus in moby/go-archive

CVSS 7,1 · HochEPSS 0,3 % (25.)Keine bekannte AusnutzungÖffentlicher PoC

CVE-2026-17106 (CVSS 7,1, EPSS 25. Perzentil), als CopyEscape bezeichnet, ermöglicht es einem bösartigen Container, die Isolation zu durchbrechen und Root-Codeausführung auf einem Docker-Host zu erreichen. Ursache ist eine Kombination aus einer Path-Traversal-Schwachstelle [CWE-35] und einer fehlerhaften Symlink-Auflösung [CWE-59]. Die Ausnutzung ermöglicht es einem trojanisierten Container, beliebige Dateien auf dem Host zu überschreiben, einschließlich root-eigener Binärdateien wie /usr/bin/runc auf dem Docker-Host, mittels Tar-Extraktion während docker cp. Obwohl keine aktive Ausnutzung bestätigt wurde, sind mehrere detaillierte technische Berichte [1][2][3][4] sowie funktionsfähige öffentliche PoC-Exploits [1][2][3] verfügbar.

CVE-2026-17106 betrifft die Tar-Extraktionsroutinen von moby/go-archive in den folgenden Docker-Produkten:

Betroffenes Produkt	Betroffene Versionen	Behobene Version
moby/go-archive	< 0.3.0	0.3.0
Docker Engine	< 29.7.0	29.7.0
Docker CLI	< 29.7.0	29.7.0
Docker Desktop	< 4.86.0	4.86.0
Docker Compose	< 5.4.0	5.4.0
Docker Sandboxes	< 0.38.0	0.38.0

Der OPENVAS ENTERPRISE FEED enthält eine Registry-Erkennung für Docker Desktop unter Windows, eine Remote-Banner-Prüfung für Docker Engine sowie eine Linux-Paketerkennung für einzelne Distributionen, sobald entsprechende Sicherheitshinweise veröffentlicht werden.

CVE-2026-53413: Zoom verschafft jedem Meeting-Teilnehmenden Remote Code Execution

CVSS 8,3 · HochEPSS 5,6 % (92.)Keine bekannte Ausnutzung

CVE-2026-53413 (CVSS 8,3, EPSS ≥ 92. Perzentil) ermöglicht es einem an einem Zoom-Meeting teilnehmenden Angreifer, ohne jegliche Nutzerinteraktion RCE auf allen Meeting-Teilnehmenden über sämtliche native Clients hinweg zu erreichen. Die Ausnutzung ermöglicht Codeausführung mit den Berechtigungen der Zoom-Anwendung. Ein technischer Bericht für macOS demonstriert den Aufruf von execvp() aus dem kompromittierten zoom.us-Prozess heraus, wodurch dieser Prozess durch Safari ersetzt wird.

Obwohl keine aktive Ausnutzung gemeldet wurde, weist CVE-2026-53413 einen erhöhten EPSS-Score auf, was auf ein hohes Risiko künftiger Ausnutzung hindeutet. Im Falle einer Weaponisierung entsteht durch die Schwachstelle ein Social-Engineering-Risiko, das es Angreifern ermöglicht, sich als potenzielle Kundschaft oder im Rahmen anderer geschäftlicher Kommunikation auszugeben, um beliebigen Code auf dem Computer des Opfers auszuführen. Nutzende sollten ihren Zoom-Patch-Stand überprüfen und alle Zoom-Clients auf automatische Updates der Stufe „Fast“ konfigurieren. Der OPENVAS ENTERPRISE FEED enthält eine paketbasierte Erkennung für Windows, Linux und macOS [1][2][3].

CVE-2023-49105: Drei Jahre alte ownCloud-Schwachstelle aktiv ausgenutzt

CVSS 9,8 · KritischEPSS 43,2 % (99.)Aktiv ausgenutztIn CISA KEVÖffentlicher PoC

CVE-2023-49105 (CVSS 9,8, EPSS ≥ 99. Perzentil), die ownCloud betrifft, wurde Ende 2023 veröffentlicht und im August in CISAs KEV-Liste aufgenommen. Ein philippinischer Nuklear-Marine-Auftragnehmer ist bislang das einzige öffentlich identifizierte Opfer. Mehrere detaillierte technische Berichte [1][2] sowie PoC-Exploits [3][4] sind für CVE-2023-49105 bereits seit Ende 2023 verfügbar.

ownCloud ist eine Open-Source-Plattform zur Dateisynchronisation, -freigabe und Zusammenarbeit. Das Produkt ähnelt Dropbox oder Google Drive und ist beliebt für selbst gehostete Dateifreigabe, wenn Datensouveränität wichtig ist.

Die Schwachstelle wird dadurch verursacht, dass vorsignierte URLs auch dann akzeptiert werden, wenn für den Dateibesitzer kein Signaturschlüssel konfiguriert ist. Für die Ausnutzung benötigt der Angreifer einen bestehenden Benutzernamen, für den kein Signaturschlüssel konfiguriert ist. Eine erfolgreiche Ausnutzung ermöglicht es einem Angreifer, ohne weitere Authentifizierung auf beliebige Dateien zuzugreifen, sie zu ändern oder zu löschen.

CVE-2023-49105 betrifft ownCloud-Versionen ab 10.6.0 bis vor 10.13.1. Der OPENVAS ENTERPRISE FEED enthält seit der Offenlegung von CVE-2023-49105 im November 2023 eine Remote-Banner-Prüfung dafür.

Weitere bemerkenswerte neu aufgetretene Bedrohungen aus August 2026

Hier sind einige weitere bemerkenswerte, hochriskante IT-Sicherheitsbedrohungen, die im August 2026 aufgetreten sind.

TrueConf erneut aktiv ausgenutzt zur Verbreitung von PhantomCore-Malware

CVE-2026-72529 (CVSS 9,8, EPSS ≥ 73. Perzentil) und CVE-2026-72530 (CVSS 9,0, EPSS ≥ 77. Perzentil), die TrueConf Server betreffen, können verkettet werden, um beliebige Skripte auszuführen, aus der isolierten Ausführungsumgebung auszubrechen und RCE auf Host-Ebene zu erreichen. Für die Ausnutzung ist keine Authentifizierung erforderlich. CISA nahm beide Schwachstellen im August in ihren KEV-Katalog auf [3][4]. Auch CVE-2026-3502 wurde in CISAs KEV-Liste im April 2026 aufgenommen, was auf eine anhaltende Bedrohung für die Nutzenden der Konferenzplattform hindeutet.

Die beiden verketteten TrueConf-Server-CVEs aus August 2026, jeweils mit ihrer CVSS-Schweregradstufe und ihrem EPSS-Ausnutzungswahrscheinlichkeitswert

CVE-2026-72529

CVSS 9,8 · Kritisch EPSS 1,6 % (73.)

Kann mit CVE-2026-72530 verkettet werden, um beliebige Skripte auszuführen, aus der isolierten Ausführungsumgebung auszubrechen und RCE auf Host-Ebene in TrueConf Server zu erreichen.

CVE-2026-72530

CVSS 9,0 · Kritisch EPSS 1,8 % (77.)

Verkettbar mit CVE-2026-72529 für RCE auf Host-Ebene in TrueConf Server; von der Head-Mare-APT-Gruppe zur Verbreitung von PhantomCore-Malware ausgenutzt.

Bei den jüngsten Angriffen beobachtete Kaspersky, dass die Head-Mare-APT-Gruppe diese Kette gegen russische Organisationen ausnutzte, um eine Webshell zu platzieren, TrueConf-Server-Datenbanken zu kompromittieren und bösartige Versionen der TrueConf-Client-Installer zu installieren. Die trojanisierten Installer lieferten PhantomCore-Malware an Konferenzteilnehmende aus. Der Hersteller empfiehlt Nutzenden, auf Version 5.5.2 oder höher zu aktualisieren.

PaperCut NG/MF aktiv ausgenutzt für nicht authentifizierte RCE

CVE-2026-81578 (CVSS 9,8) und CVE-2026-82078 (CVSS 9,1), die PaperCut NG/MF betreffen, können für nicht authentifizierte RCE verkettet werden. Die Angriffskette umfasst zunächst die Änderung der Systemkonfiguration und anschließend den Missbrauch eines unsicheren dynamischen Klassenladens, um beliebigen Java-Bytecode auszuführen. PaperCut bestätigte die aktive Ausnutzung bei seinen Kundinnen und Kunden. Zu den Post-Exploitation-Aktivitäten gehörte die Installation der Remote-Access-Software SimpleHelp und AnyDesk.

Die beiden verketteten PaperCut-NG/MF-CVEs aus August 2026, jeweils mit ihrer CVSS-Schweregradstufe und ihrem EPSS-Ausnutzungswahrscheinlichkeitswert

CVE-2026-81578

CVSS 9,8 · Kritisch EPSS 0,8 % (53.)

Verkettbar mit CVE-2026-82078 für nicht authentifizierte RCE in PaperCut NG/MF über unsicheres dynamisches Klassenladen; aktiv ausgenutzt zur Verbreitung von SimpleHelp und AnyDesk.

CVE-2026-82078

CVSS 9,1 · Kritisch EPSS 0,9 % (58.)

Verkettbar mit CVE-2026-81578 für nicht authentifizierte RCE in PaperCut NG/MF.

CISA nahm beide Schwachstellen in ihren KEV-Katalog auf [1][2]. Ein öffentliches Metasploit-Modul ist ebenso verfügbar wie ein detaillierter technischer Bericht sowie öffentliche PoC-Exploits [3][4]. Der OPENVAS ENTERPRISE FEED enthält eine Remote-Banner-Prüfung, mit der Nutzende betroffene Instanzen identifizieren können. Zur Behebung der CVEs wurden mindestens drei aufeinanderfolgende Sicherheitspatches veröffentlicht; Nutzende sollten daher das offizielle Advisory des Herstellers auf aktuelle Informationen prüfen.

Kritische Schwachstellen in Veeam ONE und Service Provider Console

Kritische Schwachstellen wurden sowohl für Veeam ONE über KB4892 als auch für die Veeam Provider Console (VSPC) in KB4893 veröffentlicht. Die Schwachstellen in Veeam ONE betreffen alle Version-13-Builds bis einschließlich 13.0.2.6723 und wurden in Veeam ONE 13.1 (Build 13.1.0.7034) beziehungsweise Veeam ONE 13.0.2 Patch 1 (Build 13.0.2.7159) behoben. Alle Schwachstellen in VSPC betreffen alle Version-9-Builds bis einschließlich 9.2.1.33875 und wurden in Veeam Service Provider Console 9.3 (Build 9.3.0.35057) behoben. Die risikoreichsten CVEs sind:

• CVE-2026-64633 (CVSS 10) in Veeam ONE: ermöglicht Remote-Codeausführung ohne Authentifizierung auf dem Agent-Host
• CVE-2026-58073 (CVSS 9,5) in Veeam Service Provider Console: ermöglicht es einem nicht authentifizierten Angreifer, einen verwalteten Agenten zu imitieren und dessen Zugangsdaten zu erlangen

Die beiden risikoreichsten CVEs für Veeam ONE und Service Provider Console aus August 2026, jeweils mit ihrer CVSS-Schweregradstufe und ihrem EPSS-Ausnutzungswahrscheinlichkeitswert

CVE-2026-64633

CVSS 10 · Kritisch EPSS 0,5 % (38.)

Ermöglicht Remote-Codeausführung ohne Authentifizierung auf dem Agent-Host in Veeam ONE.

CVE-2026-58073

CVSS 9,5 · Kritisch EPSS 0,3 % (24.)

Ermöglicht es einem nicht authentifizierten Angreifer, einen verwalteten Agenten zu imitieren und dessen Zugangsdaten in Veeam Service Provider Console zu erlangen.

VSPC dient als zentralisierte Management- und Monitoring-Plattform für kundenseitige Datensicherungsumgebungen. Da sie eine privilegierte, zentrale Verwaltungsposition einnimmt und Remote-Zugriff über mehrere Kunden-Backup-Umgebungen hinweg bereitstellt, könnte eine Kompromittierung als Sprungbrett in verwaltete Infrastrukturen dienen und schwerwiegende Folgen haben. Veeam ONE stellt ein geringeres Risiko als VSPC dar, da es primär eine Monitoring-, Reporting- und Analyseplattform ist. Eine Kompromittierung könnte jedoch sensible Backup-Infrastrukturdaten und Zugangsdaten offenlegen und möglicherweise einen Ausgangspunkt für weiteres Eindringen bieten.

Der OPENVAS ENTERPRISE FEED enthält Remote-Banner-Prüfungen für KB4892 betreffend Veeam ONE [1][2] und für KB4893 betreffend VSPC [3].

CVE-2026-10053: Path Traversal in der Paketregistrierung ermöglicht authentifizierte RCE in GitLab CE/EE

CVSS 8,8 · HochEPSS 0,8 % (53.)Keine bekannte AusnutzungÖffentlicher PoC

CVE-2026-10053 (CVSS 8,8, EPSS ≥ 53. Perzentil) ermöglicht es einem authentifizierten Angreifer mit geringen Rechten, über eine Path-Traversal-Schwachstelle in der Paketregistrierung RCE in GitLab CE/EE zu erreichen. Ein öffentliches PoC-Lab ist verfügbar, aktive Ausnutzung wurde jedoch nicht gemeldet. Das Problem folgt auf Berichte, wonach CVE-2026-19478 Anfang August aktiv ausgenutzt wurde. Der OPENVAS ENTERPRISE FEED bietet eine Remote-Banner-Prüfung für CVE-2026-10053 sowie eine regelmäßige Erkennung für GitLab-Schwachstellen, einschließlich der aktiv ausgenutzten CVE-2026-19478. GitLab behob das Problem in den Versionen 19.0.6, 19.1.4 und 19.2.2.

Zusammenfassung

Der August 2026 brachte erneut eine schwere Welle hochriskanter Schwachstellen mit sich, darunter aktiv ausgenutzte Schwachstellen, öffentliche PoCs, CVSS-10-Probleme sowie Schwachstellen mit Bezug zu Ransomware und Spionage. Die Offenlegungen dieses Monats unterstreichen die Notwendigkeit, internetseitig erreichbare und privilegierte Unternehmenssysteme für eine rasche Behebung zu priorisieren.