Welche tatsächlichen Auswirkungen eine KI mit Cybersicherheitsbewusstsein auf die globale Bedrohungslage haben wird, bleibt abzuwarten. Einigen Berichten zufolge steigt die Zahl der CVE-Einträge für Software großer Anbieter. Dieser Threat Report vom Juni 2026 kratzt nur an der Oberfläche der wichtigsten Cybersicherheitsbedrohungen dieses Monats. Der Monat brachte eine konzentrierte Welle aktiv ausgenutzter Unternehmensschwachstellen mit sich, wobei die CISA im Laufe des Monats mehrere neue Einträge in ihren Katalog „Known Exploited Vulnerabilities“ (KEV) aufnahm. Mindestens ein neuer kritischer Exploit für Perimeter-Netzwerke stand in Verbindung mit einer aktiven Ransomware-Gruppe.

Die Erkennungstiefe von Greenbone zu Sicherheitslücken geht weit über die großen, Schlagzeilen machenden IT-Sicherheitsereignisse hinaus, wie sie in diesem monatlichen Threat Report beschrieben werden, und hält mit der Flut von KI-gestützten Offenlegungen Schritt. Holen Sie sich eine Kopie des OPENVAS SCAN mit einer kostenlosen zweiwöchigen Testversion des OPENVAS ENTERPRISE FEED — ein todsicherer Weg, um tiefgreifende Einblicke zu gewinnen, wo in der IT-Infrastruktur Ihres Unternehmens Software-Schwachstellen bestehen.

Hier sind einige der wichtigsten aufkommenden Bedrohungen für die IT-Sicherheit von Unternehmen ab Juni 2026.

CVE-2026-20253: Nicht authentifizierte RCE in Splunk Enterprise wird aktiv ausgenutzt

CVSS 9,8 · KritischWird aktiv ausgenutztIn CISA KEVÖffentlicher PoC

CVE-2026-20253 (CVSS 9,8, EPSS ≥ 95. Perzentil) ermöglicht es einem nicht authentifizierten Angreifer aus der Ferne, beliebige Dateien in Splunk Enterprise 10.2 vor 10.2.4 und 10.0 vor 10.0.7 zu erstellen oder zu kürzen. Die Schwachstelle ist auf eine fehlende Authentifizierung [CWE-306] am Endpunkt eines PostgreSQL-Sidecar-Dienstes zurückzuführen. Splunk bestätigte eine begrenzte Ausnutzung in der Praxis, und CISA hat die Schwachstelle in die KEV aufgenommen. Eine vollständige technische Beschreibung mit PoC-Exploit-Code wurde von WatchTowr veröffentlicht und demonstriert nicht authentifizierte RCE. Shadowserver hat mehr als 1.400 im Internet exponierte Splunk-Instanzen erfasst.

CVE-2026-20253 wurde in Splunk Enterprise 10.2.4 und 10.0.7 behoben, und Kunden sollten umgehend ein Upgrade durchführen. Ist ein Patch nicht möglich, lässt sich die Ausnutzung der Schwachstelle verhindern, indem der PostgreSQL-Sidecar-Dienst deaktiviert wird. Die Deaktivierung des Dienstes kann jedoch zu Störungen bei den Datenpipelines von Edge Processor, OpAmp oder SPL2 führen. Der OPENVAS ENTERPRISE FEED enthält einen Remote-Analyse-Test sowie einen separaten Remote-Banner-Test zur Identifizierung betroffener Instanzen.

CVE-2026-28318: SolarWinds Serv-U bei DoS-Angriffen ausgenutzt

CVSS 7,5 · HochWird aktiv ausgenutztIn CISA KEVÖffentlicher PoC

CVE-2026-28318 (CVSS 7,5, EPSS ≥ 60. Perzentil) ermöglicht es einem nicht authentifizierten Angreifer aus der Ferne, einen Denial-of-Service (DoS) im SolarWinds Serv-U Managed File Transfer und FTP-Server auszulösen. CISA hat die Schwachstelle in den KEV-Katalog aufgenommen; es wurde jedoch keine Zuordnung zu einer bestimmten Kampagne vorgenommen. Eine technische Beschreibung wurde veröffentlicht. Die Ausnutzung erfolgt durch einfaches Einfügen des Content-Encoding: deflate-Anfrage-Headers und kann zum Absturz des Serv-U-Dienstes führen. Die Schwachstelle wird durch unkontrollierten Ressourcenverbrauch [CWE-400] bei der Verarbeitung speziell gestalteter HTTP-POST-Anfragen verursacht.

Es besteht ein erhebliches Risiko von Betriebsstörungen bei exponierten Dateiübertragungsservern, die in regulierten Branchen wie dem Gesundheitswesen, dem Finanzsektor und der öffentlichen Verwaltung eingesetzt werden. Die Anzahl der exponierten Serv-U-Instanzen wurde ursprünglich von Shodan mit mehr als 12.000 und von Shadowserver mit etwa 3.000 angegeben. Die Zahl der von Shodan erfassten Instanzen ist jedoch bis Ende Juni auf weniger als 10.000 gesunken.

SolarWinds rät seinen Kunden, Serv-U 15.5.4 Hotfix 1 umgehend zu installieren. Falls die Installation des Patches nicht sofort möglich ist, können Nutzer POST-Anfragen blockieren, die den Content-Encoding: deflate-Header enthalten, ohne dabei an Funktionalität einzubüßen. Der OPENVAS ENTERPRISE FEED umfasst einen Remote-Banner-Test zur Erkennung anfälliger Instanzen.

Living on the Edge: Neue Bedrohungen für die Perimetersicherheit

Sicherheitslücken in Geräten am Netzwerkperimeter stellen ein besonders hohes Risiko dar, da sie Angriffen durch beliebige Angreifer aus der Ferne ausgesetzt sind. Laut dem aktuellen Verizon DBIR 2026-Bericht ist die Ausnutzung öffentlich bekannter Software-Schwachstellen mittlerweile weltweit der häufigste Vektor für den Erstzugang. Hier sind einige der kritischsten neuen Bedrohungen für Perimeter-Geräte im Juni 2026 aufgeführt.

CVE-2026-50751: Check Point Security Gateway bei Ransomware-Angriffen ausgenutzt

CVSS 9,3 · KritischWird aktiv ausgenutztIn CISA KEVÖffentlicher PoCIm Zusammenhang mit Ransomware

CVE-2026-50751 (CVSS 9,3, EPSS ≥ 98. Perzentil) sowie CVE-2026-50752 (CVSS 7,4, EPSS ≥ 90. Perzentil) betreffen Check Point VPN Remote Access, Mobile Access, Security Gateways und Spark Firewalls. CVE-2026-50751 wird aktiv ausgenutzt, wobei mindestens ein Fall einer Kompromittierung nach dem Angriff mit einer Qilin-Ransomware-Gruppe in Verbindung gebracht wird. Die CISA hat CVE-2026-50751 in ihren KEV-Katalog aufgenommen. Die ersten Angriffe wurden am 7. Mai 2026 beobachtet. Weltweit waren mehrere Dutzend Organisationen betroffen. PoC-Exploit-Code und eine vollständige technische Beschreibungfür CVE-2026-50751 sind öffentlich zugänglich. CVE-2026-50752 wird nicht als aktiv ausgenutzt gemeldet.

Die CVEs werden im Folgenden beschrieben:

• CVE-2026-50751 (CVSS 9,3, EPSS ≥ 98. Perzentil): Nicht authentifizierte Angreifer können über eine Schwachstelle im Logikablauf und bei der Zertifikatsvalidierung in IKEv1-Implementierungen einen VPN-Zugang herstellen.
• CVE-2026-50752 (CVSS 7,4, EPSS ≥ 90. Perzentil): Könnte es nicht authentifizierten Angreifern ermöglichen, Man-in-the-Middle-Angriffe gegen VPN-Site-to-Site-Verbindungen durchzuführen.

Check Point hat Empfehlungen zur Abschaffung der Unterstützung für veraltete Protokolle und zur Aktualisierung betroffener Instanzen auf behobene Versionen veröffentlicht und gibt zusätzliche Ratschläge zur Sicherheitshärtung [1][2]. Der OPENVAS ENTERPRISE FEED enthält Remote-Banner-Erkennung für Gaia, das einheitliche Sicherheitsbetriebssystem von Check Point für Security Gateways, Sicherheitsmanagement-Produkte, Software Blades, Check-Point-Appliances sowie Open-Server. Check Point Gaia Versionen R80.20, R80.40, R81, R81.10, R81.20, R82 und R82.10 sind betroffen.

Drei CVSS-10-Schwachstellen im Ubiquiti UniFi OS ermöglichen unauthentifizierte RCE

CVSS 10 · KritischAls Zero-Day ausgenutztIn CISA KEV

Drei neue Schwachstellen mit einem CVSS-Wert von 10, die UniFi-OS-Systeme betreffen, wurden veröffentlicht und in die KEV-Liste der CISA aufgenommen. Die Schwachstellen ermöglichen es Angreifern insgesamt, Dateien und Konten des zugrunde liegenden Betriebssystems zu verändern und Befehle auszuführen. Benutzerberichte deuten darauf hin, dass die Schwachstellen wahrscheinlich als Zero-Day-Exploits ausgenutzt wurden, um betrügerische Administratorkonten zu erstellen. Das Risiko ist erhöht, da UniFi-OS-Geräte die Netzwerkinfrastruktur zentral verwalten, sodass eine erfolgreiche Kompromittierung einen potenziellen Weg für laterale Bewegungen in Unternehmensumgebungen darstellt.

Die CVEs werden im Folgenden beschrieben:

• CVE-2026-34908 (CVSS 10): Ein Angreifer mit Netzwerkzugriff kann eine Schwachstelle bei der Zugriffskontrolle [CWE-284] in UniFi-OS-Geräten ausnutzen, um unbefugte Änderungen am System vorzunehmen.
• CVE-2026-34909 (CVSS 10): Ein Angreifer mit Netzwerkzugriff kann eine Path-Traversal-Sicherheitslücke [CWE-22] in UniFi-OS-Geräten ausnutzen, um auf Dateien auf dem zugrunde liegenden System zuzugreifen und diese zu manipulieren und auf Konten zuzugreifen.
• CVE-2026-34910 (CVSS 10): Ein Angreifer mit Netzwerkzugriff kann eine Schwachstelle durch unsachgemäße Eingabevalidierung [CWE-20] in UniFi-OS-Geräten ausnutzen, um Befehlsinjektionsangriffe auszuführen.

Bishop Fox veröffentlichte eine vollständige technische Analyse, aus der hervorgeht, dass CVE-2026-34908 und CVE-2026-34909 eine Umgehung des Authentifizierungs-Gateways ermöglichen, die durch speziell gestaltete NGINX-Anfragen verursacht wird. Die Ausnutzung legt interne Routen offen und ermöglicht eine Befehlsinjektion über CVE-2026-34910.

Die Ausnutzung aller oben genannten CVEs wurde für UniFi OS Version 5.0.6 validiert. Ubiquiti hat die Schwachstellen in UniFi OS Server Version 5.0.8 behoben, die am 21. Mai 2026 veröffentlicht wurde. Es sind keine Workarounds verfügbar. Der OPENVAS ENTERPRISE FEED enthält eine Fernprüfung auf Sicherheitslücken sowie einen Remote-Banner-Test für das Ubiquiti UniFi OS auf verschiedenen Geräten, eine zusätzliche Remote-Schwachstellenprüfung und einen Remote-Banner-Test für Ubiquiti UniFi OS Server Version 5.0.6 und früher.

Squidbleed (CVE-2026-47729) Speicherleck mit öffentlichem PoC

CVSS 6,5 · MittelÖffentlicher PoCKeine ITW-Ausnutzung

CVE-2026-47729 (CVSS 6,5), auch bekannt als Squidbleed, ermöglicht es einem autorisierten Squid-Proxy-Benutzer, die HTTP-Anfragedaten eines anderen Benutzers im Klartext offenzulegen. Die Schwachstelle wird durch einen Heap-Überlesefehler im FTP-Verzeichnislisten-Parser verursacht. Zu den offengelegten Daten können Anmeldedaten, Sitzungstoken, API-Schlüssel und Autorisierungs-Header gehören. Öffentlicher Proof-of-Concept-Exploit-Code sowie eine vollständige technische Beschreibung sind öffentlich verfügbar. Es wurden jedoch noch keine Ausnutzungen in freier Wildbahn gemeldet. Überraschenderweise wurde CVE-2026-47729 trotz eines GitHub-Sicherheitshinweises, der die CVE anhand ihrer ID nennt, bis zum 1. Juli 2026 weder auf MITREs CVE.org noch im NIST NVD veröffentlicht.

Die Schwachstelle betrifft gemeinsam genutzte Proxy-Umgebungen, in denen Squid HTTP-Daten im Klartext überprüfen oder TLS vollständig beenden kann, sowie alle Squid-Versionen seit einer Änderung am FTP-Parser im Jahr 1997. Für die Ausnutzung muss die Squid-Instanz in der Lage sein, einen vom Angreifer kontrollierten FTP-Server über den TCP-Port 21 zu erreichen. Die Schwachstelle wurde in der Squid 7.6-Version vom Juni 2026 behoben, kann aber auch durch Deaktivierung der FTP-Unterstützung gemindert werden, sofern diese nicht benötigt wird. Der OPENVAS ENTERPRISE FEED enthält Erkennung auf Paketebene für Linux-Distributionen, die Sicherheitshinweise veröffentlicht haben, sowie eine Fernerkennung von Bannern für betroffene Versionen des Squid-Proxys.

CVE-2026-10520 und CVE-2026-10523 in Ivanti Sentry

CVSS 10 · KritischWird aktiv ausgenutztIn CISA KEVÖffentlicher PoC

CVE-2026-10520 (CVSS 10) sowie CVE-2026-10523 (CVSS 9,8) ermöglichen es einem entfernten, nicht authentifizierten Angreifer, RCE auf Root-Ebene zu erlangen und beliebige Administratorkonten in Ivanti Sentry anzulegen. CVE-2026-10520 wurde in den KEV-Katalog der CISA aufgenommen, nachdem Ausnutzungsversuche gegen Honeypots gemeldet worden waren. watchTowr veröffentlichte eine vollständige technische Analyse einschließlich eines öffentlichen PoC-Exploits. Shadowserver berichtete über eine groß angelegte Ausnutzung von CVE-2026-10520 und identifizierte bei seinen Scans 19 anfällige Instanzen, von denen mindestens zwei als kompromittiert eingestuft wurden.

• CVE-2026-10520 (CVSS 10): Eine Schwachstelle durch Befehlsinjektion im Betriebssystem [CWE-78] ermöglicht es einem entfernten, nicht authentifizierten Benutzer, Remote-Code auf Root-Ebene auszuführen.
• CVE-2026-10523 (CVSS 9,8): Eine Sicherheitslücke zur Umgehung der Authentifizierung [CWE-288] ermöglicht es einem nicht authentifizierten Angreifer aus der Ferne, beliebige Administratorkonten zu erstellen und vollständigen Administratorzugriff zu erlangen.

Die Ausnutzung erfordert Zugriff auf den Verwaltungsport 8443. Zu den betroffenen Versionen gehören Ivanti Sentry 10.5.1, 10.6.1, 10.7.0 sowie frühere Versionen; Korrekturen sind in den Versionen 10.5.2, 10.6.2 und 10.7.1 verfügbar. Der OPENVAS ENTERPRISE FEED von Greenbone enthält einen aktiven Check sowie einen Remote-Banner-Test, die beide CVEs abdecken.

HTTP/2-Bomb: DoS-Angriff auf alle gängigen Webserver

CVSS 7,5 · HochÖffentlicher PoCHerstellerübergreifender DoS

HTTP/2-Bomb ist eine remote ausführbare, nicht authentifizierte Denial-of-Service-Technik (DoS) gegen HTTP/2-Serverimplementierungen. Die Schwachstelle betrifft die Standard-HTTP/2-Konfigurationen im Apache HTTP Server, NGINX, Microsoft IIS, Envoy Proxy und Cloudflare Pingora sowie in weiteren digitalen Produkten, die diese Komponenten enthalten. Ein ausführlicher technischer Bericht ist verfügbar, und Califs HTTP/2-Bomb-Begleit-Repository listet eigenständige, servereigene PoCs und Docker-Labore für die wichtigsten betroffenen Webserver auf, was das Risiko erhöht. HTTP/3 gilt Berichten zufolge nicht als direkt anfällig für die aktuelle HTTP/2-Bomb-Technik.

Der Exploit nutzt legitime HTTP/2-Funktionen auf eine Weise, die die HPACK-Header-Komprimierung nicht vorsieht. Betroffene Webserver haben es versäumt, die zusätzlichen Beschränkungen durchzusetzen, die erforderlich sind, um diese Funktionen sicher zu machen. Der Exploit weist Berichten zufolge eine Speicherverstärkung zwischen 70:1 und 5,7K:1 auf und ermöglicht es, innerhalb von Sekunden 32 GB bis 64 GB Server-Speicher zu verbrauchen. Die Hauptursache ist eine fehlerhafte Verarbeitung von HTTP/2-Anfragen, bei der die HPACK-gesteuerte Cookie-Erweiterung eine übermäßige Speicherzuweisung und Datenverstärkung auslöst. Calif.io gibt zudem an, dass die tiefer liegende Ursache ein Problem in der Protokollspezifikation ist. Die wichtigsten Produkte im Zusammenhang mit HTTP/2-Bomb werden im Folgenden beschrieben:

• CVE-2026-49975 (CVSS 7,5) — Apache HTTP Server mod_http2: Apache HTTP Server Versionen 2.4.17 bis 2.4.67 sind betroffen; das Problem wurde in Apache HTTP Server Version 2.4.68 behoben.
• CVE-2026-47774 (CVSS 7,5) — Envoy Proxy: Envoy-Versionen vor 1.35.11, 1.36.7, 1.37.3 und 1.38.1 sind betroffen.
• CVE-2026-49160 (CVSS 7,5) — Microsoft HTTP.sys / IIS: Betrifft Microsoft HTTP.sys, den Windows-HTTP-Stack, der von IIS und anderen Windows-HTTP-Diensten verwendet wird. Microsoft hat das Problem in den Sicherheitsupdates vom 9. Juni 2026 behoben.
• Keine CVE zugewiesen — nginx: Alle nginx-Versionen vor 1.29.8 sind betroffen; das Problem wurde in nginx 1.29.8 behoben. Red Hat gibt an, dass das nginx-Upstream-Projekt keine CVE für HTTP/2-Bomb vergeben hat.

Quang Luong von Calif.IO führt die Entdeckung von HTTP/2-Bomb auf OpenAI Codex zurück. Es ist zu erwarten, dass viele weitere CVEs auftauchen, sobald Hardware- und Softwareanbieter ihre Produkte patchen. Greenbone enthält zahlreiche Schwachstellentests zur Erkennung von HTTP/2-Bomb über eine Vielzahl von Linux-Distributionen und anderen betroffenen Produkten hinweg. Dies umfasst die Erkennung betroffener Apache-HTTP-Server-Produkte (CVE-2026-49975), Envoy Proxy (CVE-2026-47774), Microsoft IIS (CVE-2026-49160) sowie nginx trotz fehlender CVE-Abdeckung.

Mehrere kritische Schwachstellen in SAP SE und SAP NetWeaver AS ABAP sowie ABAP Platform

CVSS 9,9 · KritischKeine bekannte AusnutzungPatch verfügbar

Drei neue kritische Schwachstellen in SAP-Produkten wurden veröffentlicht. Zusammen betreffen die Schwachstellen NetWeaver AS ABAP und ABAP Platform, den SAP NetWeaver Application Server Java Web Container, SAP Commerce Cloud sowie SAP Data Hub. Das Risiko ist erhöht, da die Schwachstellen in mehreren Fällen unbefugten Zugriff, die Offenlegung sensibler Daten, Dateiänderungen, Anwendungsabstürze, Speicherbeschädigung, die Ausführung beliebigen Codes und das Kapern von Verbindungen ohne Benutzerinteraktion ermöglichen können. Eine aktive Ausnutzung in freier Wildbahn wurde nicht beobachtet. Öffentliche PoC-Exploits oder eine vollständige öffentliche Exploit-Kette sind nicht verfügbar. Zur Behebung sollten die Updates des SAP Security Patch Day vom Juni 2026 umgehend eingespielt werden.

Details zu den drei CVEs finden Sie nachfolgend:

• CVE-2026-44748 (CVSS 9,9): Ein authentifizierter Angreifer mit normalen Berechtigungen kann eine gültige signierte Nachricht erlangen und modifizierte signierte XML-Dokumente an den Prüfer senden. Dies kann dazu führen, dass manipulierte Identitätsinformationen akzeptiert werden, was unbefugten Zugriff auf sensible Benutzerdaten und eine Störung der normalen Systemnutzung ermöglicht. Betroffen sind SAP NetWeaver AS ABAP Version 7.02, 7.31, 7.40, 7.50, 7.51, 7.52, 7.53, 7.54, 7.55, 7.56, 7.57, 7.58, 8.16, 9.18 und 9.19. Der OPENVAS ENTERPRISE FEED enthält einen Remote-Banner-Test zur Identifizierung betroffener Instanzen.
• CVE-2026-27671 (CVSS 9,8): Aufgrund einer unzureichenden RFC-Protokollvalidierung im SAP-Kernel kann ein nicht authentifizierter Angreifer eine speziell gestaltete RFC-Anfrage senden, die logische Fehler in der Speicherverwaltung ausnutzt und zu einer Speicherbeschädigung führt. Betroffen sind SAP NetWeaver AS ABAP Version 7.22, 7.53, 7.54, 7.77, 7.89, 7.93, 9.16, 9.18 und 9.19. Der OPENVAS ENTERPRISE FEED enthält einen Remote-Banner-Test zur Identifizierung betroffener Instanzen.
• CVE-2026-40128 (CVSS 9,0): Ein nicht authentifizierter Angreifer kann eine bösartige HTTP-Anmeldeanfrage erstellen, die Parameter zur Dateieinbindung manipuliert. Die Ausnutzung ermöglicht Path Traversal und die Verarbeitung der eingebundenen Datei und erlaubt es dem Angreifer, sensible Informationen einzusehen oder zu verändern oder beliebige Teile des lokalen Systems unverfügbar zu machen. Betroffen ist SAP NetWeaver AS Java Version 7.50. Der OPENVAS ENTERPRISE FEED enthält einen Remote-Banner-Test zur Identifizierung betroffener Instanzen.

Zusammenfassung

Der Juni 2026 verdeutlichte das zunehmende Unternehmensrisiko durch aktiv ausgenutzte Schwachstellen in Splunk, SolarWinds Serv-U, Check-Point-Gateways, Ubiquiti UniFi OS, Ivanti Sentry, Squid, HTTP/2-Implementierungen und SAP-Plattformen. Öffentliche PoCs, KEV-Einträge, Ransomware-Verbindungen und exponierte, mit dem Internet verbundene Assets unterstreichen die Notwendigkeit von schnellem Patchen, kompensierenden Kontrollen und kontinuierlicher Schwachstellenerkennung über Perimeter- und Kerninfrastruktur hinweg.

Greenbones OPENVAS BASIC ist kostenlos verfügbar und beinhaltet eine zweiwöchige Testversion des OPENVAS ENTERPRISE FEED — damit erhält Ihr Sicherheitsteam sofortigen Zugang zur automatisierten Schwachstellenerkennung für die in diesem Report behandelten CVEs und Zehntausende weitere. Starten Sie noch heute Ihre kostenlose Testversion.

Zum ersten Mal nutzen Angreifer ungepatchte Sicherheitslücken häufiger aus, als dass sie Zugangsdaten stehlen. Laut dem „2026 Data Breach Investigations Report“ von Verizon macht die Ausnutzung von Sicherheitslücken mittlerweile 31 % aller Sicherheitsvorfälle aus und liegt damit vor dem Diebstahl von Zugangsdaten mit 13 %. Und die Entwicklung geht für die Verteidiger in die falsche Richtung: Die mittlere Zeit bis zur vollständigen Behebung einer Sicherheitslücke stieg von 32 Tagen im Vorjahr auf 43 Tage, während Unternehmen nur 26 % der Sicherheitslücken auf der CISA-Liste der bekannt ausgenutzten Sicherheitslücken behoben haben – ein Rückgang gegenüber 38 % im Jahr 2024 (wir haben hier aufgeschlüsselt, was diese Verschiebung antreibt).

Scanner sind hier nicht der Engpass. Das Aufspüren einer Sicherheitslücke und deren tatsächliche Behebung sind zu zwei getrennten Problemen geworden, wobei das zweite an hinterherhinkt.

Die Erkennung war nie der schwierige Teil

OPENVAS von Greenbone hat fast zwei Jahrzehnte damit verbracht, die erste Hälfte zu perfektionieren: ein Netzwerk zu scannen, Schwachstellen zu identifizieren und deren Gefährlichkeit zu bewerten. Elmar Geese, CEO von Greenbone, vergleicht dies gerne mit einem Schwarm von Robotern, die jede Tür und jedes Fenster eines Hauses überprüfen. Sie sind schnell und gründlich, und wenn sie ein defektes Schloss finden, schlagen sie Alarm.

Doch ein Alarm nützt nur etwas, wenn jemand darauf reagiert. In den meisten Unternehmen stockt der Prozess genau an dieser Stelle. Ein Scan-Ergebnis landet in einem Bericht, einem Posteingang oder einer Tabelle, die niemand öffnet – bis zum nächsten Audit. Jemand muss es lesen, herausfinden, was es konkret für die jeweiligen Systeme bedeutet, entscheiden, wer für die Behebung zuständig ist, und daraus eine nachverfolgbare Aufgabe mit einer Frist machen. Dieser Schritt erfordert Sicherheitsfachwissen, über das nicht jedes IT-Team verfügt, und genau hier geht etwas verloren: Der Schweregrad wird falsch eingeschätzt, Tickets werden doppelt angelegt oder gar nicht erst erstellt, und über die Zuständigkeit wird im Nachhinein gestritten, anstatt sie im Vorfeld festzulegen.

Dies ist der Teil des Schwachstellenmanagements, der in der Werbung für Scanner nicht erwähnt wird, aber genau hier liegt der größte Teil der tatsächlichen Verzögerung.

Was sich durch die Integration tatsächlich ändert

Rico Barth, CEO von KIX, bringt es auf den Punkt: Die Partnerschaft schließt die Lücke „zwischen der Erkennung und der Behebung von Schwachstellen“. In dieser Lücke war früher ein Vermittler erforderlich, um einen Sicherheitsbefund weiterzuleiten. Das ist nun nicht mehr der Fall.

KIX, die Open-Source-ITSM-Plattform, und Greenbone haben eine direkte Verbindung zwischen den beiden Hälften des Problems hergestellt. Wenn OPENVAS eine Schwachstelle meldet, erstellt es nicht nur einen Bericht und belässt es dabei. Es eröffnet automatisch ein Ticket in KIX: klassifiziert als Sicherheitsvorfall, verknüpft mit dem konkreten betroffenen Gerät oder der betroffenen Software und an das Team gesendet, das für diese Ressource zuständig ist. Der Workflow zur Behebung – mit Fristen, Erinnerungen und Eskalationen – beginnt in dem Moment, in dem die Schwachstelle bestätigt wird, und nicht erst, wenn jemand dazu kommt, die Scan-Ergebnisse zu lesen.

Das bedeutet auch, dass ein IT-Administrator, der ein Ticket eröffnet, nicht bei Null anfängt. Die Ressource, das betroffene System, wer benachrichtigt werden muss und wie sich dies in alle anderen derzeit offenen Fälle einfügt – all diese Informationen liegen bereits vor. Niemand muss drei verschiedene Tools miteinander abgleichen, um herauszufinden, was tatsächlich vor sich geht.

Der Bonus, um den niemand gebeten hat: Dinge finden, von denen man gar nicht wusste, dass man sie hat

Es gibt einen Nebeneffekt, der sich als fast ebenso wichtig erweist wie das Ticketing selbst. OPENVAS scannt mehr als nur die Systeme, die der IT-Abteilung bereits bekannt sind. Es findet den Laptop, den eine Abteilung ohne Rücksprache mit der IT gekauft hat, oder den Server, den jemand vor zwei Jahren in Betrieb genommen und dann vergessen hat. Dieses Inventar fließt nun direkt in die Asset-Datenbank von KIX ein.

Shadow-IT wird üblicherweise als ein Problem der Richtlinien dargestellt. In der Praxis handelt es sich jedoch um ein Transparenzproblem, das sich mit dem Wachstum der Netzwerke verschärft. Greenbone-Kunden sind regelmäßig überrascht davon, was zutage tritt, wenn ihre Umgebung zum ersten Mal ordnungsgemäß gescannt wird. Die Einbindung dieser Erkenntnisse in dasselbe System, das bereits Tickets und Zuständigkeiten verwaltet, bedeutet, dass ein unbekanntes Gerät sofort in den normalen IT-Prozess integriert wird, anstatt in einem eigenen toten Winkel zu verbleiben.

Warum dies angesichts der Frage, wer die Arbeit tatsächlich erledigt, umso wichtiger ist

IT- und Sicherheitsteams sind fast überall überlastet, und der manuelle Auswertungsschritt im Schwachstellenmanagement ging bisher immer davon aus, dass genügend Fachpersonal vorhanden ist, um diese Aufgabe gut zu bewältigen. Diese Annahme wird von Jahr zu Jahr unsicherer. Entfällt der Schritt, bei dem ein Mensch jeden Befund manuell sichten, klassifizieren und weiterleiten muss, müssen kleinere oder generalistisch aufgestellte IT-Teams nicht mehr auf externes Sicherheits-Know-how zurückgreifen, das sie intern nicht haben, nur um Schritt zu halten.

Es hilft auch bei etwas, das mehr Zeit in Anspruch nimmt, als es sollte: dem Nachweis, dass man die Arbeit tatsächlich erledigt hat. Dokumentation, Fristen und der Verlauf der Behebung landen automatisch in KIX, was Audits nach Rahmenwerken wie NIS-2, ISO 27001 oder BSI-Grundschutz erheblich erleichtert, da die Nachweiskette bereits vorhanden ist und nicht erst im Nachhinein rekonstruiert werden muss.

Probieren Sie es dort aus, wo es darauf ankommt

Wenn Ihr Team derzeit OPENVAS und KIX separat einsetzt oder eines der beiden Systeme evaluiert, lohnt sich ein genauerer Blick auf diese Integration – gerade weil sie einen Schritt einspart, anstatt einen hinzuzufügen. Nehmen Sie Kontakt mit uns auf, um zu erfahren, wie der Übergang vom Scan zur Behebung in Ihrer eigenen Umgebung funktioniert und was für die Einrichtung erforderlich wäre. Und falls Sie noch nicht mit OPENVAS scannen, OPENVAS BASIC ist ein guter Ausgangspunkt, bevor Sie die übrigen Komponenten anbinden.

Ein effektives Schwachstellenmanagement beginnt und endet nicht mit dem Scannen. Um effektiv zu sein, erfordert das Schwachstellenmanagement ein fundiertes Verständnis sowohl der Scanner-Technologie als auch Ihrer IT-Infrastruktur. Operativ hängt das Schwachstellenmanagement von zuverlässigen und wiederholbaren Prozessen, klar definierten Zuständigkeiten, der Integration in den täglichen IT-Betrieb und einer strategischen Steuerung ab.

Jede Organisation befindet sich in einer anderen Reifestufe des Schwachstellenmanagements. Einige beginnen gerade erst mit der Einführung von Schwachstellenscans. Andere haben zwar operative Prozesse etabliert, es fehlt ihnen jedoch an einer strukturierten Priorisierung, einer Nachverfolgung von Abhilfemaßnahmen oder der Ausrichtung auf das Unternehmen. Die am weitesten fortgeschrittenen Organisationen betrachten das Schwachstellenmanagement als eine wesentliche Sicherheitsmaßnahme zur Minderung der Gefährdung durch neu auftretende Bedrohungen und zur Reduzierung des gesamten Geschäftsrisikos.

Ein Reifegradmodell für das Schwachstellenmanagement bietet einen strukturierten Ansatz zur Bewertung des aktuellen Zustands des Programms in Ihrem Unternehmen. Es hilft den Verantwortlichen aus den Bereichen Sicherheit, IT und Geschäft, zu verstehen, wo ihre Sicherheitslage derzeit steht, identifiziert „Hindernisse“, die den Fortschritt einschränken, und definiert die nächsten Schritte hin zu einem effektiveren und nachhaltigeren Schwachstellenmanagementprozess.

In diesem Artikel werden wir ein strukturiertes Modell zur Definition der Reife im Schwachstellenmanagement (VM) betrachten. Das Modell definiert fünf Reifegrade und erläutert, wie Sie ermitteln können, wo sich Ihr Unternehmen innerhalb des Modells befindet. Es beschreibt außerdem die Einschränkungen, die jeder Reifegrad für eine widerstandsfähige operative Cybersicherheit mit sich bringt.

Die 5 Stufen der Reife im Schwachstellenmanagement verstehen

Die Reife im Schwachstellenmanagement lässt sich in fünf Stufen unterteilen. Jede Stufe spiegelt einen unterschiedlichen Stand in Bezug auf Disziplin, operative Fähigkeiten, organisatorische Einbindung und Reife der Governance wider. Unternehmen entwickeln sich in der Regel von einfachen technischen Scans hin zu einem risikoorientierten Sicherheitsprogramm, das in den IT-Betrieb integriert ist und kontinuierlich auf der Grundlage messbarer KPI-Ergebnisse verbessert wird.

Stufe 1 – Ad-hoc

In der Ad-hoc-Stufe ist das Schwachstellenmanagement für eine Organisation in der Regel eine völlig neue Aktivität oder wird nur sporadisch durchgeführt. Scans werden nicht formell geplant, und es gibt keine dokumentierten Sicherheitsprozesse. Das Unternehmen verfügt möglicherweise über ein Scan-Tool, doch der Erfassungsgrad der Scans wird nicht gemessen, und die Ergebnisse werden nicht systematisch zur Einleitung von Abhilfemaßnahmen genutzt.

Die informelle Einstellung in dieser Phase lautet oft: „Wir werden es schon irgendwie scannen.“ Auch wenn diese Haltung und der reine Aufwand zunächst für etwas Transparenz sorgen mögen, stellen sie kein zuverlässiges Schwachstellenmanagementprogramm dar.

Die Grenzen eines ad-hoc / anfänglichen Sicherheitsprogramms

Die größte Einschränkung in dieser Phase ist das Fehlen einer Struktur. Ohne eine vollständige Bestandsaufnahme der Assets weiß ein Unternehmen nicht, ob kritische Systeme gescannt werden. Ohne einen definierten Umfang oder Zeitplan bleiben Scan-Aktivitäten eine Nebensache. Ohne klare Zuständigkeiten werden entdeckte Schwachstellen möglicherweise nicht an die richtigen Teams zur Behebung weitergeleitet.

Zu den häufigen Einschränkungen gehören:

• Keine vollständige Bestandsaufnahme der IT-Ressourcen
• Kein definierter Scan-Umfang oder Zeitplan
• Keine Zuständigkeiten oder Verantwortlichkeiten
• Keine Berichterstattung oder KPIs
• Kein strukturierter Behebungsprozess

Stufe 2 – Wiederholbar / Operativ

In der wiederholbaren / operativen Phase ist das Schwachstellenscannen konsistenter. Es werden regelmäßige Scans durchgeführt, eine grundlegende Betriebsstabilität ist gegeben, und das Unternehmen verfügt über einen ersten Überblick über Schwachstellen in einem Teil seiner Umgebung. Diese Stufe stellt einen wichtigen Übergang von informellen Aktivitäten zu einer wiederholbaren Durchführung dar. Ein Unternehmen führt nun zuverlässig und wiederkehrend Scans durch, und einige Verantwortlichkeiten für das Schwachstellenmanagementprogramm wurden zugewiesen, beispielsweise an einen Administrator oder technischen Verantwortlichen.

Eine Organisation führt zwar möglicherweise regelmäßig Systemscans durch, hat jedoch noch keinen vollständig verwalteten Prozess für die Prüfung, Priorisierung, Nachverfolgung und Behebung von Schwachstellen etabliert.

Die Grenzen eines wiederholbaren / operativen Sicherheitsprogramms

Diese wiederholbare / operative Phase ist nach wie vor vorwiegend technischer Natur. Die größte Einschränkung in dieser Phase besteht darin, dass Schwachstellendaten noch nicht effektiv über einen strukturierten Lebenszyklus hinweg verwaltet werden. Organisationen wissen, wo Schwachstellen bestehen, verfügen jedoch nicht über einen formellen Prozess zur Entscheidung, welche Probleme am wichtigsten sind, wer sie beheben soll und bis wann. Die Steuerung beschränkt sich auf eine grundlegende Berichterstattung ohne KPI-gesteuertes Management oder formelle Leistungsziele.

Zu den üblichen Einschränkungen gehören:

• Keine strukturierte Priorisierung
• Keine definierten SLAs für die Behebung
• Begrenzte Nachverfolgung der Behebung
• Schwache teamübergreifende Zusammenarbeit

Stufe 3 – Definiert / Verwaltet

In der definierten / verwalteten Phase wird das Schwachstellenmanagement strukturiert und messbar. Ein Unternehmen hat Prozesse zur Identifizierung, Priorisierung, Behebung und Nachverfolgung von Schwachstellen etabliert. Die Verantwortlichkeiten sind klar auf die relevanten Beteiligten verteilt, einschließlich IT- und Sicherheitsteams. Diese Stufe markiert den Punkt, an dem das Schwachstellenmanagement zu einem gesteuerten operativen Prozess wird und nicht mehr nur eine Scan-Aktivität ist.

Ein Unternehmen in dieser Phase nutzt KPIs zur Messung der Leistung, wendet risikobasierte Priorisierung an und folgt klar definierten Workflows zur Behebung. Die Scan-Abdeckung wird überprüft, und es werden authentifizierte Scans zur mehrschichtigen Verteidigung durchgeführt.

Ein Programm der Stufe 3 kann wichtige Fragen des Managements beantworten: Welche Schwachstellen sind am wichtigsten? Wer ist für die Behebung zuständig? Wie lange dauert die Behebung? Erreichen die Teams die definierten Ziele? Wo treten wiederkehrende Probleme auf?

Die Grenzen eines definierten / verwalteten Sicherheitsprogramms

Ein Programm auf dieser Stufe ist strukturiert, jedoch weder automatisiert noch tiefgreifend integriert. Die Prozesse sind dokumentiert und messbar, doch die Ausführung hängt nach wie vor weitgehend von manueller Koordination ab. Eine Integration der Scan-Infrastruktur in den IT-Betrieb, das Ticketing, das Patch-Management oder das Änderungsmanagement fehlt gänzlich oder ist unvollständig.

Zu den üblichen Einschränkungen zählen:

• Begrenzte Automatisierung
• Schwache Integration in IT-Prozesse
• Begrenzte Ausrichtung auf das Geschäft

Stufe 4 – Integriert / Kontrolliert

In der Stufe „Integriert / Kontrolliert“ ist das Schwachstellenmanagement fest in den IT-Betrieb integriert. Das Programm wird nicht mehr als separate Sicherheitsmaßnahme verwaltet, sondern ist in die operativen Systeme und Arbeitsabläufe eingebunden, die Infrastruktur, Anwendungen, Patching, Änderungsmanagement, Incident Response und Servicemanagement steuern.

Die Prozesse in dieser Stufe sind automatisiert und skalierbar. Schwachstellenfunde können in Tickets umgewandelt, den richtigen Verantwortlichen zugewiesen, bis zur Behebung nachverfolgt und anhand definierter Ziele gemessen werden. Integrationen mit ITSM, SIEM, Patch-Management und verwandten Betriebssystemen ermöglichen durchgängige Transparenz und Kontrolle. Insgesamt kann ein Unternehmen die Behebung von Schwachstellen konsistenter, verantwortungsbewusster und betrieblich effizienter verwalten.

Die Grenzen eines integrierten / kontrollierten Sicherheitsprogramms

Die größte Einschränkung in dieser Phase ist das Fehlen einer strategischen Optimierung. Ein Unternehmen verfügt über starke Prozesse und Integrationen, nutzt jedoch die Daten aus dem Schwachstellenmanagement nicht als Rückmeldung für die langfristige strategische Planung, Investitionsplanung oder kontinuierliche Optimierung.

Zu den häufigen Einschränkungen gehören:

• Begrenzte strategische Steuerung
• Optimierungspotenzial wird nicht voll ausgeschöpft

Stufe 5 – Optimiert / Strategisch

In der Optimierten / Strategischen Phase ist das Schwachstellenmanagement risikogesteuert, wird kontinuierlich verbessert und ist strategisch auf die Geschäftsziele abgestimmt. Eine Organisation betrachtet Schwachstellen nicht nur als technische Mängel, sondern bewertet sie im Kontext von Geschäftsrisiken, der Kritikalität von Systemen, der Bedrohungslage, den betrieblichen Auswirkungen und der Sicherheitsstrategie.

Kontinuierliche Verbesserung ist auf dieser Ebene fest in die Programme integriert. Metriken, Daten zur Behebung, wiederkehrende Schwachstellenmuster, die Behandlung von Ausnahmen sowie Risikobewertungen werden genutzt, um den Schwachstellenmanagement-Prozess im Laufe der Zeit zu verfeinern. Das Schwachstellenmanagement wird Teil einer umfassenderen Sicherheits-Governance und Risikomanagement-Fähigkeit.

Die Grenzen eines optimierten / strategischen Sicherheitsprogramms

Auf dieser Reifegradstufe gibt es in der Regel keine größeren strukturellen Lücken. Das Programm ist stabil, integriert, gesteuert und strategisch ausgerichtet. Verbleibende Einschränkungen werden eher als Optimierungsmöglichkeiten denn als grundlegende Schwächen betrachtet.

Häufige Optimierungsbereiche können sein:

• Verfeinerung von Risikomodellen
• Verbesserung der Automatisierungsgenauigkeit
• Stärkung des geschäftlichen Kontexts
• Verringerung von Reibungsverlusten bei der Behebung
• Verbesserung der prädiktiven und trendbasierten Analyse

Zusammenfassung

Bei der Reife des Schwachstellenmanagements geht es um weit mehr als nur darum, ob eine Organisation über ein Scan-Tool verfügt und wie oft Scans durchgeführt werden. Während Organisationen von der Ad-hoc-Reife zu einem optimierten / strategischen Schwachstellenmanagement-Programm entwickeln, wandelt sich der Prozess von einem technischen zu einer strategischen Sicherheitskompetenz.

Im Kern wird die Reife des Schwachstellenmanagements dadurch definiert, wie konsequent eine Organisation Schwachstellen identifizieren, diese anhand des Risikos priorisieren, Verantwortlichkeiten zuweisen, die Behebung nachverfolgen, die Leistung messen und den Prozess im Laufe der Zeit verbessern kann. Ein unreifes Programm bietet gelegentliche Transparenz, kann jedoch nicht zuverlässig garantieren, dass das Risiko auf ein akzeptables Niveau reduziert wird. Ein hoch ausgereiftes Programm verbindet Technologie, Prozesse, Organisation und Governance zu einem kontrollierten Lebenszyklus.

Sobald eine Organisation ihren aktuellen Reifegrad versteht, kann sie praktische nächste Schritte planen. Die Abdeckung der Assets wird sich verbessern, Standards und Prozesse werden von den Beteiligten gut verstanden, und klar definierte Verantwortlichkeiten sowie SLAs sorgen für zuverlässige und effektive Ergebnisse. Das Gesamtergebnis ist eine strategische Reduzierung des Geschäftsrisikos.

Die Ausnutzung von Schwachstellen hat sich mittlerweile als häufigste Methode etabliert, mit der Angreifer sich zunächst Zugang zur Umgebung eines Unternehmens verschaffen. Das zeigt, wie wichtig es nach wie vor ist, die Grundlagen richtig zu machen.

— Verizon Data Breach Investigations Report 2026

Mehr CVEs, mehr Druck

Die Industrialisierung der Schwachstellenausnutzung ist nicht neu; der prozessgesteuerte Ansatz zur Instrumentalisierung von Schwachstellen existiert seit Langem, lange vor LLMs. Doch ausgefeilte Cybersicherheitsfähigkeiten stehen heute fast jedem zur Verfügung, der einen Laptop hat. Anthropic hat inzwischen den ersten offiziellen Wirkungsbericht zu Mythos veröffentlicht [1][2]. Die Ergebnisse deuten darauf hin, dass die Auswirkungen für Softwareanbieter und Verteidiger spürbar sein werden, auch wenn Perfektion noch unerreicht bleibt.

Im April und Mai 2026 bestätigten große Softwareanbieter [3][4][5], Anbieter von Sicherheitsinformationen [6][7][8] und Cybersicherheits-Nachrichtenportale [9] die Auswirkungen von Mythos auf die Offenlegung von Schwachstellen. Sicherheitsforscher von Mozilla schrieben, es sei „kaum zu überschätzen, wie sehr sich diese Dynamik für uns innerhalb weniger Monate verändert hat“. Cisco wies auf den Mangel an nachgelagerter Unterstützung für die Offenlegung der bevorstehenden Flut neuer Probleme hin. In Kombination mit dem einleitenden DBIR-Zitat ist die Schlussfolgerung klar: Sicherheitsverantwortliche müssen stärker auf kontinuierliches Schwachstellenmanagement und Patch-Performance setzen, um kritische Risiken zu reduzieren.

Cisco veröffentlicht zwei CVSS-10-Schwachstellen – Catalyst SD-WAN wird aktiv ausgenutzt

Im Mai 2026 wurden zwei neue Schwachstellen mit maximalem Schweregrad für Cisco-Produkte bekannt. CVE-2026-20182 in Cisco Catalyst SD-WAN wird aktiv ausgenutzt; die CISA hat die Schwachstelle in ihre KEV-Liste aufgenommen und die Leitlinien zu Angriffen auf Catalyst SD-WAN aktualisiert. Sechs weitere CVEs in Catalyst SD-WAN wurden 2026 ebenfalls in die CISA-KEV-Liste aufgenommen. Die zweite neue Schwachstelle mit maximalem Schweregrad aus dem Mai 2026 ist CVE-2026-20223 in Cisco Secure Workload.

Für CVE-2026-20182 wurden zahlreiche nationale CERT-Warnungen herausgegeben [1][2][3][4][5][6][7][8][9][10][11][12][13][14][15][16][17][18]; für CVE-2026-20223 ebenfalls [1][2][3][4][5][6][7][8][9][10][11]. Details:

• CVE-2026-20182 (CVSS 10, EPSS >= 99. Perzentil): Eine Schwachstelle in der Peering-Authentifizierung des Cisco Catalyst SD-WAN Controllers und Managers ermöglicht einem nicht authentifizierten Angreifer aus der Ferne, die Authentifizierung zu umgehen (CWE-287) und sich als interner Administrator anzumelden. Mit dem gekaperten Konto kann ein Angreifer auf NETCONF zugreifen und SD-WAN-Fabric Netzwerkkonfigurationen Ausnutzung ist über HTTP-Anfragen möglich. Weitere Informationen in der offiziellen Sicherheitsmitteilung von Cisco.
• CVE-2026-20223 (CVSS 10): Fehlende Authentifizierung (CWE-306) in den REST-APIs von Cisco Secure Workload ermöglicht einem nicht authentifizierten Angreifer aus der Ferne, mit Site-Admin-Rechten auf Site-Ressourcen zuzugreifen. Angreifer können manipulierte HTTP-API-Anfragen nutzen, um sensible Informationen auszulesen und Konfigurationsänderungen über Mandantengrenzen hinweg vorzunehmen. Weitere Informationen im offiziellen Advisory von Cisco.

Cisco gibt an, dass es für keine der beiden Schwachstellen Workarounds gibt. Zur vollständigen Behebung müssen Patches installiert werden. Der OPENVAS ENTERPRISE FEED umfasst die Erkennung von CVE-2026-20182 und CVE-2026-20223 sowie die Erkennung weiterer CVEs für Cisco-Produkte, die im Mai 2026 veröffentlicht wurden.

Trend Micro Apex One: Schwachstelle von Februar 2026 wird aktiv ausgenutzt

CVE-2026-34926, das Trend Micro Apex One 2019 betrifft, wird als aktiv ausgenutzt gemeldet und wurde in die KEV-Liste der CISA aufgenommen. Trend Micro veröffentlichte im Februar 2026 einen kritischen Patch KA-0022458 für diese CVE sowie für zwei weitere kritische Schwachstellen. Der Patch verbesserte auch den Schutz vor CVE-2025-54948 (CVSS 9,8) [1] und CVE-2025-54987 (CVSS 9,8) [2], die beide Mitte 2025 in die CISA-KEV-Liste aufgenommen wurden. Am 3. März 2026 veröffentlichte der Anbieter Updates für CVE-2025-71210 (CVSS 9,8) und CVE-2025-71211 (CVSS 9,8) [3][4], die nicht authentifizierten Angreifern aus der Ferne beliebige Codeausführung auf betroffenen Installationen ermöglichen.

Die aktiv ausgenutzte CVE-2026-34926 (CVSS 6,7) ist eine Verzeichnisüberquerungsschwachstelle (CWE-23) im Apex One 2019 On-Premise-Server und in Server- und Agent-Builds unter 17079, in Apex One as a Service (SaaS) sowie in Trend Vision One Endpoint für Windows. Die Schwachstelle erlaubt einem Angreifer, eine Schlüsseltabelle auf dem Server zu ändern, bösartigen Code einzuschleusen und auf Agenten zu verteilen. Voraussetzung ist Windows-Administratorzugriff auf den Apex One-Server; eine Authentifizierung bei Apex One selbst ist nicht erforderlich.

Der OPENVAS ENTERPRISE FEED von Greenbone enthält regelmäßige Windows-Erkennungen für Trend Micro-Sicherheitshinweise sowie zusätzliche Erkennungen für KA-0022458-CVEs, die am Tag nach ihrer Veröffentlichung im Februar 2026 verfügbar waren.

Living on the Edge: Neue Bedrohungen für IT-Peripheriegeräte

Laut dem Verizon DBIR 2026 ist die Ausnutzung von Schwachstellen die häufigste Methode, mit der Angreifer sich ersten Zugriff auf die Umgebung eines Unternehmens verschaffen. Das verdeutlicht, wie wichtig es ist, anfällige Software zu erkennen und Patches zu installieren. Die folgenden hochriskanten Bedrohungen für IT-Peripheriesysteme wurden im Mai 2026 bekannt.

Palo Alto Networks PAN-OS aktiv ausgenutzt

CVE-2026-0300 (CVSS 9,8, EPSS >= 95. Perzentil) ist eine Pufferüberlauf-Schwachstelle (CWE-787) im User-ID-Authentifizierungsportal (auch bekannt als Captive Portal) der PAN-OS-Software von Palo Alto Networks. Die Schwachstelle wird aktiv ausgenutzt und wurde in die KEV-Liste der CISA aufgenommen. Betroffen sind PAN-OS-Versionen 10.2 bis 12.1.x, darunter Firewalls der PA-Serie und VM-Serie.

Die Schwachstelle erlaubt einem nicht authentifizierten Angreifer, beliebigen Code mit Root-Rechten auf betroffenen Geräten auszuführen. Das Risiko lässt sich erheblich reduzieren, wenn der Zugriff auf vertrauenswürdige interne IP-Adressen beschränkt wird. Zahlreiche nationale CERT-Behörden haben Warnungen herausgegeben [1][2][3][4][5][6][7][8][9][10][11][12][13][14][15][16][17][18]. CISA und Siemens haben zudem Warnungen für Siemens RUGGEDCOM APE1808-Geräte herausgegeben, die durch CVE-2026-0300 gefährdet sind [19][20].

Eine weitere Schwachstelle, CVE-2026-0257 (CVSS 7,8) in PAN-OS GlobalProtect, wurde nach beobachteten Ausnutzungsversuchen ebenfalls in die KEV-Liste der CISA aufgenommen. Palo Alto hat die CVE mit der höchsten Dringlichkeitsstufe bewertet. CVE-2026-0257 betrifft GlobalProtect-Portal und -Gateway und kann einem nicht authentifizierten Angreifer ermöglichen, Sicherheitsbeschränkungen zu umgehen und eine unbefugte VPN-Verbindung herzustellen.

Der OPENVAS ENTERPRISE FEED umfasst Erkennung auf Paketebene für CVE-2026-0300 [21][22] sowie eine umfangreiche Reihe von Schwachstellentests für PAN-OS.

Ivanti EPMM: Drei kritische Schwachstellen, eine davon aktiv ausgenutzt

Ivanti veröffentlichte im Mai 2026 einen Sicherheitshinweis zu neuen CVEs in Endpoint Manager Mobile (EPMM). Drei kritische Schwachstellen erlauben nicht authentifizierten Angreifern aus der Ferne, beliebige Funktionen auf der EPMM-Appliance auszulösen, sich als registrierte Sentry-Hosts auszugeben, gültige CA-signierte Client-Zertifikate zu erlangen oder ein Gerät aus einer eingeschränkten Gruppe nicht registrierter Geräte anzumelden. Die CISA hat eine separate Schwachstelle mit hohem Schweregrad, CVE-2026-6973, in ihre KEV-Liste aufgenommen. Die wichtigsten CVEs:

• CVE-2026-6973 (CVSS 7,2, EPSS >= 91. Perzentil): Unsachgemäße Eingabevalidierung (CWE-20) erlaubt einem authentifizierten Remote-Benutzer mit Administratorrechten Remote-Code-Ausführung (RCE). CISA hat diese CVE in die KEV-Liste aufgenommen.
• CVE-2026-5788 (CVSS 9,8): Unsachgemäße Zugriffskontrolle (CWE-284) erlaubt einem nicht authentifizierten Angreifer aus der Ferne, beliebige Methoden aufzurufen.
• CVE-2026-5787 (CVSS 9,1): Unsachgemäße Zertifikatsvalidierung (CWE-295) erlaubt einem nicht authentifizierten Angreifer aus der Ferne, sich als registrierte Sentry-Hosts auszugeben und gültige CA-signierte Client-Zertifikate zu erhalten.
• CVE-2026-7821 (CVSS 9,1): Unsachgemäße Zertifikatsvalidierung (CWE-295) erlaubt einem nicht authentifizierten Angreifer aus der Ferne, ein Gerät aus einer eingeschränkten Gruppe nicht registrierter Geräte anzumelden. Eine Ausnutzung kann zur Offenlegung von Informationen über eine EPMM-Appliance führen und die Integrität des neu angemeldeten Geräts beeinträchtigen.

Betroffen sind EPMM-Versionen vor 12.6.1.1, 12.7.0.1 und 12.8.0.1. Für keine der CVEs sind technische Details oder PoC-Exploits öffentlich verfügbar. Ivanti EPMM wurde in den letzten Jahren mehrfach angegriffen und erscheint achtmal auf der CISA-KEV-Liste, zweimal im Zusammenhang mit Ransomware-Angriffen. Greenbone bietet umfassende Schwachstellenerkennung für Ivanti-Produkte.

Mehrere Fortinet-Produkte von kritischen Schwachstellen betroffen

Fortinet veröffentlichte im Mai 2026 mehrere Sicherheitshinweise zu FortiSandbox, FortiOS, FortiAP, FortiAnalyzer, FortiManager und FortiAuthenticator. Darunter sind zwei kritische Schwachstellen: CVE-2026-26083 in FortiSandbox und CVE-2026-44277 in FortiAuthenticator. Beide sind aus der Ferne ausnutzbar und können nicht autorisierten Code oder Befehle ausführen. Es gibt keine Hinweise auf aktive Ausnutzung oder öffentlich verfügbare PoC-Exploits.

• CVE-2026-26083 (CVSS 9,8): Fehlende Autorisierung (CWE-862) in der FortiSandbox-GUI erlaubt einem nicht authentifizierten Angreifer aus der Ferne RCE über manipulierte HTTP-Anfragen. Betroffen sind FortiSandbox 5.0 und 4.4, FortiSandbox Cloud 24, 23 und 5.0 sowie FortiSandbox PaaS in mehreren Versionen. Nationale CERT-Warnungen [1][2][3][4][5][6][7][8][9].
• CVE-2026-44277 (CVSS 9,8): Unsachgemäße Zugriffskontrolle (CWE-284) in FortiAuthenticator erlaubt einem nicht authentifizierten Angreifer, über manipulierte Anfragen nicht autorisierten Code oder Befehle auszuführen. FortiAuthenticator Cloud ist nicht betroffen. Betroffen sind FortiAuthenticator 8.0.2, 8.0.0, 6.6.0 bis 6.6.8 sowie 6.5.0 bis 6.5.6. Nationale CERT-Warnungen [10][11][12][13][14][15][16][17].

Betroffene Organisationen sollten die Patches so schnell wie möglich installieren. Der OPENVAS ENTERPRISE FEED umfasst die Erkennung beider Schwachstellen [18][19] sowie eine dedizierte Erkennungsfamilie für Fortinet-Schwachstellen.

Neue SQL-Injection in Drupal Core mit PostgreSQL wird aktiv ausgenutzt

CVE-2026-9082 (CVSS 9,8) ist eine aktiv ausgenutzte [1][2][3] nicht authentifizierte SQL-Injection-Schwachstelle (CWE-89) in Drupal. Eine Ausnutzung kann über bösartige HTTP-Anfragen zu Rechteausweitung und RCE auf einem betroffenen Server führen. Drupal gibt in der offiziellen Sicherheitsmitteilung an, dass CVE-2026-9082 ausschließlich Instanzen mit PostgreSQL-Backend betrifft. Der Anbieter schätzt, dass rund 5 % der Installationen PostgreSQL nutzen.

Für CVE-2026-9082 ist eine vollständige technische Beschreibung mit PoC-Exploit-Code und mindestens einem weiteren PoC öffentlich verfügbar, was das Risiko erhöht. Mehrere nationale CERT-Behörden haben Warnungen herausgegeben [4][5][6][7][8][9][10][11][12][13]. Betroffen sind Drupal-Core-Versionen 8.x bis 11.3.x; Korrekturen sind in den Versionen 11.3.10, 11.2.12, 11.1.10, 10.6.9, 10.5.10 und 10.4.10 sowie über manuelle Patches für Drupal 9.5 und 8.9 verfügbar. Der OPENVAS ENTERPRISE FEED umfasst Erkennung für Windows- und Linux-Installationen.

vm2-Projekt: Kritische Sicherheitslücken

Im Mai 2026 wurden dreizehn kritische Schwachstellen bekannt, die das vm2-Projekt betreffen. vm2 ist eine Node.js-Sandboxing-Bibliothek zum Ausführen von nicht vertrauenswürdigem JavaScript in einer isolierten Umgebung. Die betroffenen CVEs enthalten mehrere mit maximalem Schweregrad (CVSS 10). Alle Schwachstellen greifen das zentrale Sicherheitsversprechen von vm2 an: die Isolierung von nicht vertrauenswürdigem JavaScript von der zugrunde liegenden Node.js-Hostumgebung. Eine erfolgreiche Ausnutzung kann zu einem Sandbox-Ausbruch und beliebiger Code- oder Betriebssystembefehlsausführung im Kontext des Hostprozesses führen.

Die betroffenen vm2-Versionen variieren je nach CVE. Frühere Probleme wurden in den Versionen 3.10.5, 3.11.0, 3.11.1 oder 3.11.2 behoben; spätere CVEs betreffen bis einschließlich 3.11.3 und wurden in 3.11.4 gepatcht. Nutzer sollten auf 3.11.5 oder höher aktualisieren. Der OPENVAS ENTERPRISE FEED umfasst Erkennung auf Paketebene für alle neuen vm2-CVEs.

Mehrere kritische Schwachstellen in Apache-Softwareprodukten

Im Mai 2026 veröffentlichte die Apache Software Foundation 18 kritische CVEs und 28 weitere Schwachstellen mit hohem Schweregrad. Der OPENVAS ENTERPRISE FEED von Greenbone umfasst die Erkennung aller in diesem Abschnitt genannten Apache-Schwachstellen und vieler weiterer.

Kritische und weitere Schwachstellen mit hohem Schweregrad im Apache HTTP Server

CVE-2026-28780 (CVSS 9,8) und CVE-2026-23918 (CVSS 8,8, EPSS >= 0,77. Perzentil) betreffen den Apache HTTP Server 2.4.66 und frühere Versionen. Beide CVEs sind Speichersicherheitsprobleme.

CVE-2026-28780 ist ein heap-basierter Pufferüberlauf (CWE-122) in mod_proxy_ajp. Für eine Ausnutzung muss der Apache-HTTP-Server über mod_proxy_ajp eine Verbindung zu einem bösartigen AJP-Server herstellen.

CVE-2026-23918 ist eine Double-Free-Schwachstelle (CWE-415) in der HTTP/2-Implementierung. Ruft ein Programm die Funktion free() zweimal mit demselben Argument auf, können Datenstrukturen beschädigt werden, was unerwartete Speicherzugriffe ermöglichen kann. Die Schwachstelle kann während eines frühen Stream-Resets ausgelöst werden und einen Denial-of-Service verursachen; je nach Laufzeitbedingungen ist auch RCE möglich. Apache empfiehlt ein Upgrade auf Apache HTTP Server 2.4.67.

Zwei neue kritische Schwachstellen in Apache MINA

CVE-2026-42778 (CVSS 9,8) und CVE-2026-42779 (CVSS 9,8) sind kritische Deserialisierungsschwachstellen in Apache MINA. Sie können betroffene Anwendungen für nicht authentifizierte RCE anfällig machen, wenn diese Apache MINA zur Deserialisierung von Client-seitig bereitgestellten Java-Klassen nutzen. Beide CVEs betreffen die Zweige Apache MINA 2.1.x und 2.2.x und gehen auf unvollständige oder nicht angewendete Korrekturen früherer Deserialisierungsprobleme zurück.

Drei kritische Schwachstellen in Apache OFBiz

CVE-2026-45434 (CVSS 9,8), CVE-2026-41919 (CVSS 9,1) und CVE-2026-31986 (CVSS 9,1) betreffen Apache OFBiz-Versionen vor 24.09.06 und können betroffene ERP-Bereitstellungen je nach Konfiguration und Angriffspfad für Authentifizierungsumgehung, unbefugten Zugriff oder Codeausführung anfällig machen. CVE-2026-45434 ist das größte Risiko: Die Schwachstelle liegt in einer fehlerhaften Authentifizierungslogik bei der Passwortänderung und kann zu nicht authentifizierter RCE führen.

Drei kritische Schwachstellen in Apache Tomcat

CVE-2026-43512 (CVSS 9,8), CVE-2026-41293 (CVSS 9,8) und CVE-2026-43515 (CVSS 9,1) betreffen Apache Tomcat und können je nach Konfiguration zu Authentifizierungsumgehung oder Autorisierungsfehlern führen.

CVE-2026-43512 betrifft Bereitstellungen mit DIGEST-Authentifizierung und erlaubt es unter bestimmten Bedingungen, sich mit einem ungültigen Passwort zu authentifizieren. CVE-2026-41293 entsteht durch fehlerhafte Validierung von HTTP/2-Anfrage-Headern, die unsicheres Downstream-Verhalten auslösen können. CVE-2026-43515 ist eine fehlerhafte Autorisierung bei überlappenden HTTP-Methodenbeschränkungen, die unbefugten Zugriff auf geschützte Ressourcen ermöglichen kann. Nutzer sollten auf Tomcat 11.0.22, 10.1.55 oder 9.0.118 aktualisieren.

Zwei kritische Schwachstellen in Apache Camel

CVE-2026-47323 (CVSS 9,8) ist eine kritische Schwachstelle im Apache Camel-Integrationsframework, die Nachrichten-Header-Injektion und Anfrageweiterleitungen betrifft. Die Schwachstelle erlaubt einem nicht authentifizierten Angreifer, Camel-interne Header (z. B. CamelExecCommandExecutable und CamelFileName) über HTTP-Anfragen an CXF-RS- oder CXF-SOAP-Endpunkte einzuschleusen.

Langflow wird aktiv ausgenutzt: fünf weitere kritische Schwachstellen seit Anfang 2026

Langflow ist eine Python-basierte Open-Source-Plattform für Low-Code-Entwicklung und Bereitstellung von KI-Anwendungen, Agenten und Workflows. IBM berichtet, dass Zehntausende von Entwicklern sie für generative KI einsetzen. Im Mai 2026 wurde CVE-2025-34291 (CVSS 8,8) als aktiv ausgenutzt gemeldet und in die KEV-Liste der CISA aufgenommen. Seit Anfang 2026 wurden fünf weitere kritische CVEs in Langflow bekannt:

• CVE-2025-34291 (CVSS 8,8, EPSS >= 97. Perzentil): Eine verkettete Schwachstelle durch zu freizügiges Cross-Origin-Verhalten (CWE-346) in Kombination mit fehlerhafter Sitzungs-/Token-Verarbeitung kann Kontoübernahme und RCE ermöglichen, wenn ein authentifizierter Benutzer eine vom Angreifer kontrollierte Webseite besucht.
• CVE-2026-33017 (CVSS 9,8): Nicht authentifizierte RCE über den öffentlichen temporären Flow-Build-Endpunkt. Vom Angreifer bereitgestellte Flow-Daten werden ohne angemessenes Sandboxing als ausführbarer Python-Code verarbeitet.
• CVE-2026-21445 (CVSS 9,1): Fehlende Authentifizierung (CWE-306) bei bestimmten kritischen API-Endpunkten erlaubt nicht authentifizierten Angreifern den Zugriff auf sensible Benutzerdaten, Konversations- und Transaktionsaufzeichnungen sowie destruktive Operationen wie das Löschen von Nachrichten.
• CVE-2026-33309 (CVSS 9,9): Umgehung eines früheren Patches zur Dateinamenskontrolle in der LocalStorageService-Schicht ermöglicht beliebiges Dateischreibverhalten (CWE-22) über die v2-API, was potenziell zu RCE führen kann.
• CVE-2026-27966 (CVSS 9,8): Der CSV-Agent-Knoten legte sensible Python-REPL-Funktionalität offen, durch die Angreifer über Prompt-Injection beliebige Python- oder Betriebssystembefehle ausführen konnten.
• CVE-2026-42048 (CVSS 9,6): Eine Path-Traversal-Schwachstelle (CWE-22) in der Knowledge Bases API erlaubt einem authentifizierten Angreifer, beliebige Verzeichnisse auf dem Server zu löschen. Unsichere Wissensdatenbanknamen werden ohne Begrenzungsprüfung zu Dateisystempfaden verkettet.

Zusammenfassung

Mythos und andere KI-Coding-Modelle haben erkennbare Auswirkungen auf die Anzahl neu bekannt gewordener Schwachstellen in wichtiger Unternehmenssoftware. Dieselbe Technologie senkt auch die Hürde für Angreifer, Exploits zu entwickeln.

Sicherheitsverantwortliche sollten kontinuierliches Schwachstellenmanagement und Audit-Maßnahmen einsetzen, um das Risiko zu reduzieren. OPENVAS SCAN und der OPENVAS ENTERPRISE FEED bieten branchenführende Schwachstellenabdeckung. Greenbone erstellt monatlich Tausende neuer Schwachstellentests für Unternehmenssoftware, IT-Netzwerkprodukte, Betriebssysteme, Browser, Linux-Pakete, Produktivitätswerkzeuge, agentenbasierte KI-Tools und mehr. Sicherheitsverantwortliche, die Schwachstellen erkennen und Schutzmaßnahmen einleiten möchten, können Greenbones Einstiegsprodukt OPENVAS BASIC kostenlos testen, inklusive einer zweiwöchigen Testversion des ENTERPRISE FEED.