Laufende Entwicklung ●

Status: In Bewegung. Dieser Beitrag wurde zuletzt am 22. Oktober 2026 um 12:15 UTC aktualisiert. Wir ergänzen ihn, sobald neue Informationen vorliegen.

PHP hat Patches für zwei kritische Schwachstellen veröffentlicht, CVE-2026-109618 und CVE-2026-109619, von Sicherheitsforschenden PHP2Shell genannt. Jede unterstützte PHP-Installation sollte unverzüglich aktualisiert werden. Laut PHP können beide Schwachstellen eine nicht authentifizierte Remote Code Execution ermöglichen, und das PHP-Sicherheitsteam bewertet beide mit CVSS v4.0 9,2. Die behobenen Versionen, am 21. Oktober 2026 veröffentlicht, sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. PHP 8.1 und älter haben ihr End of Life erreicht und erhalten offiziell keine Updates mehr, auch wenn das Sicherheitsteam von PHP minimale Quellcode-Backports für PHP 7.4, 8.0 und 8.1 veröffentlicht hat. Die Ausnutzungsversuche haben bereits begonnen: Amazon meldet seit dem 17. Oktober, vier Tage vor der Offenlegung, Versuche gegen seine Honeypots, und öffentliche Proofs of Concept sind im Umlauf. Stand 22. Oktober 2026 steht keine der beiden CVEs im KEV-Katalog der CISA. Eine frühere kritische PHP-Schwachstelle, CVE-2024-4577, zog innerhalb eines Tages Exploit-Versuche nach sich; diesmal kamen sie noch vor dem Patch.

Die unterstützten Zweige zu aktualisieren, ist der einfache Teil. Schwieriger ist es, jede PHP-Installation in Ihrem Netzwerk zu finden, auch die, die von außen nicht sichtbar sind, und die, die das PHP-Projekt nicht mehr aktualisiert. CERT-EU und das deutsche BSI haben zu beiden Schwachstellen Advisories veröffentlicht [1][2].

Was PHP2Shell für End-of-Life-PHP bedeutet

PHP unterstützt derzeit vier Zweige: 8.2 und 8.3 erhalten nur noch Sicherheitsupdates, während 8.4 und 8.5 im aktiven Support sind. Der Sicherheitssupport für PHP 8.2 endet am 31. Dezember 2026. Jeder ältere Zweig hat sein End of Life erreicht: PHP 8.1 seit dem 31. Dezember 2025, PHP 8.0 seit dem 26. November 2023, PHP 7.4 seit dem 28. November 2022 und PHP 5.6 seit dem 31. Dezember 2018. Laut den Advisories von PHP ist jede Version unterhalb von 8.2.35 betroffen [3][4]. Für End-of-Life-Zweige verweist PHP auf Distributionen und LTS-Anbieter, die Korrekturen per Backport bereitstellen, und das Sicherheitsteam hat minimale Quellcode-Backports für PHP 7.4, PHP 8.0 und PHP 8.1 veröffentlicht, für alle, die aus dem Quellcode bauen. Ältere Zweige wie PHP 5.6 erhalten beides nicht. Bevor Sie diese Systeme beheben können, müssen Sie wissen, wo sie laufen.

Im Internet ist noch sehr viel altes PHP im Einsatz. Laut Mallorys Zählung von Shodan-Bannern vom 20. Oktober 2026 melden rund 884.000 aus dem Internet erreichbare Hosts eine End-of-Life-PHP-Version, das sind 59 % der rund 1,5 Millionen Hosts, die überhaupt eine Version anzeigen. Weitere rund 740.000 geben ihre Version nicht preis. Dabei handelt es sich um Banner-Zählungen, nicht um bestätigt betroffene Systeme.

Ein verborgenes Versionsbanner bedeutet nicht, dass dahinter kein PHP läuft. PHP steckt auch in Control Panels wie cPanel und Plesk, Content-Management-Systemen und Herstellersoftware, wo es nach fremdem Zeitplan aktualisiert wird, oder gar nicht.

Eine Risikoeinschätzung zu PHP2Shell

Informationen zu beiden Schwachstellen sind vor der geplanten koordinierten Offenlegung durchgesickert [5]. Amazon, das am 17. Oktober einen ersten Versuch beobachtete, und watchTowr melden Ausnutzungsversuche gegen beide Schwachstellen. Das neuseeländische NCSC gibt an, dass ihm Berichte über eine aktive Ausnutzung bekannt sind. Stand 22. Oktober 2026 steht keine der beiden CVEs im KEV-Katalog der CISA, und das BSI hat keine Ausnutzung bestätigt. Die Schwachstellen sind aber in der Praxis ausnutzbar: Laut dem Advisory von PHP wurde eine nicht authentifizierte Remote Code Execution über HTTP gegen mod_php validiert, und zwar mit Standard-Eingabe- und Speicherlimits.

PHP-Schwachstellen wurden schon früher sehr schnell angegriffen. Als die kritische PHP-Schwachstelle CVE-2024-4577 im Juni 2024 bekannt wurde, beobachtete Akamai die ersten Exploit-Versuche gegen seine Honeypots bereits innerhalb eines Tages.

Technische Details zu CVE-2026-109618 und CVE-2026-109619 in PHP

PHP sieht alle PHP-Installationen, die Webanfragen bearbeiten, als gefährdet an, darunter PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Das Risiko stuft PHP bei mod_php am höchsten ein, wo eine nicht authentifizierte Anfrage den Angriff auslösen kann, bevor irgendein Anwendungscode läuft. Beide Advisories nennen Use-after-free [CWE-416] unter den Schwächen, und das ChangeLog verzeichnet beide unter einer einzigen Korrektur im PHP-Kern („Avoid state corruption via bailout“).

Die zwei CVEs, die in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 behoben sind, jeweils mit CVSS-Schweregrad und EPSS-Ausnutzungswahrscheinlichkeit

CVE-2026-109618

CVSS 9,2 · Kritisch EPSS pending verification

RCE durch OOM-Korruption (GHSA-w8hw-w9fx-j79w): Wenn PHP der Arbeitsspeicher ausgeht, während interne Anfragedaten erst teilweise initialisiert sind, kann die Bereinigung der Anfrage die ungültigen Daten als gültig behandeln.

CVE-2026-109619

CVSS 9,2 · Kritisch EPSS pending verification

RCE durch veralteten globalen Zustand (GHSA-6wmf-4rv5-p3rp): Interner Zustand, der zu einer Anfrage gehört, kann in einem dauerhaft laufenden Worker bestehen bleiben, nachdem sein Speicher freigegeben wurde, und eine spätere Anfrage, die derselbe Worker bearbeitet, kann ihn verwenden.

Die Advisories von PHP enthalten alle technischen Details [6][7].

Betroffene Versionen und Gegenmaßnahmen für CVE-2026-109618 und CVE-2026-109619 in PHP

Aktualisieren Sie jede unterstützte PHP-Installation auf PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35. Wenn Sie einen End-of-Life-Zweig betreiben, steigen Sie auf einen unterstützten Zweig um. Da der Sicherheitssupport für PHP 8.2 am 31. Dezember 2026 endet, ist PHP 8.4 oder 8.5 das bessere Ziel. Wenn Sie noch nicht umsteigen können, prüfen Sie, ob Ihre Distribution oder Ihr LTS-Anbieter eine Korrektur per Backport bereitstellt, oder bauen Sie aus den Quellcode-Backports von PHP für 7.4, 8.0 und 8.1.

Wenn Sie nicht unverzüglich aktualisieren können, nennt PHP Konfigurationsänderungen, die das Risiko für bestimmte Angriffspfade verringern, zum Beispiel das Erzwingen von memory_limit=-1 gegen CVE-2026-109618 und das Setzen von session.upload_progress.enabled=0 gegen CVE-2026-109619. PHP stellt klar, dass diese Maßnahmen eine Installation nicht sicher machen und dass nur das Update vollständig schützt. CERT-EU empfiehlt zusätzlich, internetexponierte Anwendungen von öffentlichen Netzen zu isolieren, bis der Patch eingespielt ist. Die CISA geht noch weiter: Organisationen, die nicht unverzüglich aktualisieren können oder noch PHP 8.1 oder älter betreiben, sollten PHP-basierte Systeme vom Netz nehmen, bis sie gepatcht oder aktualisiert sind.

Linux-Distributionen übernehmen Korrekturen manchmal per Backport in ihre eigenen PHP-Pakete, ohne die Versionsnummer zu ändern. Laut PHP haben Distributionen und LTS-Anbieter die Patches vorab erhalten, prüfen Sie daher bei Ihrem Anbieter, ob aktualisierte Pakete vorliegen. Debian, Red Hat und Ubuntu haben bereits korrigierte Pakete veröffentlicht, auch für Zweige, die PHP nicht mehr unterstützt, etwa PHP 7.4 und 8.0 unter Red Hat Enterprise Linux 8 und 9 [8][9][10][11]. Bei PHP, das mit Control Panels, Content-Management-Systemen oder Appliances mitgeliefert wird, fragen Sie den jeweiligen Hersteller. Das niederländische NCSC führt eine Liste von Produkten, die PHP enthalten und betroffen sein können, und erweitert sie laufend. Mehrere Hersteller haben bereits reagiert: cPanel hat seine PHP-Pakete korrigiert, einschließlich Backports für PHP 7.4, 8.0 und 8.1, und Plesk hat korrigierte PHP-Builds veröffentlicht sowie ein Update für die eigene Verwaltungsoberfläche. Palo Alto Networks führt alle Versionen von PAN-OS und Panorama als betroffen und hat noch keine korrigierten Versionen veröffentlicht; bis dahin empfiehlt der Hersteller, den Zugriff auf die Management-Schnittstelle auf vertrauenswürdige interne IP-Adressen zu beschränken. Webanwendungen wie WordPress, Drupal und Nextcloud laufen auf dem darunter installierten PHP, daher schließt ein Update dieses PHP die Lücken auch für sie.

PHP-Zweig	Status	Behoben in	Hinweise
8.5	Aktiver Support bis 31. Dezember 2027	8.5.12
8.4	Aktiver Support bis 31. Dezember 2026	8.4.27
8.3	Nur Sicherheitsupdates bis 31. Dezember 2027	8.3.36
8.2	Nur Sicherheitsupdates bis 31. Dezember 2026	8.2.35	Umstieg auf 8.4 oder 8.5 empfohlen
8.1 und älter	End of Life	Kein offizielles Release	Als betroffen aufgeführt. Minimale Quellcode-Backports für 7.4, 8.0 und 8.1; prüfen Sie bei Ihrer Distribution oder Ihrem LTS-Anbieter, ob Pakete mit Backports vorliegen

So finden Sie anfällige PHP-Installationen mit Greenbone

Die Prüfungen für CVE-2026-109618 und CVE-2026-109619 funktionieren in nicht authentifizierten und in authentifizierten Scans, doch beide sehen Unterschiedliches. Ein nicht authentifizierter Scan sieht nur, was ein Server preisgibt. Verbirgt ein Host seine PHP-Version, kann der Scan nicht feststellen, welche Version läuft, und das Ergebnis ist nur so zuverlässig wie die Versionsinformation, die der Server sendet. Ein authentifizierter Scan meldet sich an und untersucht die installierte Software; er findet daher PHP auf jedem Host, den Sie mit Zugangsdaten scannen, unabhängig davon, ob dieser eine Version anzeigt. Für eine tiefere Suche auf Windows-Hosts aktivieren Sie vor dem Scan die Portable-App-Erkennung: Bearbeiten Sie Ihre Scan-Konfiguration (zum Beispiel eine Kopie von Full and fast), scrollen Sie zu Network Vulnerability Test Preferences, suchen Sie Options for Local Security Checks, setzen Sie Enable Detection of Portable Apps on Windows auf yes und speichern Sie. Authentifizierte Scans dauern länger und belasten die gescannten Systeme stärker, daher sollten Sie Umfang und Zeitpunkt des Scans entsprechend planen.

Zusammenfassung

CVE-2026-109618 und CVE-2026-109619 sind zwei kritische Schwachstellen in PHP, die eine nicht authentifizierte Remote Code Execution ermöglichen können. PHP hat sie in 8.5.12, 8.4.27, 8.3.36 und 8.2.35 behoben, während End-of-Life-Zweige auf Backports angewiesen sind. Die Ausnutzungsversuche begannen, bevor die Patches veröffentlicht waren, und öffentliche Proofs of Concept sind im Umlauf. Sicherheitsverantwortliche sollten jetzt aktualisieren und sicherstellen, dass sie jede PHP-Installation erfassen: End-of-Life-Versionen, Hosts, die ihre Version verbergen, und PHP, das in andere Software eingebettet ist.

Updates

1. 21. Oktober 2026: Erstveröffentlichung.
2. 22. Oktober 2026: Ausnutzungsversuche laut Amazon und watchTowr, öffentliche Proofs of Concept, korrigierte Pakete von Debian, Red Hat und Ubuntu, Reaktionen von cPanel, Plesk und Palo Alto Networks sowie die Empfehlungen der CISA für nicht mehr unterstützte PHP-Versionen ergänzt. Der Feed von Greenbone enthält jetzt agentenbasierte Scans und Prüfungen auf Paketebene für zehn Linux-Distributionen.

 

CVE-2026-21589 (CVSS 9,3, EPSS ≥ 78. Perzentil) ist eine Schwachstelle mit kritischem Schweregrad für beliebigen Dateizugriff [CWE-552], die Atlassian Jira Service Management Data Center, Jira Software Data Center, Confluence Data Center, Bitbucket Data Center, Bamboo Data Center, Crowd Data Center, Crucible und Fisheye betrifft. Alle ungepatchten Versionen der betroffenen Produkte sind anfällig. Die Dateizugriffsschwachstelle lässt sich unter bestimmten Bedingungen, wenn Crowd SSO verwendet wird, zusätzlich für die Übernahme von Admin-Konten ausnutzen. CVE-2026-21589 gilt als aktiv ausgenutzt [1][2][3][4], wurde aber Stand 13. Oktober 2026 noch nicht in die KEV-Liste der CISA aufgenommen.

Eine detaillierte technische Analyse der gesamten Angriffskette, einschließlich der Übernahme von Jira-Admin-Konten, steht zur Verfügung. Exploits als Proof of Concept (PoC) für das unautorisierte Lesen von Dateien [5][6][7][8] und für die vollständige Angriffskette zur Kontoübernahme [9] sind ebenfalls öffentlich verfügbar. Mehrere nationale CERT-Stellen haben Warnungen zu dieser Schwachstelle herausgegeben [10][11][12][13][14][15][16][17][18][19][20].

Risikobewertung zu CVE-2026-21589 in Atlassian-Data-Center-Produkten

Atlassian-Data-Center-Produkte sind selbst gehostete Unternehmensplattformen für Projektverfolgung, Dokumentation, Build-Automatisierung, Identitätsverwaltung, Code-Review und mehr. Damit stellt CVE-2026-21589 ein hohes Risiko für eine Vielzahl geschäftskritischer Abläufe dar. Außerdem wurden Atlassian-Produkte in der Vergangenheit immer wieder von Ransomware-Gruppen und APT-Gruppen (Advanced Persistent Threat) ausgenutzt. Atlassian-Produkte sind 13-mal in der KEV-Liste der CISA aufgeführt; 8 dieser Einträge sind für Ransomware-Aktivitäten gekennzeichnet.

CVE-2026-21589 ermöglicht nicht authentifizierten Angreifenden den Zugriff auf Dateien im Stammverzeichnis der Webanwendung, und wenn Crowd SSO verwendet wird, können sie unter Umständen außerdem Konten anlegen und administrative Rechte zuweisen. Die vollständige Angriffskette kann zu unbefugtem Admin-Zugriff führen. Der Status als aktiv ausgenutzte Schwachstelle sowie die Verfügbarkeit detaillierter technischer Informationen und PoC-Exploits erhöhen das Risiko zusätzlich.

Technische Details zu CVE-2026-21589 in Atlassian-Data-Center-Produkten

CVSS 9,3 · KritischEPSS 1,8 % (78.)Aktiv ausgenutztÖffentlicher PoC

CVE-2026-21589 (CVSS 9,3, EPSS ≥ 78. Perzentil) ermöglicht nicht authentifizierten Angreifenden den Zugriff auf Dateien [CWE-552] im Stammverzeichnis der Webanwendung, sofern der genaue Dateiname und Pfad bereits bekannt sind. Für einen Angriff muss der exakte Name und Pfad der Zieldatei vorab bekannt sein. CVE-2026-21589 erlaubt es Angreifenden nicht, Verzeichnisinhalte aufzuzählen oder aufzulisten. Wird Crowd SSO verwendet und verfügt es über ausreichende Berechtigungen, um Benutzer anzulegen und Gruppenmitgliedschaften zu ändern, können Angreifende Konten anlegen und Admin-Konten übernehmen.

Die Schwachstelle hat ihren Ursprung im gemeinsam genutzten Atlassian Web Resource Plugin, genauer in der Verarbeitung von Ressourcenpfaden in der Bibliothek atlassian-plugins-webresource. Die Funktion Router.unescapeSlashes() wandelt Doppelpunkt-Sequenzen (::) in Schrägstriche (/) um und ermöglicht es Angreifenden so, Directory-Traversal-Payloads zu konstruieren, die Pfadbeschränkungen umgehen. Durch manipulierte HTTP-Anfragen an Web-Resource-Endpunkte können nicht authentifizierte Angreifende die Ressourcenauslieferung ausnutzen, um sonst unzugängliche Dateien im Webroot-Verzeichnisbaum der Anwendung zu lesen. Dazu zählen sensible Konfigurationsdateien im Verzeichnis WEB-INF.

Jira-Installationen, die mit Atlassian Crowd integriert sind, können die Konfigurationsdatei WEB-INF/classes/crowd.properties offenlegen, die den Crowd-Anwendungsnamen, das Anwendungspasswort im Klartext und die URL des Crowd-Servers enthält. Wenn Angreifende diese Zugangsdaten erlangen und Zugriff auf den Crowd-Server haben, können sie sich an dessen REST-API authentifizieren, bestehende Benutzer auflisten, neue Konten anlegen und Gruppenmitgliedschaften ändern.

Sicherheitsforschende von watchTowr Labs haben einen neuen Crowd-Benutzer angelegt und ihn der Gruppe jira-administrators hinzugefügt, wodurch sie Admin-Rechte in Jira erlangten. Dieses Angriffsszenario setzt Crowd-Integration, offengelegte Zugangsdaten und Netzwerkzugriff auf den Crowd-Dienst voraus. Sehr restriktive IP-Allowlists in Crowd können die Ausnutzbarkeit einschränken.

Betroffene Produkte und Gegenmaßnahmen für CVE-2026-21589 in Atlassian-Data-Center-Produkten

CVE-2026-21589 betrifft Jira Service Management Data Center, Jira Software Data Center, Confluence Data Center, Bitbucket Data Center, Bamboo Data Center, Crowd Data Center, Crucible und Fisheye. Alle Versionen vor den behobenen Versionen sind betroffen. Betroffene Instanzen in der eigenen IT-Umgebung sollten umgehend aktualisiert werden, vorrangig solche, die aus dem Internet erreichbar sind.

Atlassian stellt Regeln für Web Application Firewalls (WAF) bereit, um die Schwachstelle in allen betroffenen Produkten abzumildern, dazu Tomcat-RewriteValve-Regeln für Confluence, Jira Service Management, Jira Software, Bamboo und Crowd. Für Bitbucket stellt Atlassian eine Regel bereit, die in urlrewrite.xml ergänzt werden kann. Die vom Hersteller bereitgestellten Workarounds sind nur temporäre Gegenmaßnahmen.

Die behobenen Versionen sind nachfolgend aufgeführt:

Produkt	Behobene Versionen
Jira Service Management Data Center	5.12.40 10.3.26 11.3.12
Jira Software Data Center	9.12.40 10.3.26 11.3.12
Confluence Data Center	9.2.26 10.2.19
Bitbucket Data Center	9.4.26 10.2.8 10.5.1
Bamboo Data Center	10.2.24 12.1.12
Crowd Data Center	6.3.7 7.0.3 7.1.7 7.2.4
Crucible	4.9.15
Fisheye	4.9.15

Zusammenfassung

CVE-2026-21589 ist eine aktiv ausgenutzte Schwachstelle mit kritischem Schweregrad, die nicht authentifizierten Angreifenden das Lesen beliebiger Dateien erlaubt und alle ungepatchten Versionen mehrerer Atlassian-Data-Center-Produkte betrifft. Sie ermöglicht den Zugriff auf bestimmte Dateien im Stammverzeichnis der Webanwendung, wenn Angreifende den genauen Dateipfad und -namen bereits kennen. Außerdem können Angreifende CVE-2026-21589 nutzen, um Admin-Rechte zu erlangen, wenn Crowd SSO verwendet wird. Der Zugriff auf aus dem Internet erreichbare Instanzen sollte umgehend eingeschränkt und auf eine gepatchte Version aktualisiert werden.

 

Eine breite, ungebremste Anhäufung von Sicherheitsschulden in der Unternehmens-IT nimmt in beschleunigtem Tempo Gestalt an. Die Zahlen sind gewaltig, doch Sicherheitsverantwortliche müssen sich bewusst machen: Regelmäßiges Scannen, geordnete Priorisierung und zeitnahes Patchen sind weiterhin der grundlegendste Weg, um zu verhindern, dass Angreifende Softwarefehler mit Wirkung ausnutzen. Für umsichtige Sicherheitsverantwortliche mit gut orchestrierten Sicherheitsprogrammen bleibt Schwachstellenmanagement weiterhin tragfähig. Andere hingegen müssen die Reife ihres Schwachstellenmanagements verbessern, damit eine ungeminderte Gefährdung nicht katastrophal wird.

Hier die Zusammenfassung der Hochrisiko-Themen für die Unternehmens-IT, die im September 2026 aufgekommen sind.

CVE-2026-86218: Eine weitere aktiv ausgenutzte RCE-Schwachstelle ohne Authentifizierung in N-able N-central

CVSS 9,8 · KritischEPSS 12,9 % (96.)Aktiv ausgenutztIn CISA KEVÖffentlicher PoC

CVE-2026-86218 (CVSS 9,8, EPSS ≥ 96. Perzentil) ist eine kritische Schwachstelle für Remote Code Execution (RCE) ohne Authentifizierung in N-able N-central vor Version 2026.3.1.14. Ursache ist die unsachgemäße Neutralisierung von Direktiven in statisch gespeichertem Code [CWE-96]. CVE-2026-86218 wurde in die KEV-Liste der CISA aufgenommen. Eine detaillierte technische Analyse [1], ein Metasploit-Modul [2] und mindestens ein weiterer Proof-of-Concept-Exploit [3] sind verfügbar, was das Risiko laufender Angriffe weiter erhöht.

Schwachstellen in N-central standen im vergangenen Monat zweimal ebenfalls in der KEV-Liste der CISA und wurden 2025 zweimal im Greenbone Blog gemeldet [4][5]. Das Risiko ist erhöht, weil N-central eine Fernwartungsplattform ist, die von internen IT-Teams und in Umgebungen von Managed Service Providern (MSP) eingesetzt wird. Die Kompromittierung eines N-central-Servers gefährdet die gesamten verwalteten Kundenumgebungen.

Der Hersteller hat Korrekturen für CVE-2026-86218 mit 2026.3 HF4 Build 2026.3.1.14 veröffentlicht. Nutzende sollten ihren installierten Patch-Stand prüfen, da 2026.3 HF3 erst wenige Tage zuvor als Reaktion auf CVE-2026-86206 und CVE-2026-86207 erschienen ist. CVE-2026-86206 gilt als in freier Wildbahn ausgenutzt. Previdian berichtet von einer Ausnutzung von CVE-2026-86207 gegen die eigenen Sensoren, und eine detaillierte technische Analyse liegt vor. Der OPENVAS ENTERPRISE FEED enthält eine Remote-Banner-Prüfung für CVE-2026-86218 sowie eine separate Remote-Banner-Prüfung und eine aktive Prüfung für CVE-2026-86206 und CVE-2026-86207.

Living on the Edge: Wachsende Risiken für Perimetergeräte

Laut dem aktuellen Bericht Verizon DBIR 2026 ist die Ausnutzung öffentlich erreichbarer Software-Schwachstellen inzwischen weltweit der häufigste Vektor für den Erstzugriff. OPENVAS SCAN von Greenbone erkennt Schwachstellen im Perimeterbereich besonders zuverlässig, sowohl über netzwerkbasierte Scans als auch über hostbasierte authentifizierte Scans. Die Erkennung von Greenbone ist branchenführend, wenn sie mit dem OPENVAS ENTERPRISE FEED kombiniert wird. Hier sind einige der kritischsten neuen Bedrohungen für Perimetergeräte im September 2026.

Drei aktiv ausgenutzte Schwachstellen in Citrix NetScaler ADC und Gateway

Drei CVEs, die Citrix NetScaler ADC und NetScaler Gateway betreffen, wurden im September in die KEV-Liste der CISA aufgenommen [1][2][3]. CVE-2026-88771 (CVSS 9,8) und CVE-2026-88772 (CVSS 8,1) wurden Ende September veröffentlicht; CVE-2026-19490 (CVSS 9,8) stammt vom August 2026. Mehrere detaillierte technische Analysen zu einer oder mehreren der CVEs [4][5][6][7][8] sowie PoC-Exploits [9][10][11] sind öffentlich verfügbar.

Die drei Citrix-NetScaler-ADC- und Gateway-CVEs, die im September in die KEV-Liste der CISA aufgenommen wurden, jeweils mit CVSS-Schweregrad und EPSS-Wert für die Ausnutzungswahrscheinlichkeit

CVE-2026-88771

CVSS 9,8 · Kritisch EPSS 1,1 % (63.)

Eine Schwachstelle durch unzureichende Eingabevalidierung [CWE-20] ermöglicht ohne Authentifizierung beliebige RCE. Alle Installationen von NetScaler ADC und NetScaler Gateway sind in der Standardkonfiguration anfällig.

CVE-2026-19490

CVSS 9,8 · Kritisch EPSS 8,0 % (95.)

Eine Umgehung der Authentifizierung über einen alternativen Pfad [CWE-288] ermöglicht es Angreifenden, Appliances aus der Ferne und ohne Authentifizierung anzugreifen. Voraussetzung für die Ausnutzung ist, dass die Appliance als Gateway oder AAA Virtual Server konfiguriert ist; bei bestimmten späteren betroffenen Builds muss zusätzlich eine SAML-Aktion konfiguriert sein. Die praktischen Auswirkungen hängen von der Konfiguration ab: Angreifende können unter Umständen Denial-of-Service-Zustände (DoS) auslösen oder auf einem anfälligen Gateway möglicherweise eine anonyme, authentifizierte VPN-Sitzung mit Zugriff auf das interne Netzwerk einer Organisation erhalten.

CVE-2026-88772

CVSS 8,1 · Hoch EPSS 1,3 % (69.)

Eine Speicherüberlauf-Schwachstelle [CWE-119], die RCE oder DoS-Zustände ermöglicht. Die Ausnutzbarkeit hängt davon ab, dass DTLS aktiviert ist; das ist bei VPN-vServer-Bereitstellungen standardmäßig der Fall.

Die betroffenen Versionen sind unten aufgeführt:

CVE	Betroffene Versionen	Behobene Versionen
CVE-2026-88771	– NetScaler ADC und Gateway 14.1 vor 14.1-73.37 – NetScaler ADC und Gateway 13.1 vor 13.1-64.23 – NetScaler ADC FIPS vor 14.1-73.37 – NetScaler ADC FIPS und NDcPP vor 13.1-37.279	– NetScaler ADC und Gateway 14.1-73.37 und höher – NetScaler ADC und Gateway 13.1-64.23 und höher – NetScaler ADC 14.1-FIPS 14.1-73.37 FIPS und höher – NetScaler ADC 13.1-FIPS und 13.1-NDcPP 13.1.37.279 und höher
CVE-2026-19490	– NetScaler ADC und Gateway 14.1 vor 14.1-73.32 – NetScaler ADC und Gateway 13.1 vor 13.1-63.21 – NetScaler ADC FIPS vor 14.1-73.32 – NetScaler ADC FIPS und NDcPP vor 13.1-37.277	– NetScaler ADC und Gateway 14.1-73.32 und höher – NetScaler ADC und Gateway 13.1-63.21 und höher – NetScaler ADC 14.1-FIPS 14.1-73.32 FIPS und höher – NetScaler ADC 13.1-FIPS und 13.1-NDcPP 13.1-37.277 und höher
CVE-2026-88772	– NetScaler ADC und Gateway 14.1 vor 14.1-73.37 – NetScaler ADC und Gateway 13.1 vor 13.1-64.23 – NetScaler ADC FIPS vor 14.1-73.37 – NetScaler ADC FIPS und NDcPP vor 13.1-37.279	– NetScaler ADC und Gateway 14.1-73.37 und höher – NetScaler ADC und Gateway 13.1-64.23 und höher – NetScaler ADC 14.1-FIPS 14.1-73.37 FIPS und höher – NetScaler ADC 13.1-FIPS und 13.1-NDcPP 13.1.37.279 und höher

Der Hersteller hat keine Workarounds bereitgestellt. Betroffene Nutzende sollten ihre Systeme wie oben beschrieben auf den jeweils passenden behobenen Build aktualisieren. Unmittelbar nach Bekanntwerden der Schwachstellen hat der OPENVAS ENTERPRISE FEED eine Remote-Banner-Versionsprüfung für CVE-2026-88771 und CVE-2026-88772 sowie eine separate Remote-Banner-Prüfung und aktive Prüfung für CVE-2026-19490 ergänzt.

Zwei neue Schwachstellen in SonicWall SMA1000 in der KEV-Liste der CISA

SonicWall hat bestätigt, dass zwei neue, unten beschriebene Schwachstellen in SMA1000 in freier Wildbahn aktiv ausgenutzt werden [1][2].

Die beiden SonicWall-SMA1000-CVEs in der KEV-Liste der CISA, jeweils mit CVSS-Schweregrad und EPSS-Wert für die Ausnutzungswahrscheinlichkeit

CVE-2026-83548

CVSS 10 · Kritisch EPSS 8,8 % (95.)

Eine SSRF-Schwachstelle vor der Authentifizierung [CWE-918] in der Oberfläche Appliance Work Place, verursacht durch einen unbeabsichtigten alternativen Zugriffspfad. Angreifende könnten aus der Ferne und ohne Authentifizierung unbefugten Zugriff auf sensible Funktionen erlangen und unbefugte Operationen ausführen.

CVE-2026-83549

CVSS 7,8 · Hoch EPSS 10,8 % (96.)

Eine OS-Command-Injection-Schwachstelle [CWE-78] in der Appliance Management Console (AMC) ermöglicht authentifizierten Angreifenden mit Administratorrechten, aus der Ferne beliebige Betriebssystembefehle auf einem betroffenen Gerät auszuführen.

Die Ausnutzung beider Schwachstellen lässt sich verketten, um auf betroffenen Appliances RCE ohne Authentifizierung zu erreichen. Ein Metasploit-Modul für die Exploit-Kette ist verfügbar. SonicWall hat ein gemeinsames Sicherheitsupdate in SNWLID-2026-0016 veröffentlicht. Innerhalb weniger Stunden nach Bekanntwerden hat der OPENVAS ENTERPRISE FEED eine Remote-Banner-Prüfung ergänzt, die beide CVEs abdeckt.

Produkte	Betroffene Versionen	Behobene Versionen
SonicWall SMA1000 (6210, 7210, 8200v)	– 12.4.3-03453 und früher – 12.5.0-02835 und früher	– 12.4.3-03526 – 12.5.0-02952

CVE-2025-25249: Fortinet FortiOS aktiv ausgenutzt

CVSS 9,8 · KritischEPSS 3,9 % (90.)Aktiv ausgenutztIn CISA KEV

CVE-2025-25249 (CVSS 9,8, EPSS ≥ 90. Perzentil), im Januar 2026 veröffentlicht, ist ein Heap-basierter Pufferüberlauf [CWE-122] im cw_acd-Daemon von Fortinet. cw_acd ist der Access-Controller-Daemon von Fortinet für CAPWAP (Control and Provisioning of Wireless Access Points). Der anfällige Pfad ist über das Netzwerk erreichbar, und die Ausnutzung ermöglicht auf betroffenen FortiOS-, FortiSwitchManager- und FortiSASE-Geräten RCE ohne Authentifizierung. Unter FortiOS aktiviert die Schnittstelleneinstellung set allowaccess fabric den Dienst Security Fabric Connection, zu dem FortiTelemetry und der CAPWAP-Endpunkt gehören.

CVE-2025-25249 wird seit Juli 2026 in freier Wildbahn ausgenutzt, und die CISA hat die Schwachstelle im September in ihren KEV-Katalog aufgenommen. Die Schwachstelle wurde eingesetzt, um PivotC2 zu installieren, eine neuartige Node.js-Malware-Familie, bei mindestens 178 bestätigten Opfern.

Produkt	Betroffene Versionen	Behobene Versionen
FortiOS	– 7.6.0 bis 7.6.3 – 7.4.0 bis 7.4.8 – 7.2.0 bis 7.2.11 – 7.0.0 bis 7.0.17 – 6.4 alle Versionen	– 7.6.4 – 7.4.9 – 7.2.12 – 7.0.18
FortiSwitchManager	– 7.2.0 bis 7.2.6 – 7.0.0 bis 7.0.5	– 7.2.7 – 7.0.6
FortiSASE	– 25.2.b – 25.1.a.2	– 25.2.c – 25.1.b

Fortinet empfiehlt, das Problem zu entschärfen, indem der Zugriff über fabric an jeder Schnittstelle entfernt oder der Zugriff auf den CAPWAP-Daemon unterbunden wird. Nutzende sollten ihre Exposition prüfen und entweder den Workaround anwenden oder betroffene Geräte auf die neuesten behobenen Versionen aktualisieren. Geräte mit FortiOS Version 6.4 müssen auf einen behobenen Release-Zweig migrieren.

Unmittelbar nach Bekanntwerden hat der OPENVAS ENTERPRISE FEED von Greenbone eine Erkennung auf Paketebene für CVE-2025-25249 in FortiOS ergänzt. Der ENTERPRISE FEED enthält außerdem eine laufende Erkennung neu auftretender Schwachstellen in Fortinet-Produkten.

CVE-2026-94127: Aktiv ausgenutzte OAuth-Schwachstelle in F5 BIG-IP APM ermöglicht RCE ohne Authentifizierung

CVSS 9,8 · KritischEPSS 2,2 % (82.)Aktiv ausgenutztIn CISA KEV

CVE-2026-94127 (CVSS 9,8, EPSS ≥ 82. Perzentil) ist ein kritischer Heap-basierter Pufferüberlauf [CWE-122] in F5 BIG-IP APM. Die Schwachstelle ermöglicht RCE ohne Authentifizierung und die vollständige Kompromittierung betroffener Geräte. Die Ausnutzbarkeit hängt davon ab, dass auf demselben Virtual Server eine APM-Zugriffsrichtlinie und ein OAuth-Profil konfiguriert sind. Bereitstellungen, die APM nur als OAuth-Client oder Resource Server einsetzen, sind nicht betroffen.

Der Angriff erfolgt über einen überlangen Authorization: Bearer-Header an einen OAuth-Endpunkt wie /f5-oauth2/v1/userinfo. F5 hat die aktive Ausnutzung in freier Wildbahn bestätigt, und die Schwachstelle wurde in die KEV-Liste der CISA aufgenommen. Außerdem hat watchTowr Labs eine technische Analyse veröffentlicht, die Exploit-Details enthält.

F5 stellt Kundschaft mit Supportvertrag einen offiziellen, auf iRules basierenden Workaround bereit. Weitere temporäre Schutzmaßnahmen sind die Einschränkung des Zugriffs auf OAuth-Endpunkte per IP-Allowlist oder über Regeln einer Web Application Firewall (WAF) sowie die Deaktivierung des OAuth Authorization Server, falls er nicht genutzt wird. Der OPENVAS ENTERPRISE FEED enthält eine Paketerkennung für CVE-2026-94127 in F5 BIG-IP APM sowie eine laufende Erkennung von Schwachstellen, die F5-Produkte betreffen. Die betroffenen Versionen und die zugehörigen Hotfix-Patches sind unten aufgeführt:

Betroffene Versionen	Gepatchte Hotfixes
17.1.0 vor Hotfix-BIGIP-17.1.3.5.0.41.14-ENG	17.1.0 Hotfix-BIGIP-17.1.3.5.0.41.14-ENG
17.5.0 vor Hotfix-BIGIP-17.5.1.9.0.160.12-ENG	17.5.0 Hotfix-BIGIP-17.5.1.9.0.160.12-ENG
21.1.0 vor Hotfix-BIGIP-21.1.0.2.0.30.22-ENG	21.1.0 Hotfix-BIGIP-21.1.0.2.0.30.22-ENG

Kritische Schwachstellen in Check-Point-Sicherheitsprodukten, darunter zwei aktiv ausgenutzte

Check Point meldet die aktive Ausnutzung von zwei kritischen Schwachstellen: CVE-2026-85102 (CVSS 9,8, EPSS ≥ 94. Perzentil) betrifft die Verarbeitung von VPN-Zertifikaten in Check Point Quantum Security Gateway und Spark Firewall, CVE-2026-93616 (CVSS 9,8, EPSS ≥ 97. Perzentil) den Management-Webdienst von Check Point. Beide wurden in den KEV-Katalog der CISA aufgenommen [1][2]. Im September wurden zwei weitere kritische Schwachstellen bekannt: CVE-2026-85103 (CVSS 9,8, EPSS ≥ 89. Perzentil) und CVE-2026-91843 (CVSS 9,8, EPSS ≥ 42. Perzentil), die Komponenten für VPN und Management-Ebene betreffen.

Weltweit wurden Angriffe auf Spark-Kundschaft von anonymisierten IP-Adressen aus beobachtet. Check Point gab außerdem an, dass die Aktivitäten nach der Kompromittierung auch interne Port- und Dienst-Scans umfassten. Obwohl Security Management und Log Server nicht ausdrücklich ein Edge-Netzwerkdienst ist, hat Censys 3.836 öffentlich erreichbare Instanzen weltweit gefunden.

Die vier in diesem Abschnitt beschriebenen kritischen Check-Point-CVEs, jeweils mit CVSS-Schweregrad und EPSS-Wert für die Ausnutzungswahrscheinlichkeit

CVE-2026-85102

CVSS 9,8 · Kritisch EPSS 7,5 % (94.)

Unsachgemäßes Zertifikatsvertrauen [CWE-295] bei der VPN-Aushandlung in Check Point Quantum Security Gateway ermöglicht es Angreifenden, aus der Ferne und ohne Authentifizierung beliebigen Code auf dem Gateway auszuführen. Eine vollständige Liste der betroffenen Produkte und Versionen ist im Advisory sk1000117 des Herstellers verfügbar.

CVE-2026-93616

CVSS 9,8 · Kritisch EPSS 19,7 % (97.)

Eine Directory-Traversal-Schwachstelle [CWE-22] ermöglicht es Angreifenden ohne Authentifizierung, beliebige Skripte auf den Check Point Management Server hochzuladen und auszuführen. Eine vollständige Liste der betroffenen Produkte und Versionen ist im Advisory sk1000171 des Herstellers verfügbar.

CVE-2026-85103

CVSS 9,8 · Kritisch EPSS 3,7 % (89.)

Ein Heap-basierter Pufferüberlauf [CWE-122] bei der ASN.1-Dekodierung von VPN-Zertifikaten ermöglicht es Angreifenden, aus der Ferne und ohne Authentifizierung beliebigen Code auf Check Point Quantum Security Management und Quantum Security Gateway auszuführen. Eine vollständige Liste der betroffenen Produkte und Versionen ist im Advisory sk1000118 des Herstellers verfügbar.

CVE-2026-91843

CVSS 9,8 · Kritisch EPSS 0,5 % (42.)

Ein Stack-Überlauf [CWE-121] während des Anmeldevorgangs ermöglicht es Angreifenden, aus der Ferne und ohne Authentifizierung beliebigen Code mit Root-Rechten auszuführen. Eine vollständige Liste der betroffenen Produkte und Versionen ist im Advisory sk1000155 des Herstellers verfügbar.

Der OPENVAS ENTERPRISE FEED enthält eine Remote-Banner-Prüfung, die CVE-2026-85102 und CVE-2026-85103 abdeckt, sowie separate Remote-Banner-Prüfungen für CVE-2026-93616 [3] und CVE-2026-91843 [4]. Organisationen, die betroffene Check-Point-Produkte einsetzen, sollten die Behebung bei VPN- und Management-Systemen mit Internetzugang priorisieren, mit höchster Priorität bei den beiden aktiv ausgenutzten Schwachstellen.

Adobe Commerce/Magento: Zwei aktiv ausgenutzte CVEs ermöglichen Remote-Ausführung von PHP-Code und die Übernahme von Kundenkonten

Adobe hat zwei Schwachstellen mit kritischem Schweregrad in Adobe Commerce und Magento Open Source bekannt gegeben. CVE-2026-75650 (CVSS 10, EPSS ≥ 90. Perzentil), „StyleSmuggler“ genannt, ist eine Schwachstelle in der Template-Engine [CWE-1336], die RCE ohne Authentifizierung ermöglichen kann. Die zweite kritische Schwachstelle, CVE-2026-71362 (CVSS 9,1, EPSS = 100. Perzentil), ist eine Schwachstelle durch fehlerhafte Autorisierung [CWE-863], die eine Rechteausweitung ermöglicht. Adobe berichtet, dass CVE-2026-75650 in freier Wildbahn ausgenutzt wird. Beide CVEs wurden in die KEV-Liste der CISA aufgenommen [1][2] und für die forensische Triage markiert.

Sansec berichtet, dass die Ausnutzung von StyleSmuggler mit einer nicht authentifizierten Anfrage an den GraphQL-Endpunkt von Magento beginnt. Eine speziell präparierte HTTP-Anfrage erlaubt es Angreifenden, über HTTP-Header und -Parameter schädliches PHP in die Template-Verarbeitungskette einzuschleusen. Das schädliche PHP wird später beim automatisierten Rendern von E-Mails ausgeführt. Sansec berichtet außerdem, dass Angreifende mit CVE-2026-71362 eine Kundensitzung auf ein anderes Kundenkonto umschalten und so Zugriff auf private Kundendaten erhalten können.

Der OPENVAS ENTERPRISE FEED enthält separate Remote-Banner-Prüfungen für CVE-2026-75650 [3] und CVE-2026-71362 [4] in Adobe Commerce und Magento Open Source. CVE-2026-71362 wurde mit dem Sicherheitsupdate APSB26-138 von Adobe behoben. Für CVE-2026-75650 (StyleSmuggler) hat Adobe anschließend den Hotfix VULN-39341 veröffentlicht. Beide Updates müssen entsprechend dem betroffenen Release-Zweig eingespielt werden. Adobe empfiehlt außerdem, offengelegte Verschlüsselungsschlüssel, OAuth-Client-Secrets, Tokens für eingebundene Erweiterungen von Drittanbietern, Zugangsdaten für Zahlungsdienste und andere privilegierte Zugangsdaten zu rotieren.

CVE-2026-28326: Fest codierter Schlüssel ermöglicht RCE ohne Authentifizierung in SolarWinds Access Rights Manager

CVSS 8,8 · HochEPSS 0,7 % (51.)

CVE-2026-28326 (CVSS 8,8) ist eine Schwachstelle für RCE ohne Authentifizierung in SolarWinds Access Rights Manager vor Version 2026.2.1. Ursache ist ein fest codierter statischer Schlüssel [CWE-321], und die Ausnutzung ermöglicht die vollständige Kompromittierung des Geräts. Einige technische Details sind verfügbar, die die Entwicklung von Exploits unterstützen könnten. Der gRPC-Dienst von ARM auf TCP-Port 55555 behandelt ein fehlendes Client-Zertifikat bei der TLS-Authentifizierung nicht korrekt, sondern leitet auf einen Fallback-Authentifizierungsmechanismus um. Der Fallback-Pfad akzeptiert ein HMAC-Token, das mit einem fest codierten Geheimnis erzeugt wurde, sodass sich Angreifende ohne Client-Zertifikat authentifizieren können.

Access Rights Manager (ARM) dient dazu, Zugriffsrechte auf Systeme, Daten und Dateien in Unternehmensnetzwerken, darunter Microsoft Active Directory, Exchange und SharePoint, zu vergeben, zu entziehen, zu verwalten und zu auditieren. Wegen der zentralen Rolle des Produkts bei der Verwaltung von Zugriffsrechten ist das Patchen von CVE-2026-28326 kritisch, insbesondere dort, wo ARM über nicht vertrauenswürdige IP-Adressen erreichbar ist.

Der OPENVAS ENTERPRISE FEED enthält eine Remote-Banner-Prüfung für CVE-2026-28326 in SolarWinds ARM. CVE-2026-28326 betrifft Access Rights Manager 2026.2 und alle früheren Versionen. Für Bereitstellungen, die nicht sofort aktualisiert werden können, empfiehlt SolarWinds dringend, ARM nicht im öffentlichen Internet zu exponieren und den Zugriff auf vertrauenswürdige IP-Adressen zu beschränken. Für eine vollständige Behebung sollten Nutzende so schnell wie möglich auf die behobene Version 2026.2.1 aktualisieren.

Ivanti patcht sechs kritische Schwachstellen in Neurons ITSM

Ivanti hat acht neue CVEs in Neurons for ITSM vor Version 2026.2 bekannt gegeben; alle ermöglichen RCE auf dem Server. Sechs davon sind als kritisch eingestuft. Zwei lassen sich ohne Authentifizierung ausnutzen, die übrigen erfordern authentifizierten Zugriff. Zu den CVEs gehören Schwachstellen durch unsichere Deserialisierung [CWE-502] und fehlende Autorisierung [CWE-862]. Zwar gibt es noch keine Hinweise auf eine Ausnutzung in freier Wildbahn, doch Ivanti-Produkte sind ein beliebtes Ziel von Cyberangriffen, auch von Ransomware-Angriffen.

Ivanti Neurons for ITSM wird von Admins und IT-Personal genutzt, um Serviceanfragen, Incidents, Probleme und Änderungen zu verwalten. Die Ausnutzung erlaubt Angreifenden, Daten des Service Desks, Zugangsdaten und Integrationen zu manipulieren und sich möglicherweise weiter im IT-Netzwerk einer Organisation zu bewegen.

Die betroffenen Versionen und Korrekturen sind unten aufgeführt:

Bereitstellung	Betroffene Versionen	Status der Behebung
Ivanti ITSM On-Premises	2025.2 2025.3 2025.4 2026.1	Den Sicherheits-Patch vom September 2026 für den jeweiligen Zweig einspielen
Ivanti ITSM On-Premises (veröffentlicht am 21. September 2026)	2026.2	Nicht betroffen

Die Sicherheitshinweise von Ivanti [1][2] zeigen, dass Cloud-Kundschaft bereits geschützt ist, On-Premises-Admins aber den jeweiligen Patch einspielen müssen. Unmittelbar nach Bekanntwerden hat der OPENVAS ENTERPRISE FEED eine Remote-Banner-Prüfung ergänzt, die alle genannten CVEs in Ivanti Neurons for ITSM abdeckt.

Zusammenfassung

Im September sind kritische Schwachstellen in Produkten der Unternehmens-IT in beschleunigtem Tempo aufgetaucht. Kritische Schwachstellen in N-able N-central, Citrix NetScaler, SonicWall, Fortinet, F5, Check Point, Adobe Commerce und Ivanti Neurons ITSM zeigen die anhaltend hohe Gefährdung internetexponierter Systeme. Die Zahlen sind gewaltig, doch Sicherheitsverantwortliche müssen wachsam bleiben. Regelmäßiges Scannen, geordnete Priorisierung und zeitnahes Patchen sind weiterhin der grundlegendste Weg, um zu verhindern, dass Angreifende Softwarefehler mit Wirkung ausnutzen.

 

Greenbone freut sich, CoreWin als neuen Vertriebspartner bekannt zu geben. Als in der Ukraine ansässiger Value-Added-Software-Distributor ist CoreWin hervorragend positioniert, um OPENVAS in der Ukraine, Armenien, Aserbaidschan, Georgien, Kasachstan, Kirgisistan, Moldau und Usbekistan verfügbar zu machen.

Warum unsere CoreWin-Partnerschaft wichtig ist

Organisationen in diesen Regionen, im öffentlichen wie im privaten Sektor, sind auf eine verlässliche Cybersicherheitsinfrastruktur angewiesen, um kritische Systeme auch unter anspruchsvollen Bedingungen am Laufen zu halten. Schwachstellenmanagement spielt für diese Resilienz eine zentrale Rolle. Durch die kontinuierliche Identifizierung und Priorisierung von Sicherheitslücken können Organisationen Risiken verringern, bevor Angreifer sie ausnutzen können. Die OPENVAS-Produktlinie von Greenbone unterstützt zudem die Compliance-Anforderungen, die zunehmend an Organisationen jeder Größe und in allen Branchen gestellt werden. Genau hier kommt Greenbone + CoreWin ins Spiel.

CoreWin bringt regionale Expertise mit

CoreWin verfügt über ein Netzwerk von mehr als 500 Resellern und damit über umfassende regionale Expertise. Unser neuer Partner liefert hochwertige Software, professionellen technischen Support und praxisnahe Unterstützung für Behörden ebenso wie für Unternehmen und macht OPENVAS dadurch für Organisationen in diesen Märkten leichter zugänglich.

Über die OPENVAS-Produktlinie

Aufbauend auf einer Open-Source-Basis und in Europa unter vollständiger DSGVO-Konformität entwickelt, eignen sich OPENVAS-Produkte ideal für Organisationen, die sowohl Transparenz über die von ihnen eingesetzten IT-Produkte als auch souveräne Kontrolle über ihre sensiblen Sicherheitsdaten suchen.

Für Organisationen mit Enterprise-IT-Umgebungen ist Sichtbarkeit ein entscheidender Faktor für belastbare Sicherheit. Schließlich lassen sich Sicherheitsprobleme, die unentdeckt bleiben, nicht beheben. OPENVAS SCAN ist in Kombination mit dem OPENVAS ENTERPRISE FEED für hohe Sichtbarkeit über verteilte Netzwerke, Außenstandorte und Air-Gapped-Deployments an stark isolierten Standorten ausgelegt.

Hier sind einige der Highlights der OPENVAS-Produktlinie von Greenbone:

• Umfassende Schwachstellenabdeckung: Der OPENVAS ENTERPRISE FEED ist die umfassendste Bibliothek von Greenbone an Schwachstellenerkennungstests, mit über 200.000 Sicherheitschecks und täglichen Updates. Die Kundschaft kann neu auftretende Schwachstellen oft schon innerhalb eines Tages nach ihrer Veröffentlichung erkennen. Die Abdeckung umfasst geschäftskritische Software von Anbietern wie Microsoft, Cisco, VMware, Oracle, Palo Alto Networks und Fortinet, eine umfangreiche Liste von Linux-Distributionen sowie eine Vielzahl an Open-Source-Software.
• Verteiltes und Air-Gapped-Deployment: OPENVAS SCAN ist als Turnkey-Hardware- oder virtuelle Appliance für den klassischen On-Premises-Einsatz erhältlich und unterstützt darüber hinaus verteilte Sensorarchitekturen sowie Air-Gapped-Deployment für isolierte Netzwerke.
• Herstellerunterstützung: Der OPENVAS ENTERPRISE FEED beinhaltet Zugang zu unserem Enterprise Support und unseren Professional Services.

 

Überblick über CVE-2026-48842, die unauthentifizierte SQL-Injection-Schwachstelle in Roundcube Webmail, mit CVSS-Schweregrad und EPSS-Ausnutzungswahrscheinlichkeit

CVE-2026-48842

CVSS 8,1 · Hoch EPSS 0,8 % (54.)

CVE-2026-48842 (CVSS 8,1, EPSS ≥ 54. Perzentil), veröffentlicht im Mai 2026, ist eine unauthentifizierte SQL-Injection-Schwachstelle in Roundcube Webmail. Betroffene Instanzen erfordern aufgrund der erhöhten Risikosignale umgehende Aufmerksamkeit. Die Schwachstelle betrifft Roundcube Webmail 1.6.x vor 1.6.16 und 1.7.x vor 1.7.1.

Coalition hat Ausnutzungsversuche gegen seinen Honeypot gemeldet, und am 21. September veröffentlichte das Canadian Centre for Cyber Security ein Update, das vor der aktiven Ausnutzung der Schwachstelle warnt. CVE-2026-48842 wurde jedoch nicht in die Known Exploited Vulnerabilities (KEV)-Liste von CISA aufgenommen.

Roundcube Webmail wird seit langem in freier Wildbahn ausgenutzt, insbesondere bei spionagemotivierten Angriffen. Der KEV-Katalog der CISA enthält 11 Roundcube-Schwachstellen. Frühere Angriffskampagnen haben SQL-Injection, Cross-Site Scripting (XSS) und andere Schwachstellenarten in Roundcube ausgenutzt, um Zugangsdaten und sensible E-Mail-Inhalte zu stehlen und dauerhaften Zugriff auf die Server der Opfer zu erlangen.

Risikobewertung von CVE-2026-48842 in Roundcube Webmail

CVSS 8,1 · HochEPSS 0,8 % (54.)Aktiv ausgenutzt

Roundcube ist eine PHP-basierte Webanwendung und ein Server, der mit separaten IMAP- und SMTP-Maildiensten verbunden ist. Über die mehrsprachige Benutzeroberfläche werden E-Mails abgerufen und verwaltet, während der Server sensible Zugangsdaten zum E-Mail-System eines Unternehmens enthält. CVE-2026-48842 ist eine über das Netzwerk erreichbare Schwachstelle, für deren Ausnutzung weder Zugangsdaten noch Berechtigungen erforderlich sind.

Auch aufgrund weiterer erhöhter Risikosignale erfordert CVE-2026-48842 umgehende Aufmerksamkeit. Coalition hat Ausnutzungsversuche gegen seinen Honeypot gemeldet. Die Schwachstelle wurde jedoch nicht in die Known Exploited Vulnerabilities (KEV)-Liste von CISA aufgenommen. Roundcube wird zudem seit langem in freier Wildbahn ausgenutzt, insbesondere für Cyberspionage. Jüngste Roundcube-Angriffskampagnen richteten sich gegen ukrainische Regierungsorganisationen [1][2], Regierungs- und Militäreinrichtungen in Osteuropa, darunter Albanien, Griechenland, Moldau und die Türkei [3], europäische Regierungsstellen und Denkfabriken [4] sowie physikalische und technische Fachbereiche an US-amerikanischen und kanadischen Universitäten [5].

Eine technische Bewertung von CVE-2026-48842 in Roundcube Webmail

Technisch betrachtet handelt es sich bei CVE-2026-48842 (CVSS 8,1, EPSS ≥ 54. Perzentil) um eine unauthentifizierte SQL-Injection-Schwachstelle [CWE-89] im Plugin virtuser_query. Ursache ist eine Umgehung der Backslash-Escapierung, wenn nutzerseitig übergebene Eingaben von der Funktion preg_replace() verarbeitet werden. Die Analyse der behobenen GitHub-Commits [1][2] zeigt, dass es sich nicht um ein generelles Versäumnis handelt, Eingabefelder für SQL zu escapen. Nach der Bereinigung nutzerseitig übergebener Zugangsdaten über $dbh->escape() wurden die Eingaben anschließend an die PHP-Funktion preg_replace() übergeben.

$dbh->escape() fügte Backslashes ein, um SQL-Metazeichen zu schützen. Backslashes haben jedoch im nachfolgenden Kontext der Funktion preg_replace() eine andere Wirkung, wodurch ein Angreifer die angewendeten SQL-Schutzmaßnahmen umgehen kann. Der behobene Code führt nun über die PHP-Funktion str_replace() eine wörtliche Platzhalterersetzung durch.

Betroffene Versionen und Gegenmaßnahmen

CVE-2026-48842 betrifft Roundcube Webmail 1.6.x vor 1.6.16 und 1.7.x vor 1.7.1. Obwohl der Hersteller Sicherheitsupdates für die betroffenen Release-Linien veröffentlicht hat [1][2], sollten Nutzende ihre aktuellen Scan-Ergebnisse für Roundcube Webmail überprüfen, da seit den Patches für CVE-2026-48842 neue kritische und hochriskante CVEs wie CVE-2026-75003 bekannt geworden sind. Aufgrund der Historie des Produkts bei Ausnutzung in freier Wildbahn sollten Nutzende auf die aktuellsten behobenen Versionen aktualisieren.

Die aktuellsten stabilen Release-Linien für Roundcube Webmail sind:

Release-Linie	Aktuelle Version	Veröffentlichungsdatum	Support-Status
1.7.x	1.7.4	06.09.2026	Aktuelle stabile Release-Linie; wird vollständig gepflegt
1.6.x	1.6.19	06.09.2026	LTS-/Low-Maintenance-Release-Linie; nur Sicherheits- und kritische Fixes

Zusammenfassung

CVE-2026-48842 ist eine hochriskante SQL-Injection-Schwachstelle vor der Authentifizierung im virtuser_query-Plugin von Roundcube Webmail, die 1.6.x vor 1.6.16 und 1.7.x vor 1.7.1 betrifft. Das Risiko ist erhöht, da aktive Ausnutzung gegen Honeypot-Instanzen beobachtet wurde und aufgrund des historischen Missbrauchs des Produkts bei spionagemotivierten Angriffen.