Zwei neu ausgenutzte Schwachstellen führen den Sicherheitsrückblick dieser Woche an: eine Schwachstelle im weit verbreiteten Brotli-Decoder und ein Problem in Cisco-Firewalls, das Remote-Access-VPNs betrifft. Der OPENVAS ENTERPRISE FEED enthält bereits Checks für beide, dazu einen neuen Sophos-UTM-Check und eine breitere produktspezifische PHP2Shell-Abdeckung. Diese Updates helfen Sicherheitsteams, betroffene Assets in Software, Netzwerkgeräten und Betriebssystempaketen zu finden. In drei der Fälle dieser Woche verrät die Softwareversion allein jedoch nicht, ob ein System angreifbar ist. Das hängt davon ab, wie das Produkt konfiguriert ist; ein Scan-Ergebnis zeigt Ihren Sicherheitsverantwortlichen, wo sie an die Arbeit gehen müssen.

Brotli-Abdeckung reicht von Software bis zu Appliances

CVE-2026-111497 ist ein Out-of-Bounds-Write im Brotli-Decoder von Google. Software, die von Angreifern kontrollierte Brotli-Daten dekomprimiert, kann abstürzen, Speicherinhalte preisgeben oder potenziell Codeausführung ermöglichen. Google, die CVE Numbering Authority für diese Schwachstelle, bewertet sie mit 9,2 nach CVSS 4.0, und die CISA hat sie am 27. Oktober in den Known Exploited Vulnerabilities (KEV) Catalog aufgenommen. Betroffen sind die Brotli-Versionen ab 1.0.3 bis vor 1.0.10, ab 1.1.0 bis vor 1.1.1 und ab 1.2.0 bis vor 1.2.1; die behobenen Versionen sind 1.0.10, 1.1.1 und 1.2.1.

Brotli ist eine Bibliothek, die andere Software mitliefert, daher taucht dieselbe CVE in vielen Produkten auf. Das kanadische Cyber Centre nennt Node.js, Microsoft .NET, PowerShell, Bun, Envoy Proxy, Istio sowie die Python-Pakete Brotli und brotlicffi unter den betroffenen Technologien. Node.js hat den eingebundenen Decoder in v22.23.4, v24.22.1 und v26.12.1 behoben.

Greenbone hat Checks für Node.js unter Linux, macOS und Windows sowie einen PAN-OS-Check ergänzt. Die Paketabdeckung wuchs am 2. November um 19 neue Distributions-Advisory-Checks. Diese Breite ist wichtig, weil eine gemeinsam genutzte Komponente in mehreren Produkten und Update-Kanälen auftauchen kann. Stand 3. November umfasst der OPENVAS ENTERPRISE FEED 82 Checks für CVE-2026-111497, darunter:

• Node.js 22.x, 24.x und 26.x: Linux (Paketebene), macOS (Version der ausführbaren Datei) und Windows (Registry)
• Palo Alto PAN-OS 11.2, 12.1 und 12.2: Check auf Paketebene
• 76 Distributions-Advisory-Checks (Paketebene) für AlmaLinux, Amazon Linux, Debian, Fedora, Oracle Linux, Red Hat Enterprise Linux, Rocky Linux, SUSE, openSUSE, Slackware, Ubuntu und openEuler

Bei PAN-OS hängt die Angreifbarkeit von den Einstellungen für Brotli-Inspektion und TLS-Entschlüsselung ab, daher sollten Teams neben der Softwareversion auch die Konfiguration prüfen. Laut Palo Alto Networks sind unter den PAN-OS-Geräten nur PA-Series- und VM-Series-Firewalls angreifbar, die Brotli-komprimierten Datenverkehr bei aktivierter TLS/SSL-Entschlüsselung inspizieren. Die Management-Schnittstelle ist nicht betroffen, ebenso wenig PAN-OS 11.1 und 10.2. Der CLI-Befehl show system setting brotli zeigt, ob die Brotli-Inspektion aktiviert ist. Für PAN-OS 11.2, 12.1 und 12.2 stehen Hotfixes bereit; bis zu deren Installation schaltet set system setting brotli-encoding disable die Brotli-Inspektion ab.

Wenn sich ein Update nicht unverzüglich installieren lässt, empfiehlt das Cyber Centre, betroffene Anwendungen daran zu hindern, Brotli-komprimierte Inhalte aus nicht vertrauenswürdigen Quellen zu verarbeiten, bis das Update eingespielt ist.

Cisco-SSL-VPN-Ausnutzung erhöht die Priorität

CVE-2026-76418 kann es einem nicht authentifizierten Angreifer ermöglichen, ein betroffenes Cisco-ASA- oder -FTD-Gerät über dessen Remote-Access-SSL-VPN-Dienst zum Neustart zu zwingen. Cisco meldet aktive Ausnutzung und bewertet die Schwachstelle mit 8,6 nach CVSS 3.1. Die CISA hat sie am 29. Oktober in den KEV aufgenommen, und auch CERT-FR meldet die Schwachstelle als aktiv ausgenutzt.

Greenbone hat am selben Tag separate Checks für ASA (Remote Banner) und FTD (Paketebene) ergänzt.

Der angreifbare Pfad setzt einen erreichbaren SSL-VPN-Dienst und eine in der betroffenen Tunnelgruppe konfigurierte sekundäre Authentifizierung voraus. Cisco weist auf zwei leicht zu übersehende Details hin: Auch die Standard-Tunnelgruppe DefaultWEBVPNGroup zählt, und Angreifer benötigen keinen erfolgreichen VPN-Login, um den betroffenen Code zu erreichen. Teams mit dieser Konfiguration sollten die korrigierten Releases von Cisco prüfen und betroffene Geräte priorisieren. Beide Greenbone-Checks melden anfällige Releases; wenn SSL VPN und sekundäre Authentifizierung nicht eingerichtet sind, empfehlen die Checks, für das Ergebnis einen Override anzulegen.

Die ersten korrigierten Releases sind:

• ASA: 9.16.4.104, 9.18.4.96, 9.20.4.50, 9.22.3.200, 9.23.1.48 sowie 9.24.1.27 oder 9.24.10.1
• FTD: 7.0.11, 7.2.13, 7.4.9, 7.6.7, 7.7.14, 10.0.3 und 10.1.1

Cisco gibt an, dass kein Workaround die Schwachstelle behebt. Das Entfernen der sekundären Authentifizierung aus den betroffenen Tunnelgruppen ist eine vorübergehende Gegenmaßnahme, und Cisco empfiehlt nachdrücklich ein Upgrade auf ein korrigiertes Release.

Sophos UTM erfordert eine manuelle Patch-Prüfung

Ein neuer Greenbone-Check (Remote Banner, am 30. Oktober ergänzt) deckt außerdem CVE-2026-118633 in Sophos UTM ab. Sophos beschreibt einen kritischen, nicht authentifizierten Weg zur Ausführung von Befehlen mit Root-Rechten, wenn der E-Mail-Proxy mit aktiviertem Scanning verwendet wird und Angreifer eine Race Condition gewinnen. Die zugrunde liegende Schwachstelle ist eine Path-Traversal-Schwachstelle, und alle UTM-Versionen sind betroffen. UTM ist End of Life, und laut Sophos muss der Patch manuell installiert werden. Die Anleitung steht im Knowledge-Base-Artikel KBA-000049692; die Alternative ist der Wechsel auf eine unterstützte Version von Sophos Firewall. Der Check identifiziert Installationen, die geprüft werden sollten; Admins sollten die Konfiguration des E-Mail-Proxys und den Patch-Stand direkt bestätigen. Sobald der Hotfix installiert ist, empfiehlt der Check, für das Ergebnis einen Override anzulegen.

Seit letzter Woche: PHP2Shell-Abdeckung wächst weiter

Greenbone hat bereits ausführliche Hinweise zur Erkennung und zum Scannen von PHP2Shell veröffentlicht. Seitdem hat die CISA beide Schwachstellen, CVE-2026-109618 und CVE-2026-109619, am 26. Oktober in den KEV aufgenommen. Neue Feed-Ergänzungen erweitern die produktspezifischen Checks für beide CVEs auf weitere Infrastrukturprodukte, darunter:

• Juniper Junos OS (JSA112681): Junos OS und Junos OS auf SRX-Series-Geräten, beide per Remote Banner
• NetApp ONTAP 9 (NTAP-20261021-0021): Remote-Banner-Check
• Aruba ClearPass Policy Manager (HPESBNW05171): Check auf Paketebene
• Check Point Gaia (sk1000302): Remote-Banner-Check

Für Junos OS außerhalb der SRX Series war am 27. Oktober kein Fix verfügbar; SRX-Series-Geräte verwenden ab Junos OS 25.2R1 kein PHP mehr. Teams sollten weiterhin Herstellerprodukte prüfen, die PHP mitliefern, ebenso wie eigenständige PHP-Installationen.

Von der Abdeckung zur Maßnahme

Halten Sie den OPENVAS ENTERPRISE FEED aktuell, scannen Sie die relevanten Assets und planen Sie Updates anhand der Ergebnisse und der Herstellerhinweise. Für die Punkte dieser Woche:

1. Stoßen Sie ein manuelles Feed-Update an, um die neuen Checks jetzt zu erhalten.
2. Scannen Sie die Assets, auf denen Node.js, PAN-OS, Cisco ASA oder FTD, Sophos UTM und PHP laufen, einschließlich der Betriebssystempakete, die Brotli enthalten.
3. Vergleichen Sie bei jedem Fund zu PAN-OS, Cisco und Sophos die Konfiguration mit den oben genannten Bedingungen, bevor Sie die Priorität festlegen. Ist eine Bedingung nicht erfüllt oder bereits ein Hotfix installiert, legen Sie für das Ergebnis einen Override an.

Diese Checks erkennen potenziell anfällige Versionen oder Pakete; ein Fund belegt nicht, dass ein Asset ausgenutzt wurde.

 

Dieser Beitrag wurde zuletzt am 11. November 2026 um 12:11 UTC aktualisiert.

PHP hat Patches für zwei kritische Schwachstellen veröffentlicht, CVE-2026-109618 und CVE-2026-109619, von Sicherheitsforschenden PHP2Shell genannt. Jede unterstützte PHP-Installation sollte unverzüglich aktualisiert werden. Laut PHP können beide Schwachstellen eine nicht authentifizierte Remote Code Execution ermöglichen, und das PHP-Sicherheitsteam bewertet beide mit CVSS v4.0 9,2. Die behobenen Versionen, am 21. Oktober 2026 veröffentlicht, sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. PHP 8.1 und älter haben ihr End of Life erreicht und erhalten offiziell keine Updates mehr, auch wenn das Sicherheitsteam von PHP minimale Quellcode-Backports für PHP 7.4, 8.0 und 8.1 veröffentlicht hat. Die Ausnutzungsversuche haben bereits begonnen: Amazon meldet seit dem 17. Oktober, vier Tage vor der Offenlegung, Versuche gegen seine Honeypots, und öffentliche Proofs of Concept sind im Umlauf. Die CISA hat beide CVEs am 26. Oktober 2026 in ihren KEV-Katalog aufgenommen (CVE-2026-109618, CVE-2026-109619). Eine frühere kritische PHP-Schwachstelle, CVE-2024-4577, zog innerhalb eines Tages Exploit-Versuche nach sich; diesmal kamen sie noch vor dem Patch.

Die unterstützten Zweige zu aktualisieren, ist der einfache Teil. Schwieriger ist es, jede PHP-Installation in Ihrem Netzwerk zu finden, auch die, die von außen nicht sichtbar sind, und die, die das PHP-Projekt nicht mehr aktualisiert. CERT-EU und das deutsche BSI haben zu beiden Schwachstellen Advisories veröffentlicht [1][2].

Jetzt auf PHP2Shell scannen, 14 Tage kostenlos →

Was PHP2Shell für End-of-Life-PHP bedeutet

PHP unterstützt derzeit vier Zweige: 8.2 und 8.3 erhalten nur noch Sicherheitsupdates, während 8.4 und 8.5 im aktiven Support sind. Der Sicherheitssupport für PHP 8.2 endet am 31. Dezember 2026. Jeder ältere Zweig hat sein End of Life erreicht: PHP 8.1 seit dem 31. Dezember 2025, PHP 8.0 seit dem 26. November 2023, PHP 7.4 seit dem 28. November 2022 und PHP 5.6 seit dem 31. Dezember 2018. Laut den Advisories von PHP ist jede Version unterhalb von 8.2.35 betroffen [3][4]. Für End-of-Life-Zweige verweist PHP auf Distributionen und LTS-Anbieter, die Korrekturen per Backport bereitstellen, und das Sicherheitsteam hat minimale Quellcode-Backports für PHP 7.4, PHP 8.0 und PHP 8.1 veröffentlicht, für alle, die aus dem Quellcode bauen. Ältere Zweige wie PHP 5.6 erhalten beides nicht. Bevor Sie diese Systeme beheben können, müssen Sie wissen, wo sie laufen.

Im Internet ist noch sehr viel altes PHP im Einsatz. Laut Mallorys Zählung von Shodan-Bannern vom 20. Oktober 2026 melden rund 884.000 aus dem Internet erreichbare Hosts eine End-of-Life-PHP-Version, das sind 59 % der rund 1,5 Millionen Hosts, die überhaupt eine Version anzeigen. Weitere rund 740.000 geben ihre Version nicht preis. Dabei handelt es sich um Banner-Zählungen, nicht um bestätigt betroffene Systeme.

Ein verborgenes Versionsbanner bedeutet nicht, dass dahinter kein PHP läuft. PHP steckt auch in Control Panels wie cPanel und Plesk, Content-Management-Systemen und Herstellersoftware, wo es nach fremdem Zeitplan aktualisiert wird, oder gar nicht.

Eine Risikoeinschätzung zu PHP2Shell

Informationen zu beiden Schwachstellen sind vor der geplanten koordinierten Offenlegung durchgesickert [5]. Amazon, das am 17. Oktober einen ersten Versuch beobachtete, und watchTowr melden Ausnutzungsversuche gegen beide Schwachstellen. Das neuseeländische NCSC gibt an, dass ihm Berichte über eine aktive Ausnutzung bekannt sind. Am 26. Oktober 2026 hat die CISA beide CVEs in ihren Katalog bekannter ausgenutzter Schwachstellen (Known Exploited Vulnerabilities, KEV) aufgenommen: CVE-2026-109618, CVE-2026-109619. Die Warnung des BSI vom 22. Oktober 2026 nennt keine bestätigte Ausnutzung. Die Schwachstellen sind aber in der Praxis ausnutzbar: Laut dem Advisory von PHP wurde eine nicht authentifizierte Remote Code Execution über HTTP gegen mod_php validiert, und zwar mit Standard-Eingabe- und Speicherlimits.

PHP-Schwachstellen wurden schon früher sehr schnell angegriffen. Als die kritische PHP-Schwachstelle CVE-2024-4577 im Juni 2024 bekannt wurde, beobachtete Akamai die ersten Exploit-Versuche gegen seine Honeypots bereits innerhalb eines Tages.

PHP2Shell mit dem kostenlosen COMMUNITY FEED erkennen

Seit dem 11. November 2026 sind die generischen PHP-Versionsprüfungen von Greenbone für CVE-2026-109618 und CVE-2026-109619 unter Linux und Windows Teil des kostenlosen COMMUNITY FEED. Unter Linux durchsucht die Prüfung das Dateisystem nach PHP-Binärdateien, unter Windows sucht sie nach PHP-.exe-Dateien, wofür die Erkennung portabler Anwendungen in der Scan-Konfiguration aktiviert sein muss. Beide bestimmen die PHP-Version und gleichen sie mit den korrigierten Releases ab. Der COMMUNITY FEED enthält außerdem Prüfungen auf Paketebene für Debian, Ubuntu, Fedora, Slackware, SUSE, openSUSE, Mageia und openEuler. Führen Sie dafür ein Feed-Update und anschließend einen authentifizierten Scan durch, mit SSH-Zugangsdaten für Linux und SMB-Zugangsdaten für Windows. Die fertigen Scan-Konfigurationen funktionieren auch mit dem COMMUNITY FEED, da die benötigten Tests jetzt dazugehören; alle oben genannten Prüfungen auf Paketebene enthält die Scan-Konfiguration „Full and fast“. Darüber hinaus ergänzt der OPENVAS ENTERPRISE FEED Prüfungen auf Paketebene für Enterprise-Linux-Distributionen und produktspezifische PHP2Shell-Prüfungen für Software, die ihr eigenes PHP mitliefert, etwa Control Panels, Firewalls und Appliances.

Technische Details zu CVE-2026-109618 und CVE-2026-109619 in PHP

PHP sieht alle PHP-Installationen, die Webanfragen bearbeiten, als gefährdet an, darunter PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Das Risiko stuft PHP bei mod_php am höchsten ein, wo eine nicht authentifizierte Anfrage den Angriff auslösen kann, bevor irgendein Anwendungscode läuft. Beide Advisories nennen Use-after-free [CWE-416] unter den Schwächen, und das ChangeLog verzeichnet beide unter einer einzigen Korrektur im PHP-Kern („Avoid state corruption via bailout“).

Die zwei CVEs, die in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 behoben sind, jeweils mit CVSS-Schweregrad und EPSS-Ausnutzungswahrscheinlichkeit

CVE-2026-109618

CVSS 9,2 · Kritisch EPSS 100,0 % (100.)

RCE durch OOM-Korruption (GHSA-w8hw-w9fx-j79w): Wenn PHP der Arbeitsspeicher ausgeht, während interne Anfragedaten erst teilweise initialisiert sind, kann die Bereinigung der Anfrage die ungültigen Daten als gültig behandeln.

CVE-2026-109619

CVSS 9,2 · Kritisch EPSS 100,0 % (100.)

RCE durch veralteten globalen Zustand (GHSA-6wmf-4rv5-p3rp): Interner Zustand, der zu einer Anfrage gehört, kann in einem dauerhaft laufenden Worker bestehen bleiben, nachdem sein Speicher freigegeben wurde, und eine spätere Anfrage, die derselbe Worker bearbeitet, kann ihn verwenden.

Die Advisories von PHP enthalten alle technischen Details [6][7].

Betroffene Versionen und Gegenmaßnahmen für CVE-2026-109618 und CVE-2026-109619 in PHP

Aktualisieren Sie jede unterstützte PHP-Installation auf PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35. Wenn Sie einen End-of-Life-Zweig betreiben, steigen Sie auf einen unterstützten Zweig um. Da der Sicherheitssupport für PHP 8.2 am 31. Dezember 2026 endet, ist PHP 8.4 oder 8.5 das bessere Ziel. Wenn Sie noch nicht umsteigen können, prüfen Sie, ob Ihre Distribution oder Ihr LTS-Anbieter eine Korrektur per Backport bereitstellt, oder bauen Sie aus den Quellcode-Backports von PHP für 7.4, 8.0 und 8.1.

Ein Hinweis für Windows: Am 26. Oktober hat PHP neu gebaute Windows-Pakete veröffentlicht, 8.5.12-1, 8.4.27-1, 8.3.36-1 und 8.2.35-1. Sie enthalten Brotli 1.2.1 und schließen CVE-2026-111497, eine Schwachstelle in der Brotli-Dekomprimierung. In den Windows-Builds von PHP ist die Schwachstelle über die cURL-Erweiterung erreichbar, wenn die automatische Dekomprimierung von HTTP-Antworten aktiviert ist. cURL deaktiviert das standardmäßig, Anwendungen und HTTP-Client-Bibliotheken können es aber einschalten. Die Pakete mit der Endung -1 enthalten die Brotli-Korrektur, behalten aber dieselbe PHP-Laufzeitversion wie die ursprünglichen Pakete, daher kann eine PHP-Versionsprüfung sie nicht unterscheiden. Wenn Sie eines der korrigierten Windows-Pakete vom 21. Oktober vor dem Rebuild installiert haben, ersetzen Sie es durch das entsprechende Paket mit der Endung -1. Mehr zu CVE-2026-111497 lesen Sie in unserem Beitrag zur Brotli-Schwachstelle.

Wenn Sie nicht unverzüglich aktualisieren können, nennt PHP Konfigurationsänderungen, die das Risiko für bestimmte Angriffspfade verringern, zum Beispiel das Erzwingen von memory_limit=-1 gegen CVE-2026-109618 und das Setzen von session.upload_progress.enabled=0 gegen CVE-2026-109619. PHP stellt klar, dass diese Maßnahmen eine Installation nicht sicher machen und dass nur das Update vollständig schützt. Die Einstellung zu session.upload_progress verhindert einzelne Angriffswege, aber nicht alle. Insbesondere schützt sie nicht vor CVE-2026-109618. Bei CVE-2026-109619 greift sie nur, wenn sie serverseitig vor der Verarbeitung der Anfrage gesetzt und anschließend die Worker neu gestartet werden. Ein ini_set() in der Anwendung kommt dafür zu spät. Behandeln Sie Konfigurationsänderungen deshalb höchstens als zusätzliche Maßnahme, nicht als Ersatz für das Update. Am 23. Oktober hat PHP zudem empfohlen, session.upload_progress.enabled=0 zu setzen, bis das nächste reguläre Bugfix-Release erscheint. Die Einstellung schließt einen separaten, wenig wahrscheinlichen Weg zur Remote Code Execution, CVE-2026-115560. Er tritt nur auf, wenn eine Anwendung den Session-Serializer zur Laufzeit per ini_set() umstellt, während der Upload-Fortschritt aktiviert ist. Ein vollständiges Advisory will PHP mit diesem Release veröffentlichen. Der OPENVAS ENTERPRISE FEED enthält versionsbasierte Prüfungen für CVE-2026-115560. CERT-EU empfiehlt zusätzlich, internetexponierte Anwendungen von öffentlichen Netzen zu isolieren, bis der Patch eingespielt ist. Die CISA geht noch weiter: Organisationen, die nicht unverzüglich aktualisieren können oder noch PHP 8.1 oder älter betreiben, sollten PHP-basierte Systeme vom Netz nehmen, bis sie gepatcht oder aktualisiert sind.

Linux-Distributionen übernehmen Korrekturen manchmal per Backport in ihre eigenen PHP-Pakete, ohne die Versionsnummer zu ändern. Laut PHP haben Distributionen und LTS-Anbieter die Patches vorab erhalten, prüfen Sie daher bei Ihrem Anbieter, ob aktualisierte Pakete vorliegen. Debian, Red Hat und Ubuntu haben bereits korrigierte Pakete veröffentlicht, auch für Zweige, die PHP nicht mehr unterstützt, etwa PHP 7.4 und 8.0 unter Red Hat Enterprise Linux 8 und 9 [8][9][10][11]. Bei PHP, das mit Control Panels, Content-Management-Systemen oder Appliances mitgeliefert wird, fragen Sie den jeweiligen Hersteller. Das niederländische NCSC führt eine Liste von Produkten, die PHP enthalten und betroffen sein können, und erweitert sie laufend. Mehrere Hersteller haben bereits reagiert: cPanel hat seine PHP-Pakete korrigiert, einschließlich Backports für PHP 7.4, 8.0 und 8.1, und Plesk hat korrigierte PHP-Builds veröffentlicht sowie ein Update für die eigene Verwaltungsoberfläche. Palo Alto Networks hat laut Zeitleiste und FAQ seines Advisorys inzwischen Hotfixes für PAN-OS veröffentlicht. Der Lösungsabschnitt des Advisorys verweist allerdings noch auf Korrekturen in kommenden Releases, prüfen Sie daher vor dem Update die Versionstabelle dort. Palo Alto berichtet außerdem, aktive Ausnutzung beobachtet zu haben, die sich gegen die aus dem Internet erreichbare Management-Schnittstelle von PAN-OS richtet, und empfiehlt, den Zugriff auf diese Schnittstelle auf vertrauenswürdige interne IP-Adressen zu beschränken. Auch Hersteller aus der Industrie haben Advisories veröffentlicht: Siemens führt betroffene Produkte wie Spectrum Power und AMIS TS auf, für einige davon gibt es bislang keine Korrektur, und Phoenix Contact plant Firmware-Updates für betroffene Netzwerkgeräte im November und Dezember, während drei seiner Produktfamilien keine Korrektur erhalten. Webanwendungen wie WordPress, Drupal und Nextcloud laufen auf dem darunter installierten PHP, daher schließt ein Update dieses PHP die Lücken auch für sie.

PHP-Zweig	Status	Behoben in	Hinweise
8.5	Aktiver Support bis 31. Dezember 2027	8.5.12
8.4	Aktiver Support bis 31. Dezember 2026	8.4.27
8.3	Nur Sicherheitsupdates bis 31. Dezember 2027	8.3.36
8.2	Nur Sicherheitsupdates bis 31. Dezember 2026	8.2.35	Umstieg auf 8.4 oder 8.5 empfohlen
8.1 und älter	End of Life	Kein offizielles Release	Als betroffen aufgeführt. Minimale Quellcode-Backports für 7.4, 8.0 und 8.1; prüfen Sie bei Ihrer Distribution oder Ihrem LTS-Anbieter, ob Pakete mit Backports vorliegen

Empfehlungen für Ihre Sicherheitsverantwortlichen

• Identifizieren Sie mit den Scans aus der Scan-Anleitung möglichst jede PHP-Installation und patchen Sie dort, wo es möglich ist.
• Nicht jede PHP-Instanz lässt sich patchen, zum Beispiel Appliances oder PHP als Middleware in einem Software-Bundle. Schalten Sie internetexponierte Systeme ab. Ist das nicht möglich, isolieren und überwachen Sie sie mindestens.
• Betreiben Sie PHP-Dienste hinter einem aktivierten IDS/IPS und prüfen Sie, ob PHP2Shell-Signaturen vorhanden sind.
• Kann ein PHP-basierter Dienst vorübergehend vom Netz genommen werden, tun Sie das. Muss er online bleiben, wenden Sie die genannten Maßnahmen an und bewerten Sie zusätzlich das Risiko: Welche Daten wären im Ernstfall betroffen? Ein Security Monitoring, zum Beispiel mit einer EDR-Lösung, ist dann erforderlich. Verlassen Sie sich nicht allein darauf: Prüfen Sie, ob die EDR Signaturen für PHP2Shell enthält, denn Varianten können durchrutschen. Als Hunting-Ansatz kommt etwa eine Shell in Frage, die als Subprozess von PHP gestartet wird.
• Rechnen Sie mit weiteren öffentlichen Proofs of Concept. Der bisher beste bestätigte Proof of Concept funktioniert in Tests nicht in allen Umgebungen, und welche Variante gegen welche Konfiguration wirkt, ist noch offen.

Mit dem Patch und der von uns veröffentlichten Erkennung sind Sie gut aufgestellt. Wir können aber nicht garantieren, dass eine neue Variante das Bild nicht verändert.

So finden Sie anfällige PHP-Installationen mit Greenbone

1. Führen Sie einen authentifizierten Remote-Scan durch, also mit hinterlegten Zugangsdaten (Anleitung). Ein nicht authentifizierter Scan liest nur Remote-Informationen wie Banner aus, die nicht immer einen Schluss auf die Version zulassen. Setzen Sie bei nicht authentifizierten Scans den QdE-Filter (Quality of Detection) in den Ergebnissen auf 0.
2. Sind Remote-Scans in Ihrer Umgebung nicht zulässig, können Sie den Greenbone Agenten einsetzen (Anleitung). Hinweis: Der Agent ist derzeit eine Technology Preview.
3. Für Linux-Systeme verwenden Sie die Scan-Konfiguration „Full and fast“ unverändert. Sie prüft installierte Pakete und durchsucht zusätzlich das Dateisystem nach PHP-Programmdateien (php, php-cli, php5, php7, php8). Nicht gesucht wird nach php-cgi und php-fpm. Bei selbstkompilierten Applikationen oder wenn PHP als Middleware gebündelt wird, sind weitere Prüfschritte erforderlich. Bitte beachten Sie, dass Scans laufender Container nicht zur Verfügung stehen.
4. Für Windows-Systeme aktivieren Sie vor dem Scan die Erkennung portabler Anwendungen:
   • Klonen Sie die Scan-Konfiguration „Full and fast“ und suchen Sie in der Suchleiste nach „Options for Local Security Checks“.
   • Setzen Sie „Enable Detection of Portable Apps on Windows“ auf „yes“ und speichern Sie.
5. Optional: Prüfen Sie, ob für jede gefundene PHP-Software die Version erhoben wurde. Ohne Version ist ein Abgleich mit der Schwachstelle nicht möglich. Wurde PHP nur generisch ohne Version erkannt, gehen Sie davon aus, dass das System betroffen sein kann. So finden Sie diese Systeme: (1) Öffnen Sie „Ergebnisse“. (2) Aktivieren Sie die Logeinträge. (3) Suchen Sie nach name~"CPE Inventory" and ~php and not ~"php:php:". (4) Es werden die möglicherweise betroffenen Hostnamen und IP-Adressen angezeigt. Über einen Klick auf das blaue „CPE Inventory“ sehen Sie weitere Software und das Betriebssystem, die auf demselben System erkannt wurden. Wir haben diesen Filter getestet, er funktioniert. Ob er in jeder Umgebung alle Fälle erfasst, können wir weder testen noch bestätigen. Wurde nur ein Banner erkannt und ist kein authentifizierter Scan gelaufen oder fehlgeschlagen, sollten Admins auf den Systemen alle PHP-Programmdateien über eine Suche im gesamten Dateisystem erfassen und die Versionen bestätigen.
6. Stellen Sie sicher, dass der Feed aktuell ist. Mit einem manuellen Feed-Update erhalten Sie die PHP2Shell-Prüfungen sofort, sonst über das bei Ihnen eingerichtete automatische Update des NVT-Feeds.

Schnellere Alternative: Wir stellen zwei fertige Scan-Konfigurationen bereit, eine für Linux und eine für Windows, die auf die PHP2Shell-Prüfungen beschränkt sind (Download, Anleitung zum Import einer Scan-Konfiguration). Nutzen Sie sie wie in Schritt 1 beschrieben mit Zugangsdaten: SSH-Zugangsdaten für Linux, SMB-Zugangsdaten für Windows. In der Windows-Konfiguration ist die Erkennung portabler Anwendungen bereits aktiviert. Die Tests, die diese Konfigurationen benötigen, sind Teil des kostenlosen COMMUNITY FEED, daher funktionieren sie auch damit. Die Schritte oben gelten weiterhin.

Die Prüfungen für CVE-2026-109618 und CVE-2026-109619 funktionieren in nicht authentifizierten und in authentifizierten Scans, doch beide sehen Unterschiedliches. Ein nicht authentifizierter Scan sieht nur, was ein Server preisgibt. Verbirgt ein Host seine PHP-Version, kann der Scan nicht feststellen, welche Version läuft, und das Ergebnis ist nur so zuverlässig wie die Versionsinformation, die der Server sendet. Ein authentifizierter Scan meldet sich an und untersucht die installierte Software; er findet daher PHP auch auf Hosts, die keine Version anzeigen, im Rahmen der oben in der Anleitung genannten Grenzen. Für eine tiefere Suche auf Windows-Hosts aktivieren Sie vor dem Scan die Portable-App-Erkennung: Bearbeiten Sie Ihre Scan-Konfiguration (zum Beispiel eine Kopie von Full and fast), scrollen Sie zu Network Vulnerability Test Preferences, suchen Sie Options for Local Security Checks, setzen Sie Enable Detection of Portable Apps on Windows auf yes und speichern Sie. Authentifizierte Scans dauern länger und belasten die gescannten Systeme stärker, daher sollten Sie Umfang und Zeitpunkt des Scans entsprechend planen.

Zusammenfassung

CVE-2026-109618 und CVE-2026-109619 sind zwei kritische Schwachstellen in PHP, die eine nicht authentifizierte Remote Code Execution ermöglichen können. PHP hat sie in 8.5.12, 8.4.27, 8.3.36 und 8.2.35 behoben, während End-of-Life-Zweige auf Backports angewiesen sind. Die Ausnutzungsversuche begannen, bevor die Patches veröffentlicht waren, und öffentliche Proofs of Concept sind im Umlauf. Inzwischen hat die CISA beide CVEs in ihren KEV-Katalog aufgenommen. Sicherheitsverantwortliche sollten jetzt aktualisieren und sicherstellen, dass sie jede PHP-Installation erfassen: End-of-Life-Versionen, Hosts, die ihre Version verbergen, und PHP, das in andere Software eingebettet ist.

Updates

1. 21. Oktober 2026: Erstveröffentlichung.
2. 22. Oktober 2026: Ausnutzungsversuche laut Amazon und watchTowr, öffentliche Proofs of Concept, korrigierte Pakete von Debian, Red Hat und Ubuntu, Reaktionen von cPanel, Plesk und Palo Alto Networks sowie die Empfehlungen der CISA für nicht mehr unterstützte PHP-Versionen ergänzt. Der Feed von Greenbone enthält jetzt Prüfungen auf Paketebene für zehn Linux-Distributionen.
3. 23. Oktober 2026: Schritt-für-Schritt-Anleitung zur Erkennung von PHP2Shell mit Greenbone und EPSS-Werte ergänzt.
4. 26. Oktober 2026: Scan-Anleitung um den Greenbone Agenten (Technology Preview), Umfang und Grenzen der Dateisystemsuche unter Linux sowie eine optionale Prüfung auf PHP ohne erkannte Version erweitert. Empfehlungen für nicht sofort patchbare Systeme ergänzt und die Grenzen der Einstellung session.upload_progress präzisiert. Prüfungen auf Paketebene für AlmaLinux, SUSE und openSUSE, Prüfungen für Produkte, die PHP mitliefern, sowie Links zu den Prüfungen auf SecInfo ergänzt.
5. 27. Oktober 2026: Fertige PHP2Shell-Scan-Konfigurationen für Linux und Windows zum Download ergänzt.
6. 28. Oktober 2026: Aufnahme beider CVEs in den KEV-Katalog der CISA ergänzt und EPSS-Werte aktualisiert.
7. 11. November 2026: Generische PHP-Versionsprüfungen für Linux und Windows im kostenlosen COMMUNITY FEED und der Umfang beider Feeds ergänzt, außerdem neue Prüfungen auf Paketebene für openEuler und Huawei Cloud EulerOS, neue Produktprüfungen, die neu gebauten Windows-Pakete von PHP für die Brotli-Schwachstelle CVE-2026-111497, die Empfehlung von PHP zum Upload-Fortschritt von Sessions (CVE-2026-115560), Hotfixes und Ausnutzungsbericht von Palo Alto Networks sowie Advisories von Siemens und Phoenix Contact.

 

CVE-2026-21589 (CVSS 9,3, EPSS ≥ 78. Perzentil) ist eine Schwachstelle mit kritischem Schweregrad für beliebigen Dateizugriff [CWE-552], die Atlassian Jira Service Management Data Center, Jira Software Data Center, Confluence Data Center, Bitbucket Data Center, Bamboo Data Center, Crowd Data Center, Crucible und Fisheye betrifft. Alle ungepatchten Versionen der betroffenen Produkte sind anfällig. Die Dateizugriffsschwachstelle lässt sich unter bestimmten Bedingungen, wenn Crowd SSO verwendet wird, zusätzlich für die Übernahme von Admin-Konten ausnutzen. CVE-2026-21589 gilt als aktiv ausgenutzt [1][2][3][4], wurde aber Stand 13. Oktober 2026 noch nicht in die KEV-Liste der CISA aufgenommen.

Eine detaillierte technische Analyse der gesamten Angriffskette, einschließlich der Übernahme von Jira-Admin-Konten, steht zur Verfügung. Exploits als Proof of Concept (PoC) für das unautorisierte Lesen von Dateien [5][6][7][8] und für die vollständige Angriffskette zur Kontoübernahme [9] sind ebenfalls öffentlich verfügbar. Mehrere nationale CERT-Stellen haben Warnungen zu dieser Schwachstelle herausgegeben [10][11][12][13][14][15][16][17][18][19][20].

Risikobewertung zu CVE-2026-21589 in Atlassian-Data-Center-Produkten

Atlassian-Data-Center-Produkte sind selbst gehostete Unternehmensplattformen für Projektverfolgung, Dokumentation, Build-Automatisierung, Identitätsverwaltung, Code-Review und mehr. Damit stellt CVE-2026-21589 ein hohes Risiko für eine Vielzahl geschäftskritischer Abläufe dar. Außerdem wurden Atlassian-Produkte in der Vergangenheit immer wieder von Ransomware-Gruppen und APT-Gruppen (Advanced Persistent Threat) ausgenutzt. Atlassian-Produkte sind 13-mal in der KEV-Liste der CISA aufgeführt; 8 dieser Einträge sind für Ransomware-Aktivitäten gekennzeichnet.

CVE-2026-21589 ermöglicht nicht authentifizierten Angreifenden den Zugriff auf Dateien im Stammverzeichnis der Webanwendung, und wenn Crowd SSO verwendet wird, können sie unter Umständen außerdem Konten anlegen und administrative Rechte zuweisen. Die vollständige Angriffskette kann zu unbefugtem Admin-Zugriff führen. Der Status als aktiv ausgenutzte Schwachstelle sowie die Verfügbarkeit detaillierter technischer Informationen und PoC-Exploits erhöhen das Risiko zusätzlich.

Technische Details zu CVE-2026-21589 in Atlassian-Data-Center-Produkten

CVSS 9,3 · KritischEPSS 1,8 % (78.)Aktiv ausgenutztÖffentlicher PoC

CVE-2026-21589 (CVSS 9,3, EPSS ≥ 78. Perzentil) ermöglicht nicht authentifizierten Angreifenden den Zugriff auf Dateien [CWE-552] im Stammverzeichnis der Webanwendung, sofern der genaue Dateiname und Pfad bereits bekannt sind. Für einen Angriff muss der exakte Name und Pfad der Zieldatei vorab bekannt sein. CVE-2026-21589 erlaubt es Angreifenden nicht, Verzeichnisinhalte aufzuzählen oder aufzulisten. Wird Crowd SSO verwendet und verfügt es über ausreichende Berechtigungen, um Benutzer anzulegen und Gruppenmitgliedschaften zu ändern, können Angreifende Konten anlegen und Admin-Konten übernehmen.

Die Schwachstelle hat ihren Ursprung im gemeinsam genutzten Atlassian Web Resource Plugin, genauer in der Verarbeitung von Ressourcenpfaden in der Bibliothek atlassian-plugins-webresource. Die Funktion Router.unescapeSlashes() wandelt Doppelpunkt-Sequenzen (::) in Schrägstriche (/) um und ermöglicht es Angreifenden so, Directory-Traversal-Payloads zu konstruieren, die Pfadbeschränkungen umgehen. Durch manipulierte HTTP-Anfragen an Web-Resource-Endpunkte können nicht authentifizierte Angreifende die Ressourcenauslieferung ausnutzen, um sonst unzugängliche Dateien im Webroot-Verzeichnisbaum der Anwendung zu lesen. Dazu zählen sensible Konfigurationsdateien im Verzeichnis WEB-INF.

Jira-Installationen, die mit Atlassian Crowd integriert sind, können die Konfigurationsdatei WEB-INF/classes/crowd.properties offenlegen, die den Crowd-Anwendungsnamen, das Anwendungspasswort im Klartext und die URL des Crowd-Servers enthält. Wenn Angreifende diese Zugangsdaten erlangen und Zugriff auf den Crowd-Server haben, können sie sich an dessen REST-API authentifizieren, bestehende Benutzer auflisten, neue Konten anlegen und Gruppenmitgliedschaften ändern.

Sicherheitsforschende von watchTowr Labs haben einen neuen Crowd-Benutzer angelegt und ihn der Gruppe jira-administrators hinzugefügt, wodurch sie Admin-Rechte in Jira erlangten. Dieses Angriffsszenario setzt Crowd-Integration, offengelegte Zugangsdaten und Netzwerkzugriff auf den Crowd-Dienst voraus. Sehr restriktive IP-Allowlists in Crowd können die Ausnutzbarkeit einschränken.

Betroffene Produkte und Gegenmaßnahmen für CVE-2026-21589 in Atlassian-Data-Center-Produkten

CVE-2026-21589 betrifft Jira Service Management Data Center, Jira Software Data Center, Confluence Data Center, Bitbucket Data Center, Bamboo Data Center, Crowd Data Center, Crucible und Fisheye. Alle Versionen vor den behobenen Versionen sind betroffen. Betroffene Instanzen in der eigenen IT-Umgebung sollten umgehend aktualisiert werden, vorrangig solche, die aus dem Internet erreichbar sind.

Atlassian stellt Regeln für Web Application Firewalls (WAF) bereit, um die Schwachstelle in allen betroffenen Produkten abzumildern, dazu Tomcat-RewriteValve-Regeln für Confluence, Jira Service Management, Jira Software, Bamboo und Crowd. Für Bitbucket stellt Atlassian eine Regel bereit, die in urlrewrite.xml ergänzt werden kann. Die vom Hersteller bereitgestellten Workarounds sind nur temporäre Gegenmaßnahmen.

Die behobenen Versionen sind nachfolgend aufgeführt:

Produkt	Behobene Versionen
Jira Service Management Data Center	5.12.40 10.3.26 11.3.12
Jira Software Data Center	9.12.40 10.3.26 11.3.12
Confluence Data Center	9.2.26 10.2.19
Bitbucket Data Center	9.4.26 10.2.8 10.5.1
Bamboo Data Center	10.2.24 12.1.12
Crowd Data Center	6.3.7 7.0.3 7.1.7 7.2.4
Crucible	4.9.15
Fisheye	4.9.15

Zusammenfassung

CVE-2026-21589 ist eine aktiv ausgenutzte Schwachstelle mit kritischem Schweregrad, die nicht authentifizierten Angreifenden das Lesen beliebiger Dateien erlaubt und alle ungepatchten Versionen mehrerer Atlassian-Data-Center-Produkte betrifft. Sie ermöglicht den Zugriff auf bestimmte Dateien im Stammverzeichnis der Webanwendung, wenn Angreifende den genauen Dateipfad und -namen bereits kennen. Außerdem können Angreifende CVE-2026-21589 nutzen, um Admin-Rechte zu erlangen, wenn Crowd SSO verwendet wird. Der Zugriff auf aus dem Internet erreichbare Instanzen sollte umgehend eingeschränkt und auf eine gepatchte Version aktualisiert werden.

 

Eine breite, ungebremste Anhäufung von Sicherheitsschulden in der Unternehmens-IT nimmt in beschleunigtem Tempo Gestalt an. Die Zahlen sind gewaltig, doch Sicherheitsverantwortliche müssen sich bewusst machen: Regelmäßiges Scannen, geordnete Priorisierung und zeitnahes Patchen sind weiterhin der grundlegendste Weg, um zu verhindern, dass Angreifende Softwarefehler mit Wirkung ausnutzen. Für umsichtige Sicherheitsverantwortliche mit gut orchestrierten Sicherheitsprogrammen bleibt Schwachstellenmanagement weiterhin tragfähig. Andere hingegen müssen die Reife ihres Schwachstellenmanagements verbessern, damit eine ungeminderte Gefährdung nicht katastrophal wird.

Hier die Zusammenfassung der Hochrisiko-Themen für die Unternehmens-IT, die im September 2026 aufgekommen sind.

CVE-2026-86218: Eine weitere aktiv ausgenutzte RCE-Schwachstelle ohne Authentifizierung in N-able N-central

CVSS 9,8 · KritischEPSS 12,9 % (96.)Aktiv ausgenutztIn CISA KEVÖffentlicher PoC

CVE-2026-86218 (CVSS 9,8, EPSS ≥ 96. Perzentil) ist eine kritische Schwachstelle für Remote Code Execution (RCE) ohne Authentifizierung in N-able N-central vor Version 2026.3.1.14. Ursache ist die unsachgemäße Neutralisierung von Direktiven in statisch gespeichertem Code [CWE-96]. CVE-2026-86218 wurde in die KEV-Liste der CISA aufgenommen. Eine detaillierte technische Analyse [1], ein Metasploit-Modul [2] und mindestens ein weiterer Proof-of-Concept-Exploit [3] sind verfügbar, was das Risiko laufender Angriffe weiter erhöht.

Schwachstellen in N-central standen im vergangenen Monat zweimal ebenfalls in der KEV-Liste der CISA und wurden 2025 zweimal im Greenbone Blog gemeldet [4][5]. Das Risiko ist erhöht, weil N-central eine Fernwartungsplattform ist, die von internen IT-Teams und in Umgebungen von Managed Service Providern (MSP) eingesetzt wird. Die Kompromittierung eines N-central-Servers gefährdet die gesamten verwalteten Kundenumgebungen.

Der Hersteller hat Korrekturen für CVE-2026-86218 mit 2026.3 HF4 Build 2026.3.1.14 veröffentlicht. Nutzende sollten ihren installierten Patch-Stand prüfen, da 2026.3 HF3 erst wenige Tage zuvor als Reaktion auf CVE-2026-86206 und CVE-2026-86207 erschienen ist. CVE-2026-86206 gilt als in freier Wildbahn ausgenutzt. Previdian berichtet von einer Ausnutzung von CVE-2026-86207 gegen die eigenen Sensoren, und eine detaillierte technische Analyse liegt vor. Der OPENVAS ENTERPRISE FEED enthält eine Remote-Banner-Prüfung für CVE-2026-86218 sowie eine separate Remote-Banner-Prüfung und eine aktive Prüfung für CVE-2026-86206 und CVE-2026-86207.

Living on the Edge: Wachsende Risiken für Perimetergeräte

Laut dem aktuellen Bericht Verizon DBIR 2026 ist die Ausnutzung öffentlich erreichbarer Software-Schwachstellen inzwischen weltweit der häufigste Vektor für den Erstzugriff. OPENVAS SCAN von Greenbone erkennt Schwachstellen im Perimeterbereich besonders zuverlässig, sowohl über netzwerkbasierte Scans als auch über hostbasierte authentifizierte Scans. Die Erkennung von Greenbone ist branchenführend, wenn sie mit dem OPENVAS ENTERPRISE FEED kombiniert wird. Hier sind einige der kritischsten neuen Bedrohungen für Perimetergeräte im September 2026.

Drei aktiv ausgenutzte Schwachstellen in Citrix NetScaler ADC und Gateway

Drei CVEs, die Citrix NetScaler ADC und NetScaler Gateway betreffen, wurden im September in die KEV-Liste der CISA aufgenommen [1][2][3]. CVE-2026-88771 (CVSS 9,8) und CVE-2026-88772 (CVSS 8,1) wurden Ende September veröffentlicht; CVE-2026-19490 (CVSS 9,8) stammt vom August 2026. Mehrere detaillierte technische Analysen zu einer oder mehreren der CVEs [4][5][6][7][8] sowie PoC-Exploits [9][10][11] sind öffentlich verfügbar.

Die drei Citrix-NetScaler-ADC- und Gateway-CVEs, die im September in die KEV-Liste der CISA aufgenommen wurden, jeweils mit CVSS-Schweregrad und EPSS-Wert für die Ausnutzungswahrscheinlichkeit

CVE-2026-88771

CVSS 9,8 · Kritisch EPSS 1,1 % (63.)

Eine Schwachstelle durch unzureichende Eingabevalidierung [CWE-20] ermöglicht ohne Authentifizierung beliebige RCE. Alle Installationen von NetScaler ADC und NetScaler Gateway sind in der Standardkonfiguration anfällig.

CVE-2026-19490

CVSS 9,8 · Kritisch EPSS 8,0 % (95.)

Eine Umgehung der Authentifizierung über einen alternativen Pfad [CWE-288] ermöglicht es Angreifenden, Appliances aus der Ferne und ohne Authentifizierung anzugreifen. Voraussetzung für die Ausnutzung ist, dass die Appliance als Gateway oder AAA Virtual Server konfiguriert ist; bei bestimmten späteren betroffenen Builds muss zusätzlich eine SAML-Aktion konfiguriert sein. Die praktischen Auswirkungen hängen von der Konfiguration ab: Angreifende können unter Umständen Denial-of-Service-Zustände (DoS) auslösen oder auf einem anfälligen Gateway möglicherweise eine anonyme, authentifizierte VPN-Sitzung mit Zugriff auf das interne Netzwerk einer Organisation erhalten.

CVE-2026-88772

CVSS 8,1 · Hoch EPSS 1,3 % (69.)

Eine Speicherüberlauf-Schwachstelle [CWE-119], die RCE oder DoS-Zustände ermöglicht. Die Ausnutzbarkeit hängt davon ab, dass DTLS aktiviert ist; das ist bei VPN-vServer-Bereitstellungen standardmäßig der Fall.

Die betroffenen Versionen sind unten aufgeführt:

CVE	Betroffene Versionen	Behobene Versionen
CVE-2026-88771	– NetScaler ADC und Gateway 14.1 vor 14.1-73.37 – NetScaler ADC und Gateway 13.1 vor 13.1-64.23 – NetScaler ADC FIPS vor 14.1-73.37 – NetScaler ADC FIPS und NDcPP vor 13.1-37.279	– NetScaler ADC und Gateway 14.1-73.37 und höher – NetScaler ADC und Gateway 13.1-64.23 und höher – NetScaler ADC 14.1-FIPS 14.1-73.37 FIPS und höher – NetScaler ADC 13.1-FIPS und 13.1-NDcPP 13.1.37.279 und höher
CVE-2026-19490	– NetScaler ADC und Gateway 14.1 vor 14.1-73.32 – NetScaler ADC und Gateway 13.1 vor 13.1-63.21 – NetScaler ADC FIPS vor 14.1-73.32 – NetScaler ADC FIPS und NDcPP vor 13.1-37.277	– NetScaler ADC und Gateway 14.1-73.32 und höher – NetScaler ADC und Gateway 13.1-63.21 und höher – NetScaler ADC 14.1-FIPS 14.1-73.32 FIPS und höher – NetScaler ADC 13.1-FIPS und 13.1-NDcPP 13.1-37.277 und höher
CVE-2026-88772	– NetScaler ADC und Gateway 14.1 vor 14.1-73.37 – NetScaler ADC und Gateway 13.1 vor 13.1-64.23 – NetScaler ADC FIPS vor 14.1-73.37 – NetScaler ADC FIPS und NDcPP vor 13.1-37.279	– NetScaler ADC und Gateway 14.1-73.37 und höher – NetScaler ADC und Gateway 13.1-64.23 und höher – NetScaler ADC 14.1-FIPS 14.1-73.37 FIPS und höher – NetScaler ADC 13.1-FIPS und 13.1-NDcPP 13.1.37.279 und höher

Der Hersteller hat keine Workarounds bereitgestellt. Betroffene Nutzende sollten ihre Systeme wie oben beschrieben auf den jeweils passenden behobenen Build aktualisieren. Unmittelbar nach Bekanntwerden der Schwachstellen hat der OPENVAS ENTERPRISE FEED eine Remote-Banner-Versionsprüfung für CVE-2026-88771 und CVE-2026-88772 sowie eine separate Remote-Banner-Prüfung und aktive Prüfung für CVE-2026-19490 ergänzt.

Zwei neue Schwachstellen in SonicWall SMA1000 in der KEV-Liste der CISA

SonicWall hat bestätigt, dass zwei neue, unten beschriebene Schwachstellen in SMA1000 in freier Wildbahn aktiv ausgenutzt werden [1][2].

Die beiden SonicWall-SMA1000-CVEs in der KEV-Liste der CISA, jeweils mit CVSS-Schweregrad und EPSS-Wert für die Ausnutzungswahrscheinlichkeit

CVE-2026-83548

CVSS 10 · Kritisch EPSS 8,8 % (95.)

Eine SSRF-Schwachstelle vor der Authentifizierung [CWE-918] in der Oberfläche Appliance Work Place, verursacht durch einen unbeabsichtigten alternativen Zugriffspfad. Angreifende könnten aus der Ferne und ohne Authentifizierung unbefugten Zugriff auf sensible Funktionen erlangen und unbefugte Operationen ausführen.

CVE-2026-83549

CVSS 7,8 · Hoch EPSS 10,8 % (96.)

Eine OS-Command-Injection-Schwachstelle [CWE-78] in der Appliance Management Console (AMC) ermöglicht authentifizierten Angreifenden mit Administratorrechten, aus der Ferne beliebige Betriebssystembefehle auf einem betroffenen Gerät auszuführen.

Die Ausnutzung beider Schwachstellen lässt sich verketten, um auf betroffenen Appliances RCE ohne Authentifizierung zu erreichen. Ein Metasploit-Modul für die Exploit-Kette ist verfügbar. SonicWall hat ein gemeinsames Sicherheitsupdate in SNWLID-2026-0016 veröffentlicht. Innerhalb weniger Stunden nach Bekanntwerden hat der OPENVAS ENTERPRISE FEED eine Remote-Banner-Prüfung ergänzt, die beide CVEs abdeckt.

Produkte	Betroffene Versionen	Behobene Versionen
SonicWall SMA1000 (6210, 7210, 8200v)	– 12.4.3-03453 und früher – 12.5.0-02835 und früher	– 12.4.3-03526 – 12.5.0-02952

CVE-2025-25249: Fortinet FortiOS aktiv ausgenutzt

CVSS 9,8 · KritischEPSS 3,9 % (90.)Aktiv ausgenutztIn CISA KEV

CVE-2025-25249 (CVSS 9,8, EPSS ≥ 90. Perzentil), im Januar 2026 veröffentlicht, ist ein Heap-basierter Pufferüberlauf [CWE-122] im cw_acd-Daemon von Fortinet. cw_acd ist der Access-Controller-Daemon von Fortinet für CAPWAP (Control and Provisioning of Wireless Access Points). Der anfällige Pfad ist über das Netzwerk erreichbar, und die Ausnutzung ermöglicht auf betroffenen FortiOS-, FortiSwitchManager- und FortiSASE-Geräten RCE ohne Authentifizierung. Unter FortiOS aktiviert die Schnittstelleneinstellung set allowaccess fabric den Dienst Security Fabric Connection, zu dem FortiTelemetry und der CAPWAP-Endpunkt gehören.

CVE-2025-25249 wird seit Juli 2026 in freier Wildbahn ausgenutzt, und die CISA hat die Schwachstelle im September in ihren KEV-Katalog aufgenommen. Die Schwachstelle wurde eingesetzt, um PivotC2 zu installieren, eine neuartige Node.js-Malware-Familie, bei mindestens 178 bestätigten Opfern.

Produkt	Betroffene Versionen	Behobene Versionen
FortiOS	– 7.6.0 bis 7.6.3 – 7.4.0 bis 7.4.8 – 7.2.0 bis 7.2.11 – 7.0.0 bis 7.0.17 – 6.4 alle Versionen	– 7.6.4 – 7.4.9 – 7.2.12 – 7.0.18
FortiSwitchManager	– 7.2.0 bis 7.2.6 – 7.0.0 bis 7.0.5	– 7.2.7 – 7.0.6
FortiSASE	– 25.2.b – 25.1.a.2	– 25.2.c – 25.1.b

Fortinet empfiehlt, das Problem zu entschärfen, indem der Zugriff über fabric an jeder Schnittstelle entfernt oder der Zugriff auf den CAPWAP-Daemon unterbunden wird. Nutzende sollten ihre Exposition prüfen und entweder den Workaround anwenden oder betroffene Geräte auf die neuesten behobenen Versionen aktualisieren. Geräte mit FortiOS Version 6.4 müssen auf einen behobenen Release-Zweig migrieren.

Unmittelbar nach Bekanntwerden hat der OPENVAS ENTERPRISE FEED von Greenbone eine Erkennung auf Paketebene für CVE-2025-25249 in FortiOS ergänzt. Der ENTERPRISE FEED enthält außerdem eine laufende Erkennung neu auftretender Schwachstellen in Fortinet-Produkten.

CVE-2026-94127: Aktiv ausgenutzte OAuth-Schwachstelle in F5 BIG-IP APM ermöglicht RCE ohne Authentifizierung

CVSS 9,8 · KritischEPSS 2,2 % (82.)Aktiv ausgenutztIn CISA KEV

CVE-2026-94127 (CVSS 9,8, EPSS ≥ 82. Perzentil) ist ein kritischer Heap-basierter Pufferüberlauf [CWE-122] in F5 BIG-IP APM. Die Schwachstelle ermöglicht RCE ohne Authentifizierung und die vollständige Kompromittierung betroffener Geräte. Die Ausnutzbarkeit hängt davon ab, dass auf demselben Virtual Server eine APM-Zugriffsrichtlinie und ein OAuth-Profil konfiguriert sind. Bereitstellungen, die APM nur als OAuth-Client oder Resource Server einsetzen, sind nicht betroffen.

Der Angriff erfolgt über einen überlangen Authorization: Bearer-Header an einen OAuth-Endpunkt wie /f5-oauth2/v1/userinfo. F5 hat die aktive Ausnutzung in freier Wildbahn bestätigt, und die Schwachstelle wurde in die KEV-Liste der CISA aufgenommen. Außerdem hat watchTowr Labs eine technische Analyse veröffentlicht, die Exploit-Details enthält.

F5 stellt Kundschaft mit Supportvertrag einen offiziellen, auf iRules basierenden Workaround bereit. Weitere temporäre Schutzmaßnahmen sind die Einschränkung des Zugriffs auf OAuth-Endpunkte per IP-Allowlist oder über Regeln einer Web Application Firewall (WAF) sowie die Deaktivierung des OAuth Authorization Server, falls er nicht genutzt wird. Der OPENVAS ENTERPRISE FEED enthält eine Paketerkennung für CVE-2026-94127 in F5 BIG-IP APM sowie eine laufende Erkennung von Schwachstellen, die F5-Produkte betreffen. Die betroffenen Versionen und die zugehörigen Hotfix-Patches sind unten aufgeführt:

Betroffene Versionen	Gepatchte Hotfixes
17.1.0 vor Hotfix-BIGIP-17.1.3.5.0.41.14-ENG	17.1.0 Hotfix-BIGIP-17.1.3.5.0.41.14-ENG
17.5.0 vor Hotfix-BIGIP-17.5.1.9.0.160.12-ENG	17.5.0 Hotfix-BIGIP-17.5.1.9.0.160.12-ENG
21.1.0 vor Hotfix-BIGIP-21.1.0.2.0.30.22-ENG	21.1.0 Hotfix-BIGIP-21.1.0.2.0.30.22-ENG

Kritische Schwachstellen in Check-Point-Sicherheitsprodukten, darunter zwei aktiv ausgenutzte

Check Point meldet die aktive Ausnutzung von zwei kritischen Schwachstellen: CVE-2026-85102 (CVSS 9,8, EPSS ≥ 94. Perzentil) betrifft die Verarbeitung von VPN-Zertifikaten in Check Point Quantum Security Gateway und Spark Firewall, CVE-2026-93616 (CVSS 9,8, EPSS ≥ 97. Perzentil) den Management-Webdienst von Check Point. Beide wurden in den KEV-Katalog der CISA aufgenommen [1][2]. Im September wurden zwei weitere kritische Schwachstellen bekannt: CVE-2026-85103 (CVSS 9,8, EPSS ≥ 89. Perzentil) und CVE-2026-91843 (CVSS 9,8, EPSS ≥ 42. Perzentil), die Komponenten für VPN und Management-Ebene betreffen.

Weltweit wurden Angriffe auf Spark-Kundschaft von anonymisierten IP-Adressen aus beobachtet. Check Point gab außerdem an, dass die Aktivitäten nach der Kompromittierung auch interne Port- und Dienst-Scans umfassten. Obwohl Security Management und Log Server nicht ausdrücklich ein Edge-Netzwerkdienst ist, hat Censys 3.836 öffentlich erreichbare Instanzen weltweit gefunden.

Die vier in diesem Abschnitt beschriebenen kritischen Check-Point-CVEs, jeweils mit CVSS-Schweregrad und EPSS-Wert für die Ausnutzungswahrscheinlichkeit

CVE-2026-85102

CVSS 9,8 · Kritisch EPSS 7,5 % (94.)

Unsachgemäßes Zertifikatsvertrauen [CWE-295] bei der VPN-Aushandlung in Check Point Quantum Security Gateway ermöglicht es Angreifenden, aus der Ferne und ohne Authentifizierung beliebigen Code auf dem Gateway auszuführen. Eine vollständige Liste der betroffenen Produkte und Versionen ist im Advisory sk1000117 des Herstellers verfügbar.

CVE-2026-93616

CVSS 9,8 · Kritisch EPSS 19,7 % (97.)

Eine Directory-Traversal-Schwachstelle [CWE-22] ermöglicht es Angreifenden ohne Authentifizierung, beliebige Skripte auf den Check Point Management Server hochzuladen und auszuführen. Eine vollständige Liste der betroffenen Produkte und Versionen ist im Advisory sk1000171 des Herstellers verfügbar.

CVE-2026-85103

CVSS 9,8 · Kritisch EPSS 3,7 % (89.)

Ein Heap-basierter Pufferüberlauf [CWE-122] bei der ASN.1-Dekodierung von VPN-Zertifikaten ermöglicht es Angreifenden, aus der Ferne und ohne Authentifizierung beliebigen Code auf Check Point Quantum Security Management und Quantum Security Gateway auszuführen. Eine vollständige Liste der betroffenen Produkte und Versionen ist im Advisory sk1000118 des Herstellers verfügbar.

CVE-2026-91843

CVSS 9,8 · Kritisch EPSS 0,5 % (42.)

Ein Stack-Überlauf [CWE-121] während des Anmeldevorgangs ermöglicht es Angreifenden, aus der Ferne und ohne Authentifizierung beliebigen Code mit Root-Rechten auszuführen. Eine vollständige Liste der betroffenen Produkte und Versionen ist im Advisory sk1000155 des Herstellers verfügbar.

Der OPENVAS ENTERPRISE FEED enthält eine Remote-Banner-Prüfung, die CVE-2026-85102 und CVE-2026-85103 abdeckt, sowie separate Remote-Banner-Prüfungen für CVE-2026-93616 [3] und CVE-2026-91843 [4]. Organisationen, die betroffene Check-Point-Produkte einsetzen, sollten die Behebung bei VPN- und Management-Systemen mit Internetzugang priorisieren, mit höchster Priorität bei den beiden aktiv ausgenutzten Schwachstellen.

Adobe Commerce/Magento: Zwei aktiv ausgenutzte CVEs ermöglichen Remote-Ausführung von PHP-Code und die Übernahme von Kundenkonten

Adobe hat zwei Schwachstellen mit kritischem Schweregrad in Adobe Commerce und Magento Open Source bekannt gegeben. CVE-2026-75650 (CVSS 10, EPSS ≥ 90. Perzentil), „StyleSmuggler“ genannt, ist eine Schwachstelle in der Template-Engine [CWE-1336], die RCE ohne Authentifizierung ermöglichen kann. Die zweite kritische Schwachstelle, CVE-2026-71362 (CVSS 9,1, EPSS = 100. Perzentil), ist eine Schwachstelle durch fehlerhafte Autorisierung [CWE-863], die eine Rechteausweitung ermöglicht. Adobe berichtet, dass CVE-2026-75650 in freier Wildbahn ausgenutzt wird. Beide CVEs wurden in die KEV-Liste der CISA aufgenommen [1][2] und für die forensische Triage markiert.

Sansec berichtet, dass die Ausnutzung von StyleSmuggler mit einer nicht authentifizierten Anfrage an den GraphQL-Endpunkt von Magento beginnt. Eine speziell präparierte HTTP-Anfrage erlaubt es Angreifenden, über HTTP-Header und -Parameter schädliches PHP in die Template-Verarbeitungskette einzuschleusen. Das schädliche PHP wird später beim automatisierten Rendern von E-Mails ausgeführt. Sansec berichtet außerdem, dass Angreifende mit CVE-2026-71362 eine Kundensitzung auf ein anderes Kundenkonto umschalten und so Zugriff auf private Kundendaten erhalten können.

Der OPENVAS ENTERPRISE FEED enthält separate Remote-Banner-Prüfungen für CVE-2026-75650 [3] und CVE-2026-71362 [4] in Adobe Commerce und Magento Open Source. CVE-2026-71362 wurde mit dem Sicherheitsupdate APSB26-138 von Adobe behoben. Für CVE-2026-75650 (StyleSmuggler) hat Adobe anschließend den Hotfix VULN-39341 veröffentlicht. Beide Updates müssen entsprechend dem betroffenen Release-Zweig eingespielt werden. Adobe empfiehlt außerdem, offengelegte Verschlüsselungsschlüssel, OAuth-Client-Secrets, Tokens für eingebundene Erweiterungen von Drittanbietern, Zugangsdaten für Zahlungsdienste und andere privilegierte Zugangsdaten zu rotieren.

CVE-2026-28326: Fest codierter Schlüssel ermöglicht RCE ohne Authentifizierung in SolarWinds Access Rights Manager

CVSS 8,8 · HochEPSS 0,7 % (51.)

CVE-2026-28326 (CVSS 8,8) ist eine Schwachstelle für RCE ohne Authentifizierung in SolarWinds Access Rights Manager vor Version 2026.2.1. Ursache ist ein fest codierter statischer Schlüssel [CWE-321], und die Ausnutzung ermöglicht die vollständige Kompromittierung des Geräts. Einige technische Details sind verfügbar, die die Entwicklung von Exploits unterstützen könnten. Der gRPC-Dienst von ARM auf TCP-Port 55555 behandelt ein fehlendes Client-Zertifikat bei der TLS-Authentifizierung nicht korrekt, sondern leitet auf einen Fallback-Authentifizierungsmechanismus um. Der Fallback-Pfad akzeptiert ein HMAC-Token, das mit einem fest codierten Geheimnis erzeugt wurde, sodass sich Angreifende ohne Client-Zertifikat authentifizieren können.

Access Rights Manager (ARM) dient dazu, Zugriffsrechte auf Systeme, Daten und Dateien in Unternehmensnetzwerken, darunter Microsoft Active Directory, Exchange und SharePoint, zu vergeben, zu entziehen, zu verwalten und zu auditieren. Wegen der zentralen Rolle des Produkts bei der Verwaltung von Zugriffsrechten ist das Patchen von CVE-2026-28326 kritisch, insbesondere dort, wo ARM über nicht vertrauenswürdige IP-Adressen erreichbar ist.

Der OPENVAS ENTERPRISE FEED enthält eine Remote-Banner-Prüfung für CVE-2026-28326 in SolarWinds ARM. CVE-2026-28326 betrifft Access Rights Manager 2026.2 und alle früheren Versionen. Für Bereitstellungen, die nicht sofort aktualisiert werden können, empfiehlt SolarWinds dringend, ARM nicht im öffentlichen Internet zu exponieren und den Zugriff auf vertrauenswürdige IP-Adressen zu beschränken. Für eine vollständige Behebung sollten Nutzende so schnell wie möglich auf die behobene Version 2026.2.1 aktualisieren.

Ivanti patcht sechs kritische Schwachstellen in Neurons ITSM

Ivanti hat acht neue CVEs in Neurons for ITSM vor Version 2026.2 bekannt gegeben; alle ermöglichen RCE auf dem Server. Sechs davon sind als kritisch eingestuft. Zwei lassen sich ohne Authentifizierung ausnutzen, die übrigen erfordern authentifizierten Zugriff. Zu den CVEs gehören Schwachstellen durch unsichere Deserialisierung [CWE-502] und fehlende Autorisierung [CWE-862]. Zwar gibt es noch keine Hinweise auf eine Ausnutzung in freier Wildbahn, doch Ivanti-Produkte sind ein beliebtes Ziel von Cyberangriffen, auch von Ransomware-Angriffen.

Ivanti Neurons for ITSM wird von Admins und IT-Personal genutzt, um Serviceanfragen, Incidents, Probleme und Änderungen zu verwalten. Die Ausnutzung erlaubt Angreifenden, Daten des Service Desks, Zugangsdaten und Integrationen zu manipulieren und sich möglicherweise weiter im IT-Netzwerk einer Organisation zu bewegen.

Die betroffenen Versionen und Korrekturen sind unten aufgeführt:

Bereitstellung	Betroffene Versionen	Status der Behebung
Ivanti ITSM On-Premises	2025.2 2025.3 2025.4 2026.1	Den Sicherheits-Patch vom September 2026 für den jeweiligen Zweig einspielen
Ivanti ITSM On-Premises (veröffentlicht am 21. September 2026)	2026.2	Nicht betroffen

Die Sicherheitshinweise von Ivanti [1][2] zeigen, dass Cloud-Kundschaft bereits geschützt ist, On-Premises-Admins aber den jeweiligen Patch einspielen müssen. Unmittelbar nach Bekanntwerden hat der OPENVAS ENTERPRISE FEED eine Remote-Banner-Prüfung ergänzt, die alle genannten CVEs in Ivanti Neurons for ITSM abdeckt.

Zusammenfassung

Im September sind kritische Schwachstellen in Produkten der Unternehmens-IT in beschleunigtem Tempo aufgetaucht. Kritische Schwachstellen in N-able N-central, Citrix NetScaler, SonicWall, Fortinet, F5, Check Point, Adobe Commerce und Ivanti Neurons ITSM zeigen die anhaltend hohe Gefährdung internetexponierter Systeme. Die Zahlen sind gewaltig, doch Sicherheitsverantwortliche müssen wachsam bleiben. Regelmäßiges Scannen, geordnete Priorisierung und zeitnahes Patchen sind weiterhin der grundlegendste Weg, um zu verhindern, dass Angreifende Softwarefehler mit Wirkung ausnutzen.

 

Greenbone freut sich, CoreWin als neuen Vertriebspartner bekannt zu geben. Als in der Ukraine ansässiger Value-Added-Software-Distributor ist CoreWin hervorragend positioniert, um OPENVAS in der Ukraine, Armenien, Aserbaidschan, Georgien, Kasachstan, Kirgisistan, Moldau und Usbekistan verfügbar zu machen.

Warum unsere CoreWin-Partnerschaft wichtig ist

Organisationen in diesen Regionen, im öffentlichen wie im privaten Sektor, sind auf eine verlässliche Cybersicherheitsinfrastruktur angewiesen, um kritische Systeme auch unter anspruchsvollen Bedingungen am Laufen zu halten. Schwachstellenmanagement spielt für diese Resilienz eine zentrale Rolle. Durch die kontinuierliche Identifizierung und Priorisierung von Sicherheitslücken können Organisationen Risiken verringern, bevor Angreifer sie ausnutzen können. Die OPENVAS-Produktlinie von Greenbone unterstützt zudem die Compliance-Anforderungen, die zunehmend an Organisationen jeder Größe und in allen Branchen gestellt werden. Genau hier kommt Greenbone + CoreWin ins Spiel.

CoreWin bringt regionale Expertise mit

CoreWin verfügt über ein Netzwerk von mehr als 500 Resellern und damit über umfassende regionale Expertise. Unser neuer Partner liefert hochwertige Software, professionellen technischen Support und praxisnahe Unterstützung für Behörden ebenso wie für Unternehmen und macht OPENVAS dadurch für Organisationen in diesen Märkten leichter zugänglich.

Über die OPENVAS-Produktlinie

Aufbauend auf einer Open-Source-Basis und in Europa unter vollständiger DSGVO-Konformität entwickelt, eignen sich OPENVAS-Produkte ideal für Organisationen, die sowohl Transparenz über die von ihnen eingesetzten IT-Produkte als auch souveräne Kontrolle über ihre sensiblen Sicherheitsdaten suchen.

Für Organisationen mit Enterprise-IT-Umgebungen ist Sichtbarkeit ein entscheidender Faktor für belastbare Sicherheit. Schließlich lassen sich Sicherheitsprobleme, die unentdeckt bleiben, nicht beheben. OPENVAS SCAN ist in Kombination mit dem OPENVAS ENTERPRISE FEED für hohe Sichtbarkeit über verteilte Netzwerke, Außenstandorte und Air-Gapped-Deployments an stark isolierten Standorten ausgelegt.

Hier sind einige der Highlights der OPENVAS-Produktlinie von Greenbone:

• Umfassende Schwachstellenabdeckung: Der OPENVAS ENTERPRISE FEED ist die umfassendste Bibliothek von Greenbone an Schwachstellenerkennungstests, mit über 200.000 Sicherheitschecks und täglichen Updates. Die Kundschaft kann neu auftretende Schwachstellen oft schon innerhalb eines Tages nach ihrer Veröffentlichung erkennen. Die Abdeckung umfasst geschäftskritische Software von Anbietern wie Microsoft, Cisco, VMware, Oracle, Palo Alto Networks und Fortinet, eine umfangreiche Liste von Linux-Distributionen sowie eine Vielzahl an Open-Source-Software.
• Verteiltes und Air-Gapped-Deployment: OPENVAS SCAN ist als Turnkey-Hardware- oder virtuelle Appliance für den klassischen On-Premises-Einsatz erhältlich und unterstützt darüber hinaus verteilte Sensorarchitekturen sowie Air-Gapped-Deployment für isolierte Netzwerke.
• Herstellerunterstützung: Der OPENVAS ENTERPRISE FEED beinhaltet Zugang zu unserem Enterprise Support und unseren Professional Services.