Der sogenannte Vulnpocalypse ist nun in vollem Gange. Dieser Threat Report für August 2026 kratzt nur an der Oberfläche der neuen, hochriskanten Schwachstellen, die im August 2026 aufgetaucht sind. Um zu sehen, wie die branchenführende Schwachstellenerkennung von Greenbone Ihre IT-Sicherheitsabläufe unterstützen kann, besuchen Sie unser SecInfo-Portal und werfen Sie einen Blick auf unser vollständiges Erkennungsportfolio.

Der August bestätigte ein inzwischen allzu vertrautes Muster: hochriskante Schwachstellen in weitverbreiteter Unternehmenssoftware bewegen sich rasant von der Offenlegung zur aktiven Ausnutzung. Die folgenden Abschnitte beleuchten die Schwachstellen und zugehörigen Angriffskampagnen, die sofortige Aufmerksamkeit erfordern.

Microsoft: Neue aktiv ausgenutzte CVEs, Spionage, Ransomware und PoCs

Microsofts Patch-Veröffentlichung im August 2026 war erneut eine umfangreiche Offenlegung. Von 457 neuen CVEs wurden 36 mit einem kritischen CVSS-Score bewertet. 80 erhielten einen EPSS-Score über dem 50. Perzentil und 16 über dem 80. Perzentil. Microsoft stufte 34 der CVEs als „Exploitation More Likely“ ein. Bereits Anfang August berichtete der Greenbone-Blog über eine Spionagekampagne, die CVE-2026-68820 (CVSS 7,0, EPSS ≥ 93. Perzentil) ausnutzt, welche den Windows Ancillary Function Driver für WinSock betrifft.

Die neu offengelegte CVE-2026-33824, die die Windows-IKE-Erweiterung betrifft, wurde in CISAs KEV-Liste aufgenommen, ebenso wie CVE-2026-55040, die SharePoint betrifft und bereits im Juli offengelegt wurde. Zusätzlich zu diesen neuen CVEs wurde auch eine ältere Schwachstelle, CVE-2019-1068, die Microsoft SQL Server betrifft, in CISAs KEV-Liste aufgenommen. CISA ordnete zudem CVE-2026-45659, einer Deserialisierungsschwachstelle [CWE-502] in Microsoft SharePoint Server, sowie CVE-2025-60710, einer Windows-Link-Following-Schwachstelle [CWE-59] zur Rechteausweitung, einen Ransomware-Bezug zu [1][2].

Microsofts Auseinandersetzung mit Zero-Day-Offenlegungen durch externe Sicherheitsforschende setzte sich auch im August 2026 fort [1][2][3]. Weitere hochriskante Bedrohungen für Microsoft-Umgebungen, die im August 2026 auftraten, umfassen:

• CVE-2026-54121 (CVSS 8,8, EPSS ≥ 77. Perzentil): Die als „Certighost“ bezeichnete Schwachstelle beruht auf unzureichender Autorisierung [CWE-285] in den Active Directory Certificate Services (AD CS). Ein authentifizierter Angreifer kann ein Zertifikat von AD CS erhalten und anschließend über Kerberos Rechte ausweiten. Detaillierte technische Analysen [4][5] sowie ein PoC-Exploit [6] sind öffentlich verfügbar, was das Angriffsrisiko erhöht.
• CVE-2026-70329 (CVSS 8,8, EPSS ≥ 50. Perzentil): Ein Integer-Overflow [CWE-190] in Microsoft Office Outlook ermöglicht einem Angreifer die Codeausführung über das Netzwerk mittels Social Engineering; das Opfer muss dazu eine bösartige Office-Datei öffnen.
• CVE-2026-42897 (CVSS 6,1, EPSS ≥ 99. Perzentil): Eine XSS-Schwachstelle in Outlook Web Access (OWA) wurde genutzt, um Organisationen aus den Bereichen Regierung, Telekommunikation, Finanzwesen, Hotellerie und Luft- und Raumfahrt anzugreifen [7]. Das Öffnen einer bösartigen E-Mail in OWA genügte, um vom Angreifer kontrollierten JavaScript-Code auszuführen. Die Angreifer setzten OWAReaper ein, ein im Browser residierendes JavaScript-Implantat, um Zugangsdaten und OAuth-Token zu stehlen, dauerhaften Zugriff auf den Computer des Opfers aufrechtzuerhalten, beliebige Befehle auszuführen und Daten über HTTPS und DNS-Tunneling zu exfiltrieren.

Die vier weiteren hochriskanten Microsoft-CVEs aus August 2026, jeweils mit ihrer CVSS-Schweregradstufe und ihrem EPSS-Ausnutzungswahrscheinlichkeitswert

CVE-2026-68820

CVSS 7,0 · Hoch EPSS 6,2 % (93.)

Betrifft den Windows Ancillary Function Driver für WinSock; wurde in einer Spionagekampagne ausgenutzt, die Social Engineering mit dieser Windows-Rechteausweitungsschwachstelle kombiniert.

CVE-2026-54121

CVSS 8,8 · Hoch EPSS 1,8 % (77.)

Als „Certighost“ bezeichnet — eine Schwachstelle durch unzureichende Autorisierung [CWE-285] in den Active Directory Certificate Services (AD CS), die es einem authentifizierten Angreifer ermöglicht, ein Zertifikat zu erhalten und über Kerberos Rechte auszuweiten.

CVE-2026-70329

CVSS 8,8 · Hoch EPSS 0,7 % (50.)

Ein Integer-Overflow [CWE-190] in Microsoft Office Outlook ermöglicht einem Angreifer die Codeausführung über eine bösartige, per Social Engineering geöffnete Office-Datei.

CVE-2026-42897

CVSS 6,1 · Mittel EPSS 71,2 % (99.)

Eine XSS-Schwachstelle in Outlook Web Access ermöglichte Angreifern die Ausführung von JavaScript über eine einzelne bösartige E-Mail und den Einsatz des OWAReaper-Implantats zum Diebstahl von Zugangsdaten und OAuth-Token.

Der OPENVAS ENTERPRISE FEED von Greenbone bietet regelmäßige Schwachstellenerkennung für zahlreiche Microsoft-Produkte, einschließlich aller oben genannten CVEs.

Neue Cisco-Risiken: Kritische Schwachstellen, öffentliche PoCs und neue Angriffe

Cisco veröffentlichte im August 2026 mehrere hochriskante Schwachstellen-Cluster in seinen Produkten für Firewalls, Netzwerkmanagement, Endpunktsicherheit, Server-Management und Workload-Sicherheit. Der Hersteller entschied sich, die neuen Schwachstellen nach Common Weakness Enumeration (CWE)-Klasse zu gruppieren und mehrere Schwachstellen unter einer einzigen CVE-Kennung zu veröffentlichen. Diese Praxis wurde vom CVE-Programm kürzlich offiziell missbilligt.

Der OPENVAS ENTERPRISE FEED von Greenbone bietet regelmäßige Erkennungsprüfungen für Schwachstellen in Cisco-Produkten. Hier sind einige der bedeutendsten Risiken für Cisco-Produkte aus August 2026:

CVE-2026-20349: Secure Firewall ASA/FTD: Aktiv ausgenutzt für DoS

CVSS 8,6 · HochEPSS 2,2 % (81.)Aktiv ausgenutztIn CISA KEV

CVE-2026-20349 (CVSS 8,6, EPSS ≥ 81. Perzentil) betrifft den Remote Access SSL VPN-Dienst in Cisco Secure Firewall Adaptive Security Appliance (ASA) und Secure Firewall Threat Defense (FTD). Ein nicht authentifizierter Remote-Angreifer kann über eine präparierte HTTP-Anfrage einen Denial-of-Service (DoS)-Zustand auf betroffenen Geräten herbeiführen. Für die Ausnutzung müssen IKEv2 Remote Access VPN mit Client Services, SSL VPN oder, bei FTD, Zero Trust Network Access aktiviert sein.

Die CVE wurde in CISAs KEV-Liste aufgenommen, was auf aktive Ausnutzung hinweist. Laut Cisco gibt es keine Workarounds, sodass verfügbare Hotfixes die primäre Abhilfemaßnahme darstellen. Weitere Informationen finden Sie im offiziellen Advisory.

Integrated Management Controller: Authentifizierte Root-Level-RCE mit öffentlichem Exploit

CVSS 8,8 · HochEPSS 5,7 % (93.)Keine bekannte AusnutzungÖffentlicher PoC

CVE-2026-20200 (CVSS 8,8, EPSS ≥ 93. Perzentil) ist eine Argument-Injection-Schwachstelle in der Weboberfläche des Cisco Integrated Management Controller (IMC). Ein Angreifer mit geringen Rechten kann Parameter manipulieren, die IMC beim Abrufen eines SSH-Public-Keys verwendet, zusätzliche curl-Argumente einschleusen und letztlich beliebige Befehle mit Root-Rechten ausführen.

Mehrere technische Erläuterungen [1][2] sowie ein öffentliches PoC-Exploit-Toolkit sind verfügbar [3]. Der PoC unterstützt das beliebige Hoch- und Herunterladen von Dateien sowie die Ausführung von Befehlen über eine Reverse Shell. Aktive Ausnutzung wurde bisher nicht gemeldet. Das Risiko wird zusätzlich dadurch verstärkt, dass IMC unterhalb des Host-Betriebssystems arbeitet und mit Firmware, BIOS und Secure Boot interagieren kann.

Es sind keine Workarounds verfügbar. Weitere Informationen, einschließlich einer vollständigen Liste betroffener Produkte, finden Sie im offiziellen Advisory.

Sieben ClamAV-Schwachstellen: CVE-2026-20337 mit öffentlichem Exploit

Sieben ClamAV-Parsing-Schwachstellen betreffen den Secure Endpoint Connector und können es nicht authentifizierten Remote-Angreifern ermöglichen, bösartige ZIP-, PESpin-, GPT-, PDF-, Mach-O- oder XAR-Inhalte einzureichen, um den ClamAV-Prozess zum Absturz zu bringen. Cisco stuft die Auswirkung unter Windows höher ein, da ClamAV dort in einem privilegierten Sicherheitskontext ausgeführt wird, während die Connectors unter Linux und macOS mit geringeren Rechten laufen. Am bedeutsamsten: Cisco PSIRT bestätigt die Existenz eines öffentlichen PoC-Exploits für CVE-2026-20337 und CVE-2026-20338. Aktive Ausnutzung wurde bisher nicht gemeldet.

Catalyst SD-WAN: Mehrere kritische Schwachstellengruppen

Cisco hat fünf CVE-Gruppen behoben, die Catalyst SD-WAN in allen Konfigurationen betreffen. CVE-2026-20303 und CVE-2026-20304 (beide mit CVSS 9,9 bewertet) betreffen unzureichende Eingabevalidierung [CWE-20] beziehungsweise unzureichende Zugriffskontrolle [CWE-284]. CVE-2026-20310 (CVSS 9,1) betrifft eine fehlerhafte Link-Auflösung [CWE-59]. CVE-2026-20312 (CVSS 8,8) und CVE-2026-20313 (CVSS 7,7) betreffen die Klartextspeicherung sensibler Informationen [CWE-312] und eine unzureichende Validierung der Eingabemenge [CWE-1284].

Die fünf Cisco-Catalyst-SD-WAN-CVE-Gruppen aus August 2026, jeweils mit ihrer CVSS-Schweregradstufe und ihrem EPSS-Ausnutzungswahrscheinlichkeitswert

CVE-2026-20303

CVSS 9,9 · Kritisch EPSS 0,3 % (25.)

Unzureichende Eingabevalidierung [CWE-20] in Cisco Catalyst SD-WAN.

CVE-2026-20304

CVSS 9,9 · Kritisch EPSS 0,3 % (20.)

Unzureichende Zugriffskontrolle [CWE-284] in Cisco Catalyst SD-WAN.

CVE-2026-20310

CVSS 9,1 · Kritisch EPSS 0,4 % (34.)

Fehlerhafte Link-Auflösung [CWE-59] in Cisco Catalyst SD-WAN.

CVE-2026-20312

CVSS 8,8 · Hoch EPSS 0,3 % (18.)

Klartextspeicherung sensibler Informationen [CWE-312] in Cisco Catalyst SD-WAN.

CVE-2026-20313

CVSS 7,7 · Hoch EPSS 0,3 % (19.)

Unzureichende Validierung der Eingabemenge [CWE-1284] in Cisco Catalyst SD-WAN.

Es sind keine detaillierten technischen Informationen oder PoC-Exploits öffentlich verfügbar. Aktive Ausnutzung wurde bisher nicht gemeldet. Es sind keine Workarounds verfügbar. Weitere Informationen finden Sie im offiziellen Advisory.

CVE-2026-20272: Nicht authentifizierte Injection in IOS XE

CVSS 9,8 · KritischEPSS 0,4 % (34.)Keine bekannte Ausnutzung

Cisco veröffentlichte sieben Schwachstellengruppen, die IOS XE im autonomen Modus oder im Controller-Modus in allen Konfigurationen betreffen. Hervorzuheben ist CVE-2026-20272 (CVSS 9,8), eine Gruppe, die durch unzureichende Neutralisierung spezieller Elemente [CWE-74] verursacht wird und mindestens einen nicht authentifizierten, über das Netzwerk ausnutzbaren Punkt enthält. Es sind keine detaillierten technischen Informationen oder PoC-Exploits öffentlich verfügbar. Aktive Ausnutzung wurde bisher nicht gemeldet. Es sind keine Workarounds verfügbar. Weitere Informationen finden Sie im offiziellen Advisory.

CVE-2026-72898: CVSS-10-Schwachstelle in Metabase aktiv ausgenutzt

CVSS 10 · KritischEPSS 82,3 % (100.)Aktiv ausgenutztIn CISA KEVÖffentlicher PoC

CVE-2026-72898 (CVSS 10, EPSS = 100. Perzentil) ist eine SQL-Injection-Schwachstelle [CWE-89], die es einem nicht authentifizierten Remote-Angreifer ermöglicht, über den /reset_password-Endpunkt beliebige SQL-Befehle einzuschleusen. Die Ausnutzung ermöglicht Administratorzugriff auf die verbundene Metabase-Instanz. CVE-2026-72898 wurde in CISAs KEV-Liste aufgenommen. Mehrere detaillierte technische Analysen [1][2][3] sowie PoC-Exploits [4][5][6] sind öffentlich verfügbar. Das Sicherheitsunternehmen VeraniX identifizierte bis zum 10. August 15 Opfer. Die Liste dürfte inzwischen jedoch deutlich gewachsen sein.

Der OPENVAS ENTERPRISE FEED von Greenbone enthält eine Remote-Banner-Prüfung für CVE-2026-72898 und weitere CVEs, die im jüngsten Patch für Metabase enthalten sind. Der Hersteller empfiehlt, den Zugriff auf den Endpunkt /api/session/reset_password als vorübergehende Abhilfemaßnahme zu blockieren, bis ein Update möglich ist. Eine Tabelle mit den betroffenen Versionen finden Sie unten; Nutzende sollten dringend auf eine gepatchte Version aktualisieren.

Edition	Release-Branch	Betroffene Versionen	Gepatchte Version
Metabase OSS	0.58.x	Vor 0.58.24	0.58.24 oder höher
Metabase OSS	0.59.x	Vor 0.59.21	0.59.21 oder höher
Metabase OSS	0.60.x	Vor 0.60.17	0.60.17 oder höher
Metabase OSS	0.61.x	Vor 0.61.11	0.61.11 oder höher
Metabase OSS	0.62.x	Vor 0.62.9	0.62.9 oder höher
Metabase OSS	0.63.x	Vor 0.63.5	0.63.5 oder höher
Metabase Enterprise	1.58.x	Vor 1.58.24	1.58.24 oder höher
Metabase Enterprise	1.59.x	Vor 1.59.21	1.59.21 oder höher
Metabase Enterprise	1.60.x	Vor 1.60.17	1.60.17 oder höher
Metabase Enterprise	1.61.x	Vor 1.61.11	1.61.11 oder höher
Metabase Enterprise	1.62.x	Vor 1.62.9	1.62.9 oder höher
Metabase Enterprise	1.63.x	Vor 1.63.5	1.63.5 oder höher

CVE-2026-60004: Gitea erneut aktiv ausgenutzt

CVSS 9,8 · KritischEPSS 86,8 % (100.)Aktiv ausgenutztIn CISA KEVÖffentlicher PoC

Im Juli berichtete unser Blog über die aktive Ausnutzung von Gitea. Seitdem wurde CVE-2026-60004 (CVSS 9,8, EPSS ≥ 100. Perzentil) offengelegt und in CISAs KEV-Liste aufgenommen. Die neue Schwachstelle betrifft Gitea vor Version 1.27.1. Die Ausnutzung ermöglicht RCE über die diffpatch-API während der Installation eines Git-Hooks. Gitea sowie ein Drittanbieter haben PoC-Exploits veröffentlicht [1][2], was das Risiko erhöht.

Der OPENVAS ENTERPRISE FEED enthält eine Remote-Banner-Prüfung für CVE-2026-60004. Nutzende sollten umgehend auf Gitea Version 1.27.1 aktualisieren.

CVE-2026-73570: Neue aktiv ausgenutzte Zimbra-Schwachstelle

CVSS 8,9 · HochEPSS 32,4 % (98.)Aktiv ausgenutztIn CISA KEV

CVE-2026-73570 (CVSS 8,9, EPSS ≥ 98. Perzentil), die Zimbra Collaboration Suite (ZCS) betrifft, wurde Mitte August veröffentlicht und rasch in CISAs KEV-Liste aufgenommen. Insgesamt wurden im Release von ZCS Version 10.1.20 neun Sicherheitsprobleme behoben. Ursache ist eine unzureichende Bereinigung nicht vertrauenswürdiger Eingaben bei der Verarbeitung von SNMP-Benachrichtigungen. Die Ausnutzung von CVE-2026-73570 ermöglicht einem nicht authentifizierten Angreifer RCE als ZCS-Prozess über speziell präparierte SMTP-Anfragen, sofern das optionale zimbra-snmp-Paket installiert und SNMP-Benachrichtigungen aktiviert sind.

Der OPENVAS ENTERPRISE FEED enthält eine Remote-Banner-Prüfung, die alle aktuellen Sicherheitsprobleme in ZCS abdeckt. Nutzende sollten so schnell wie möglich auf Version 10.1.20 aktualisieren.

CVE-2026-34486: Apache Tomcat aktiv ausgenutzt

CVSS 7,5 · HochEPSS 98,6 % (100.)Aktiv ausgenutztIn CISA KEVÖffentlicher PoC

CVE-2026-34486 (CVSS 7,5, EPSS = 100. Perzentil), im April offengelegt, wurde Anfang August in CISAs KEV-Liste aufgenommen. Eine detaillierte technische Analyse [1] sowie öffentlich verfügbare Proof-of-Concept-Exploit-Kits [2][3] erhöhen das Risiko fortlaufender Angriffe zusätzlich.

Ursache ist eine fehlende Verschlüsselung sensibler Daten [CWE-311], die die Umgehung der EncryptInterceptor-Komponente des Tribes-Clustering-Subsystems ermöglicht. EncryptInterceptor dient der Ver- und Entschlüsselung der Cluster-Kommunikation zwischen Tomcat-Knoten mittels eines Pre-Shared Key. CVE-2026-34486 wurde durch einen fehlerhaften Patch für CVE-2026-29146 eingeführt und ermöglicht es, dass der Cluster-Datenverkehr die Verschlüsselung umgeht, wodurch die Kommunikation zwischen den Knoten im Klartext erfolgt.

Diese Schwachstelle betrifft Apache Tomcat in den Versionen 11.0.20, 10.1.53 und 9.0.116. Tomcat-Nutzende sollten auf Version 11.0.21, 10.1.54 oder 9.0.117 aktualisieren. Der OPENVAS ENTERPRISE FEED enthält zahlreiche Erkennungsprüfungen für CVE-2026-34486 über verschiedene Linux-Distributionen hinweg, allgemeine Erkennungstests für Tomcat-Server unter Windows und Linux sowie für weitere Produkte, die Tomcat mitliefern, darunter: diverse Oracle- und Dell-Produkte, Atlassian Jira, Apache OFBiz und IBM Storage Protect Plus.

CVE-2026-9198: IBM Langflow aktiv ausgenutzt

CVSS 9,8 · KritischEPSS 57,0 % (99.)Aktiv ausgenutztIn CISA KEVÖffentlicher PoC

CVE-2026-9198 (CVSS 9,8, EPSS ≥ 99. Perzentil) ermöglicht es nicht authentifizierten Angreifern, die API-Endpunkte /api/v1/auto_login und /api/v1/validate/code zu verketten, um RCE auf Standard-Langflow-Installationen zu erreichen. Ein Angreifer kann diese beiden Schwachstellen verketten, um ein SUPERUSER-Token zu erhalten und anschließend bösartigen Python-Code zur Ausführung einzureichen. Die Ausnutzung kann zu einer vollständigen Kompromittierung des Hosts führen.

Insgesamt wurden 20 CVEs behoben, sechs davon ohne Authentifizierung ausnutzbar. Bislang wurde jedoch nur CVE-2026-9198 in CISAs KEV-Liste aufgenommen. Ein öffentlicher PoC-Exploit ist verfügbar, was das Risiko fortlaufender Exploit-Kampagnen zusätzlich erhöht. Langflow erschien 2026 bereits fünfmal auf der CISA-KEV-Liste. Die Schwachstelle betrifft Langflow 1.0.0 bis 1.10.0. Der OPENVAS ENTERPRISE FEED von Greenbone enthält eine Remote-Banner-Versionsprüfung zur Erkennung betroffener Instanzen. Nutzende sollten umgehend auf Langflow Version 1.10.1 oder höher aktualisieren.

CVE-2026-66384: JFrog Artifactory aktiv ausgenutzt

CVSS 5,3 · MittelEPSS 0,6 % (45.)Aktiv ausgenutztIn CISA KEV

CVE-2026-66384 (CVSS 5,3) ermöglicht es einem authentifizierten Angreifer, Daten außerhalb des vorgesehenen Docker-Cache-Pfads in betroffenen JFrog-Artifactory-Versionen zu schreiben. Ursache ist eine unzureichende Beschränkung von Pfadnamen [CWE-22]. Die Schwachstelle wird aktiv ausgenutzt und wurde in CISAs KEV-Katalog aufgenommen.

Ein Forschungsagent von OpenAI nutzte die Schwachstelle im Rahmen einer internen Evaluierung erfolgreich aus und vergiftete den Cache von Artifactory mit vom Angreifer kontrolliertem Inhalt. Das vergiftete Image schuf einen potenziellen Weg zur beliebigen Codeausführung, falls es später abgerufen und ausgeführt worden wäre. Laut Untersuchung von OpenAI, die eine vollständige technische Beschreibung von CVE-2026-66384 enthält, gelangte das vergiftete Image nicht in Umlauf. Die öffentliche Threat-Intelligence-Plattform Vulnerability Lookup von CIRCL.lu weist darauf hin, dass möglicherweise ein PoC-Exploit auf einem öffentlichen Telegram-Kanal verfügbar ist.

Betroffen sind JFrog Artifactory Version 7.146.0 bis 7.146.34 sowie 7.161.0 bis 7.161.15. Der OPENVAS ENTERPRISE FEED enthält eine Remote-Banner-Prüfung, mit der Nutzende betroffene Instanzen identifizieren können.

CVE-2026-71362: Lokale Rechteausweitungsschwachstelle in Adobe Commerce/Magento

CVSS 9,1 · KritischEPSS 25,1 % (98.)Öffentlicher PoC

CVE-2026-71362 (CVSS 9,1, EPSS ≥ 98. Perzentil) ist eine Schwachstelle durch fehlerhafte Autorisierung [CWE-863], die eine Rechteausweitung und erweiterten Zugriff auf sensible Ressourcen in Adobe-Commerce/Magento-Instanzen ermöglicht. Ein authentifizierter Angreifer mit geringen Rechten und einem registrierten Kundenkonto kann allein über das Feld der Nutzer-ID jedes andere Kundenkonto übernehmen. Ein Proof-of-Concept-Exploit ist öffentlich verfügbar. Adobes APSB26-92-Advisory offenbarte insgesamt sieben neue CVEs, fünf davon mit kritischem Schweregrad. Betroffene Produkte und Versionen sind unten aufgeführt.

Betroffenes Produkt	Betroffene Versionen	Behobene Versionen
Adobe Commerce	2.4.9-2026-jul und früher 2.4.8-2026-jul und früher 2.4.7-2026-jul und früher 2.4.6-2026-jul und früher 2.4.5-2026-jul und früher 2.4.4-2026-jul und früher	2.4.9-2026-aug 2.4.8-2026-aug 2.4.7-2026-aug 2.4.6-2026-aug 2.4.5-2026-aug 2.4.4-2026-aug
Adobe Commerce B2B	1.5.3-2026-jul und früher 1.5.2-2026-jul und früher 1.4.2-2026-jul und früher 1.3.4-2026-jul und früher 1.3.3-2026-jul und früher	1.5.3-2026-aug 1.5.2-2026-aug 1.4.2-2026-aug 1.3.4-2026-aug 1.3.3-2026-aug
Magento Open Source	2.4.9-2026-jul und früher 2.4.8-2026-jul und früher 2.4.7-2026-jul und früher 2.4.6-2026-jul und früher	2.4.9-2026-aug 2.4.8-2026-aug 2.4.7-2026-aug 2.4.6-2026-aug

Der OPENVAS ENTERPRISE FEED erkennt alle CVEs aus Adobes APSB26-92-Advisory mit einer Remote-Banner-Prüfung. Weitere Informationen finden Sie in den Release Notes des Herstellers [1][2][3][4].

CVE-2026-17106 (auch bekannt als CopyEscape): PoC verfügbar für beliebiges Überschreiben von Host-Dateien vom Container aus in moby/go-archive

CVSS 7,1 · HochEPSS 0,3 % (25.)Keine bekannte AusnutzungÖffentlicher PoC

CVE-2026-17106 (CVSS 7,1, EPSS 25. Perzentil), als CopyEscape bezeichnet, ermöglicht es einem bösartigen Container, die Isolation zu durchbrechen und Root-Codeausführung auf einem Docker-Host zu erreichen. Ursache ist eine Kombination aus einer Path-Traversal-Schwachstelle [CWE-35] und einer fehlerhaften Symlink-Auflösung [CWE-59]. Die Ausnutzung ermöglicht es einem trojanisierten Container, beliebige Dateien auf dem Host zu überschreiben, einschließlich root-eigener Binärdateien wie /usr/bin/runc auf dem Docker-Host, mittels Tar-Extraktion während docker cp. Obwohl keine aktive Ausnutzung bestätigt wurde, sind mehrere detaillierte technische Berichte [1][2][3][4] sowie funktionsfähige öffentliche PoC-Exploits [1][2][3] verfügbar.

CVE-2026-17106 betrifft die Tar-Extraktionsroutinen von moby/go-archive in den folgenden Docker-Produkten:

Betroffenes Produkt	Betroffene Versionen	Behobene Version
moby/go-archive	< 0.3.0	0.3.0
Docker Engine	< 29.7.0	29.7.0
Docker CLI	< 29.7.0	29.7.0
Docker Desktop	< 4.86.0	4.86.0
Docker Compose	< 5.4.0	5.4.0
Docker Sandboxes	< 0.38.0	0.38.0

Der OPENVAS ENTERPRISE FEED enthält eine Registry-Erkennung für Docker Desktop unter Windows, eine Remote-Banner-Prüfung für Docker Engine sowie eine Linux-Paketerkennung für einzelne Distributionen, sobald entsprechende Sicherheitshinweise veröffentlicht werden.

CVE-2026-53413: Zoom verschafft jedem Meeting-Teilnehmenden Remote Code Execution

CVSS 8,3 · HochEPSS 5,6 % (92.)Keine bekannte Ausnutzung

CVE-2026-53413 (CVSS 8,3, EPSS ≥ 92. Perzentil) ermöglicht es einem an einem Zoom-Meeting teilnehmenden Angreifer, ohne jegliche Nutzerinteraktion RCE auf allen Meeting-Teilnehmenden über sämtliche native Clients hinweg zu erreichen. Die Ausnutzung ermöglicht Codeausführung mit den Berechtigungen der Zoom-Anwendung. Ein technischer Bericht für macOS demonstriert den Aufruf von execvp() aus dem kompromittierten zoom.us-Prozess heraus, wodurch dieser Prozess durch Safari ersetzt wird.

Obwohl keine aktive Ausnutzung gemeldet wurde, weist CVE-2026-53413 einen erhöhten EPSS-Score auf, was auf ein hohes Risiko künftiger Ausnutzung hindeutet. Im Falle einer Weaponisierung entsteht durch die Schwachstelle ein Social-Engineering-Risiko, das es Angreifern ermöglicht, sich als potenzielle Kundschaft oder im Rahmen anderer geschäftlicher Kommunikation auszugeben, um beliebigen Code auf dem Computer des Opfers auszuführen. Nutzende sollten ihren Zoom-Patch-Stand überprüfen und alle Zoom-Clients auf automatische Updates der Stufe „Fast“ konfigurieren. Der OPENVAS ENTERPRISE FEED enthält eine paketbasierte Erkennung für Windows, Linux und macOS [1][2][3].

CVE-2023-49105: Drei Jahre alte ownCloud-Schwachstelle aktiv ausgenutzt

CVSS 9,8 · KritischEPSS 43,2 % (99.)Aktiv ausgenutztIn CISA KEVÖffentlicher PoC

CVE-2023-49105 (CVSS 9,8, EPSS ≥ 99. Perzentil), die ownCloud betrifft, wurde Ende 2023 veröffentlicht und im August in CISAs KEV-Liste aufgenommen. Ein philippinischer Nuklear-Marine-Auftragnehmer ist bislang das einzige öffentlich identifizierte Opfer. Mehrere detaillierte technische Berichte [1][2] sowie PoC-Exploits [3][4] sind für CVE-2023-49105 bereits seit Ende 2023 verfügbar.

ownCloud ist eine Open-Source-Plattform zur Dateisynchronisation, -freigabe und Zusammenarbeit. Das Produkt ähnelt Dropbox oder Google Drive und ist beliebt für selbst gehostete Dateifreigabe, wenn Datensouveränität wichtig ist.

Die Schwachstelle wird dadurch verursacht, dass vorsignierte URLs auch dann akzeptiert werden, wenn für den Dateibesitzer kein Signaturschlüssel konfiguriert ist. Für die Ausnutzung benötigt der Angreifer einen bestehenden Benutzernamen, für den kein Signaturschlüssel konfiguriert ist. Eine erfolgreiche Ausnutzung ermöglicht es einem Angreifer, ohne weitere Authentifizierung auf beliebige Dateien zuzugreifen, sie zu ändern oder zu löschen.

CVE-2023-49105 betrifft ownCloud-Versionen ab 10.6.0 bis vor 10.13.1. Der OPENVAS ENTERPRISE FEED enthält seit der Offenlegung von CVE-2023-49105 im November 2023 eine Remote-Banner-Prüfung dafür.

Weitere bemerkenswerte neu aufgetretene Bedrohungen aus August 2026

Hier sind einige weitere bemerkenswerte, hochriskante IT-Sicherheitsbedrohungen, die im August 2026 aufgetreten sind.

TrueConf erneut aktiv ausgenutzt zur Verbreitung von PhantomCore-Malware

CVE-2026-72529 (CVSS 9,8, EPSS ≥ 73. Perzentil) und CVE-2026-72530 (CVSS 9,0, EPSS ≥ 77. Perzentil), die TrueConf Server betreffen, können verkettet werden, um beliebige Skripte auszuführen, aus der isolierten Ausführungsumgebung auszubrechen und RCE auf Host-Ebene zu erreichen. Für die Ausnutzung ist keine Authentifizierung erforderlich. CISA nahm beide Schwachstellen im August in ihren KEV-Katalog auf [3][4]. Auch CVE-2026-3502 wurde in CISAs KEV-Liste im April 2026 aufgenommen, was auf eine anhaltende Bedrohung für die Nutzenden der Konferenzplattform hindeutet.

Die beiden verketteten TrueConf-Server-CVEs aus August 2026, jeweils mit ihrer CVSS-Schweregradstufe und ihrem EPSS-Ausnutzungswahrscheinlichkeitswert

CVE-2026-72529

CVSS 9,8 · Kritisch EPSS 1,6 % (73.)

Kann mit CVE-2026-72530 verkettet werden, um beliebige Skripte auszuführen, aus der isolierten Ausführungsumgebung auszubrechen und RCE auf Host-Ebene in TrueConf Server zu erreichen.

CVE-2026-72530

CVSS 9,0 · Kritisch EPSS 1,8 % (77.)

Verkettbar mit CVE-2026-72529 für RCE auf Host-Ebene in TrueConf Server; von der Head-Mare-APT-Gruppe zur Verbreitung von PhantomCore-Malware ausgenutzt.

Bei den jüngsten Angriffen beobachtete Kaspersky, dass die Head-Mare-APT-Gruppe diese Kette gegen russische Organisationen ausnutzte, um eine Webshell zu platzieren, TrueConf-Server-Datenbanken zu kompromittieren und bösartige Versionen der TrueConf-Client-Installer zu installieren. Die trojanisierten Installer lieferten PhantomCore-Malware an Konferenzteilnehmende aus. Der Hersteller empfiehlt Nutzenden, auf Version 5.5.2 oder höher zu aktualisieren.

PaperCut NG/MF aktiv ausgenutzt für nicht authentifizierte RCE

CVE-2026-81578 (CVSS 9,8) und CVE-2026-82078 (CVSS 9,1), die PaperCut NG/MF betreffen, können für nicht authentifizierte RCE verkettet werden. Die Angriffskette umfasst zunächst die Änderung der Systemkonfiguration und anschließend den Missbrauch eines unsicheren dynamischen Klassenladens, um beliebigen Java-Bytecode auszuführen. PaperCut bestätigte die aktive Ausnutzung bei seinen Kundinnen und Kunden. Zu den Post-Exploitation-Aktivitäten gehörte die Installation der Remote-Access-Software SimpleHelp und AnyDesk.

Die beiden verketteten PaperCut-NG/MF-CVEs aus August 2026, jeweils mit ihrer CVSS-Schweregradstufe und ihrem EPSS-Ausnutzungswahrscheinlichkeitswert

CVE-2026-81578

CVSS 9,8 · Kritisch EPSS 0,8 % (53.)

Verkettbar mit CVE-2026-82078 für nicht authentifizierte RCE in PaperCut NG/MF über unsicheres dynamisches Klassenladen; aktiv ausgenutzt zur Verbreitung von SimpleHelp und AnyDesk.

CVE-2026-82078

CVSS 9,1 · Kritisch EPSS 0,9 % (58.)

Verkettbar mit CVE-2026-81578 für nicht authentifizierte RCE in PaperCut NG/MF.

CISA nahm beide Schwachstellen in ihren KEV-Katalog auf [1][2]. Ein öffentliches Metasploit-Modul ist ebenso verfügbar wie ein detaillierter technischer Bericht sowie öffentliche PoC-Exploits [3][4]. Der OPENVAS ENTERPRISE FEED enthält eine Remote-Banner-Prüfung, mit der Nutzende betroffene Instanzen identifizieren können. Zur Behebung der CVEs wurden mindestens drei aufeinanderfolgende Sicherheitspatches veröffentlicht; Nutzende sollten daher das offizielle Advisory des Herstellers auf aktuelle Informationen prüfen.

Kritische Schwachstellen in Veeam ONE und Service Provider Console

Kritische Schwachstellen wurden sowohl für Veeam ONE über KB4892 als auch für die Veeam Provider Console (VSPC) in KB4893 veröffentlicht. Die Schwachstellen in Veeam ONE betreffen alle Version-13-Builds bis einschließlich 13.0.2.6723 und wurden in Veeam ONE 13.1 (Build 13.1.0.7034) beziehungsweise Veeam ONE 13.0.2 Patch 1 (Build 13.0.2.7159) behoben. Alle Schwachstellen in VSPC betreffen alle Version-9-Builds bis einschließlich 9.2.1.33875 und wurden in Veeam Service Provider Console 9.3 (Build 9.3.0.35057) behoben. Die risikoreichsten CVEs sind:

• CVE-2026-64633 (CVSS 10) in Veeam ONE: ermöglicht Remote-Codeausführung ohne Authentifizierung auf dem Agent-Host
• CVE-2026-58073 (CVSS 9,5) in Veeam Service Provider Console: ermöglicht es einem nicht authentifizierten Angreifer, einen verwalteten Agenten zu imitieren und dessen Zugangsdaten zu erlangen

Die beiden risikoreichsten CVEs für Veeam ONE und Service Provider Console aus August 2026, jeweils mit ihrer CVSS-Schweregradstufe und ihrem EPSS-Ausnutzungswahrscheinlichkeitswert

CVE-2026-64633

CVSS 10 · Kritisch EPSS 0,5 % (38.)

Ermöglicht Remote-Codeausführung ohne Authentifizierung auf dem Agent-Host in Veeam ONE.

CVE-2026-58073

CVSS 9,5 · Kritisch EPSS 0,3 % (24.)

Ermöglicht es einem nicht authentifizierten Angreifer, einen verwalteten Agenten zu imitieren und dessen Zugangsdaten in Veeam Service Provider Console zu erlangen.

VSPC dient als zentralisierte Management- und Monitoring-Plattform für kundenseitige Datensicherungsumgebungen. Da sie eine privilegierte, zentrale Verwaltungsposition einnimmt und Remote-Zugriff über mehrere Kunden-Backup-Umgebungen hinweg bereitstellt, könnte eine Kompromittierung als Sprungbrett in verwaltete Infrastrukturen dienen und schwerwiegende Folgen haben. Veeam ONE stellt ein geringeres Risiko als VSPC dar, da es primär eine Monitoring-, Reporting- und Analyseplattform ist. Eine Kompromittierung könnte jedoch sensible Backup-Infrastrukturdaten und Zugangsdaten offenlegen und möglicherweise einen Ausgangspunkt für weiteres Eindringen bieten.

Der OPENVAS ENTERPRISE FEED enthält Remote-Banner-Prüfungen für KB4892 betreffend Veeam ONE [1][2] und für KB4893 betreffend VSPC [3].

CVE-2026-10053: Path Traversal in der Paketregistrierung ermöglicht authentifizierte RCE in GitLab CE/EE

CVSS 8,8 · HochEPSS 0,8 % (53.)Keine bekannte AusnutzungÖffentlicher PoC

CVE-2026-10053 (CVSS 8,8, EPSS ≥ 53. Perzentil) ermöglicht es einem authentifizierten Angreifer mit geringen Rechten, über eine Path-Traversal-Schwachstelle in der Paketregistrierung RCE in GitLab CE/EE zu erreichen. Ein öffentliches PoC-Lab ist verfügbar, aktive Ausnutzung wurde jedoch nicht gemeldet. Das Problem folgt auf Berichte, wonach CVE-2026-19478 Anfang August aktiv ausgenutzt wurde. Der OPENVAS ENTERPRISE FEED bietet eine Remote-Banner-Prüfung für CVE-2026-10053 sowie eine regelmäßige Erkennung für GitLab-Schwachstellen, einschließlich der aktiv ausgenutzten CVE-2026-19478. GitLab behob das Problem in den Versionen 19.0.6, 19.1.4 und 19.2.2.

Zusammenfassung

Der August 2026 brachte erneut eine schwere Welle hochriskanter Schwachstellen mit sich, darunter aktiv ausgenutzte Schwachstellen, öffentliche PoCs, CVSS-10-Probleme sowie Schwachstellen mit Bezug zu Ransomware und Spionage. Die Offenlegungen dieses Monats unterstreichen die Notwendigkeit, internetseitig erreichbare und privilegierte Unternehmenssysteme für eine rasche Behebung zu priorisieren.

 

Welche Anforderungen der Cyber Resilience Act zum 11. September 2026 stellt, haben wir bereits in einem eigenen Beitrag zum Umsetzungsstand der CRA-Meldepflicht erläutert. Dieser Beitrag beantwortet die andere Hälfte der Frage: wie die Umsetzung bei Greenbone selbst erfolgt ist.

Eine Einordnung vorweg, weil sie für die Übertragbarkeit entscheidend ist: Wir haben nicht alle Maßnahmen neu implementiert. Vieles davon war bei uns schon vorher etablierte Praxis und musste für den CRA lediglich dokumentiert, geschärft oder in einen verbindlichen Prozess überführt werden. Wer heute vor derselben Aufgabe steht, findet im eigenen Haus vermutlich mehr Substanz als erwartet.

Anforderung: ein Prozess für Schwachstellen und Vorfälle

Der CRA verlangt keinen Meldeknopf, sondern einen belastbaren Prozess dahinter. Neben dem Prozess zur Behandlung von Incidents haben wir deshalb einen Prozess zur Coordinated Vulnerability Disclosure implementiert. Darin ist das Vorgehen bei Bekanntwerden einer Schwachstelle im Detail geregelt, inklusive der Zuständigkeiten. Dazu gehört eine Checkliste, die man Schritt für Schritt durchgehen kann. Sicherheitsvorfälle bilden wir in einem eigenen Jira-Projekt ab, so dass jeder Fall einen Vorgang mit Historie hat.

Der Prozessgedanke ist an einer Stelle besonders wichtig: Die 24-Stunden-Uhr des Artikels 14 beginnt mit der Kenntniserlangung, und was das genau heißt, hat die Kommission in ihrer im Juli 2026 gebilligten Leitlinie zur Anwendung des CRA (C(2026) 5252) präzisiert. Maßstab ist ein „hinreichender Grad an Gewissheit“ unter Verweis auf Erwägungsgrund 31 der Durchführungsverordnung (EU) 2024/2690 und die EDSA-Leitlinien 9/2022 (Rn. 211–214). Ohne einen definierten Triage-Schritt lässt sich dieser Punkt im Ernstfall nicht datieren, und ohne Datum ist die Frist nicht nachweisbar eingehalten. Zu beachten ist, dass diese Leitlinie ausdrücklich nicht bindend ist (Rn. 8); sie ist Auslegungshilfe, nicht Rechtsgrundlage.

Zwei Fristen sollte man im Prozess getrennt führen, weil sie unterschiedlich laufen: Der Abschlussbericht für eine Schwachstelle ist 14 Tage nach Bereitstellung des Fixes fällig, der für einen schwerwiegenden Sicherheitsvorfall dagegen einen Monat nach der 72-Stunden-Meldung (Rn. 215). Wer beide Uhren in einem Feld abbildet, meldet in einem der beiden Fälle zu spät.

Entlastend, und in der aktuellen Debatte oft übersehen: Für Schwachstellen, die bereits vor dem 11. September 2026 bekannt waren, entsteht keine rückwirkende Meldepflicht (Rn. 217). Der Bestand muss also nicht nachgemeldet werden.

Anforderung: Schwachstellen in Fremdkomponenten weitergeben

Stammt eine Lücke in unseren Produkten aus einem Artefakt Dritter, benachrichtigen wir dessen Anbieter, damit sie dort behoben wird. Implementieren wir selbst einen Fix, machen wir diesen upstream verfügbar.

Das deckt sich mit Abschnitt 9.2.1 der Kommissionsleitlinie zu Artikel 13(6): Wer eine Fremdkomponente integriert, muss Schwachstellen an die pflegende Stelle melden, sofern diese nicht bereits Kenntnis hat, und sollte Korrekturen möglichst maschinenlesbar und lizenzkompatibel teilen. Ebenfalls klargestellt: Die Meldepflicht selbst greift für aktiv ausgenutzte Schwachstellen im eigenen Produkt, nicht für jede nicht ausgenutzte Lücke in einer Fremdkomponente (Rn. 218).

Anforderung: Betroffene erreichbar informieren

Für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle, die sich auf die Sicherheit unserer Produkte auswirken können, veröffentlichen wir Advisories im CSAF-Format unter dem bekannten Pfad, bis auf eventuelle Ausnahmen unter TLP:WHITE. Bei schwerwiegenden Sicherheitslücken, die aus unserem eigenen Code stammen, beantragen und veröffentlichen wir eine CVE.

Warum maschinenlesbar? Weil ein Advisory, das nur als Webseite existiert, bei den Empfängern Handarbeit auslöst. Wer wissen will, welche Rollen im CSAF-Ökosystem welche Pflichten haben, findet die Einordnung in unserem Beitrag zu den CSAF-2.0-Stakeholdern und -Rollen.

Wichtig für die Erwartungshaltung: Die Pflicht aus Artikel 14(8), Nutzende zu informieren, ist risikobasiert und verhältnismäßig ausgestaltet und keine pauschale Pflicht zur öffentlichen Offenlegung jedes Vorgangs (Rn. 219–221). Was zu veröffentlichen ist, richtet sich nach dem Fall, nicht nach einem Automatismus. Unsere Ausnahmeregelung von TLP:WHITE ist genau dafür vorgesehen.

Was nur ein Scanner-Hersteller tun kann

Bei schwerwiegenden Sicherheitslücken in unseren Produkten erstellen wir zusätzlich einen Schwachstellentest, so dass OPENVAS SCAN die Verwundbarkeit entdeckt und meldet. Dieser Baustein ist ausdrücklich nicht zum Nachmachen gedacht: Er setzt voraus, dass man selbst Hersteller eines Schwachstellenscanners ist. Für unsere Kundschaft heißt er, dass sie die Betroffenheit der eigenen Installation nicht aus einem Advisory ableiten muss, sondern messen kann.

Anforderung: reagieren, nicht nur melden

Je nach Schwere einer Lücke erstellen wir ein Notfallrelease und stellen es der Kundschaft zur Verfügung. Nach Bearbeitung einer Schwachstelle erfolgt eine Post-Mortem-Analyse.

Anforderung: erreichbar sein für Meldungen von außen

Damit Personen, die eine Schwachstelle entdecken, uns erreichen, gibt es auf der Greenbone-Website eine Seite zum Thema Meldung von Schwachstellen in Produkten, außerdem eine security.txt nach RFC 9116.

Ein Tipp aus der Praxis, der nichts kostet und viel spart: Prozesse testen, damit man nicht erst im Ernstfall merkt, wenn etwas nicht funktioniert wie gedacht.

Offen ist bei uns noch das Testen einer Meldung an ENISA. Wie im vorherigen Beitrag beschrieben, gibt es die Plattform noch nicht in finaler Form. Diesen Punkt können wir vorbereiten, aber nicht abschließen.

Anforderung: die eigene Lieferkette kennen

Ein weiterer Bestandteil unserer Vorbereitung auf den 11. September 2026 ist, dass wir im Buildprozess automatisiert SBOMs unserer Produkte erstellen. Hier kommt OPENVAS SECURITY INTELLIGENCE ins Spiel, womit wir die SBOMs auf Schwachstellen scannen. Durch den täglich aktualisierten Metafeed können Schwachstellen in verwendeten Komponenten frühzeitig behandelt werden, so dass es gar nicht erst zu einer Ausnutzung in freier Wildbahn kommt.

Des Weiteren bietet es sich an, die Advisories seiner Zulieferer regelmäßig zu überprüfen, um frühzeitig auf gefixte Versionen updaten zu können. Immer mehr Hersteller stellen ihre Advisories im CSAF-Format bereit; das ist auch die vom BSI präferierte Methode, festgehalten in der Technischen Richtlinie BSI TR-03191 und in der Empfehlung des BSI zum Einsatz von CSAF. Auch hier bietet es sich an, OPENVAS SECURITY INTELLIGENCE zu verwenden, womit CSAF-Advisories, auch solche mit Zugangsbeschränkung, regelmäßig heruntergeladen und analysiert werden können, zum Beispiel jede Nacht oder auch stündlich.

Checkliste: Wo stehen Sie bei der CRA-Meldepflicht?

Selbst-Check: Wo stehen Sie?

• Ein Coordinated-Vulnerability-Disclosure-Prozess mit klaren Zuständigkeiten ist etabliert
• Schwachstellen in Fremdkomponenten werden an die pflegende Stelle weitergegeben
• Betroffene werden über maschinenlesbare Advisories (z. B. CSAF) informiert
• Es gibt einen definierten Prozess für Notfallreleases und Post-Mortem-Analysen
• Externe können Schwachstellen leicht melden (Kontaktseite, security.txt)
• SBOMs werden automatisiert erstellt und auf Schwachstellen überwacht

Was davon für Sie übertragbar ist

Der Aufwand für den 11. September 2026 verteilt sich ungleich. Die Meldewege selbst, security.txt, Kontaktseite, CSAF-Pfad, sind vom Aufwand her überschaubar. Der Prozess dahinter mit Zuständigkeiten, Checkliste und dokumentierter Triage braucht länger und entscheidet darüber, ob eine 24-Stunden-Frist tatsächlich haltbar ist. Und die Lieferkette braucht Automatisierung, weil eine manuell gepflegte Komponentenliste in dem Moment veraltet ist, in dem sie fertig ist.

Für die beiden letzten Punkte laufen bei uns SBOM-Scan und Zulieferer-Advisories in OPENVAS SECURITY INTELLIGENCE zusammen: eine Analyse an einem Ort, statt Feeds, Tabellen und Advisory-Seiten getrennt zu verfolgen.

Wenn Sie Ihre eigene Umsetzung gegen diese Punkte halten wollen, führen von hier zwei Wege weiter. Unsere Übersicht zum Cyber Resilience Act fasst Anforderungen, Fristen und Betroffenheit zusammen, falls Sie sich das Thema zuerst selbst erschließen möchten. Und wenn bei Ihnen ein oder mehrere Punkte aus der Checkliste oben noch offen sind — sei es der CVD-Prozess, maschinenlesbare Advisories oder automatisierte SBOMs — sprechen Sie direkt mit uns darüber.

 

Zwei Wochen vor dem Inkrafttreten der Meldepflicht gemäß Artikel 14 befindet sich die dahinterstehende Infrastruktur noch im Aufbau. Die Leitlinien der Kommission sind zwar genehmigt, aber noch nicht offiziell in Kraft getreten. Die Meldeplattform befindet sich in der Testphase und ist noch nicht live. Kein einziger harmonisierter Standard ist im Amtsblatt veröffentlicht.

Jede dieser Lücken legt noch mehr Gewicht auf die eine Kontrollmöglichkeit, die vollständig in Ihrer Hand liegt, unabhängig davon, was Brüssel, die ENISA oder die Normungsgremien als Nächstes tun: zu wissen, was tatsächlich in Ihrer Umgebung läuft und ob es ausgenutzt wird. Genau darauf ist OPENVAS ausgelegt.

Die Leitlinien der Kommission sind erschienen

Am 27. Juli 2026 hat die Europäische Kommission ihre ersten offiziellen Leitlinien zur Anwendung des CRA genehmigt: Mitteilung C(2026) 5252 final, mit einem umfassenden Anhang, der den Anwendungsbereich, freie und Open-Source-Software, wesentliche Änderungen, Supportzeiträume und Berichtspflichten abdeckt. Artikel 26 der Verordnung verlangt genau dies: Leitlinien, die gezielt darauf abzielen, Kleinstunternehmen und KMU bei der Einhaltung der Vorschriften zu unterstützen, und der Anhang liefert dies mit 67 ausgearbeiteten Beispielen.

Die formelle Verabschiedung erfolgt, sobald alle Sprachfassungen in den EU-Sprachen vorliegen. Hier der Wortlaut der Kommission zu diesem Punkt: Die Leitlinien „werden zu einem späteren Zeitpunkt, wenn alle Sprachfassungen vorliegen, von der Kommission formell verabschiedet. Erst ab diesem Zeitpunkt treten sie in Kraft.“ Der Inhalt steht fest. Die Formalitäten werden noch abgewickelt.

Die Einstufung hängt von der tatsächlichen Kernfunktionalität Ihres Produkts ab, nicht von dessen Namen oder dem Werbetext. Die Ausnahmeregelungen für FOSS funktionieren so, wie es der Leitlinienentwurf bereits Anfang des Jahres signalisiert hatte. Wir haben die Open-Source-Bestimmungen in einem separaten Beitrag ausführlich behandelt, da die Frage, was als „Steward“ gilt und welche Verpflichtungen diese Rolle mit sich bringt, eine eigene Erörterung verdient.

Die vorliegenden Leitlinien beseitigen jegliche Ausrede dafür, die Einhaltung der CRA als rein theoretisch zu betrachten. Die Kommission hat schriftlich dargelegt, was die Vorschriften bedeuten, und zwar nach einem Zeitplan, der mit der stufenweisen Anwendbarkeit der Verordnung selbst übereinstimmt: Kapitel IV ab dem 11. Juni 2026, Berichterstattung gemäß Artikel 14 ab dem 11. September 2026, vollständige Anwendung ab dem 11. Dezember 2027.

Die Meldeplattform wird derzeit noch getestet

Die Meldepflichten gemäß Artikel 14 werden am 11. September 2026, also in zwei Wochen, rechtsverbindlich. Die einheitliche Meldeplattform der ENISA soll laut ENISA-Angaben bis zu diesem Datum betriebsbereit sein, nicht unbedingt schon vorher. Die Seite der Europäischen Kommission zu den Meldepflichten bestätigt, dass derzeit Funktions- und Sicherheitstests durchgeführt werden. ENISA wird die spezielle URL der Plattform veröffentlichen, sobald diese bereit ist – nicht vorher.

Anleitungen zur Registrierung als „beauftragter Vertreter“ werden seit dem 31. Juli schrittweise bereitgestellt, wobei die Aktualisierungen bis Ende August andauern. Die Validierung Ihres registrierten Vertreters durch das CSIRT erfolgt parallel zur Meldung und stellt keine Vorbedingung dar. Der grenzüberschreitende Informationsaustausch zwischen den CSIRTs erfolgt automatisch, sobald eine Meldung eingeht. Die ENISA selbst rät dazu, sich erst dann zu registrieren, wenn Sie eine konkrete Meldung einreichen müssen, und nicht vorher.

Eine Plattform, die bis zum Tag des Inkrafttretens betriebsbereit sein soll, sich aber zwei Wochen vor diesem Termin noch in der Testphase befindet, lässt wenig bis gar keinen Spielraum für Probleme bei der Einarbeitung. Lesen Sie jetzt die Registrierungsschritte. Machen Sie sich mit dem Meldeverfahren vertraut, bevor Sie es unter Zeitdruck innerhalb von 24 Stunden durchführen müssen.

Die Normen, auf die die Hersteller gesetzt haben, sind noch nicht veröffentlicht

Stand Ende August 2026 ist im Amtsblatt für keine Produktkategorie ein Verweis auf eine harmonisierte CRA-Norm zu finden. Der zugrunde liegende Auftrag ist klar: Normungsantrag M/606, 41 Normen für horizontale und vertikale Kategorien, angenommen von CEN, CENELEC und ETSI im Rahmen des Durchführungsbeschlusses C(2025) 618 final der Kommission vom 3. Februar 2025.

Die ursprünglichen Fristen gliederten sich in drei Teilbereiche. Typ A, die Rahmenprinzipien, die für sich genommen keine Konformitätsvermutung begründen, sowie der Teil von Typ B, der sich mit dem Umgang mit Schwachstellen befasst, waren bis zum 30. August 2026 fällig. Typ C, die vertikalen, produktspezifischen Normen für die Kategorien der Anhänge III und IV, war bis zum 30. Oktober 2026 fällig. Ein dritter Termin liegt noch weiter in der Zukunft: der 30. Oktober 2027 für die andere Hälfte von Typ B, die produktübergreifende Norm, die die 13 grundlegenden Anforderungen in Anhang I, Teil 1 konkretisieren soll – jene, auf die sich die meisten Hersteller außerhalb der Kategorien der Anhänge III und IV tatsächlich stützen würden, um die Konformitätsvermutung zu erlangen. Dieser Termin stammt aus der eigenen Planung der CRA-Expertengruppe, wie von einem Mitglied der CRA-Expertengruppe beschrieben. Er ist in keinem veröffentlichten Beschluss der Kommission erschienen.

Die Kommission veröffentlichte Anfang Juli 2026 einen Entwurf zur Änderung der Fristen für 2026, wodurch die Termine für Typ A, den Umgang mit Sicherheitslücken und Typ C um etwa zwei Monate nach hinten verschoben wurden: auf den 31. Oktober 2026 bzw. den 31. Dezember 2026. Ob sich auch der Termin für die andere Hälfte von Typ B im Jahr 2027 verschiebt, ist noch nicht bestätigt. Diese Änderung wurde noch nicht offiziell verabschiedet und ist noch nicht im Amtsblatt veröffentlicht (Entwurf des Durchführungsbeschlusses; CRA Evidence).

Aktueller Stand: 17 vertikale ETSI-Entwürfe befinden sich in der öffentlichen Anhörung, wobei die Kommentierungsfristen zwischen Mitte September und Mitte November enden. Die horizontalen Normen von CEN und CENELEC befinden sich noch in der Entwicklung.

Für Hersteller „wichtiger“ Produkte der Klasse I (VPNs, Passwortmanager, Browser und ähnliche Kategorien), die eine Selbstbewertung anhand einer veröffentlichten harmonisierten Norm planen, gibt es bislang noch keine Anhaltspunkte, und die Norm, auf die die meisten von ihnen tatsächlich zurückgreifen würden – nämlich die produktübergreifende Typ-B-Norm, die alle 13 grundlegenden Anforderungen des Anhangs I abdeckt –, soll erst 2027 vorliegen, unabhängig davon, wie sich die Verzögerung bis 2026 auflöst.

Kapitel IV hat den Mitgliedstaaten die Möglichkeit eröffnet, am 11. Juni 2026 Konformitätsbewertungsstellen offiziell zu benennen. Das Ziel der Kommission für eine ausreichende Kapazität der benannten Stellen ist Dezember 2026, und sie beschreibt dieses Ziel ausdrücklich als „Best-Efforts“-Zielsetzung, nicht als Garantie. Die Benennung begann vor drei Monaten. Richten Sie Ihren Zeitplan für die Bewertung danach aus.

Die Abkürzung über die Normen verzögert sich. Der Weg über benannte Stellen ist ein System, das sich noch im Aufbau befindet. Planen Sie beides ein.

Keine dieser Lücken muss Ihre eigenen Vorbereitungen zum Stillstand bringen. Die Arbeiten an der Dokumentation, der Risikobewertung und dem Schwachstellenmanagement, die bei jeder Selbstbewertung oder jedem Audit durch Dritte letztendlich überprüft werden, warten nicht darauf, dass einer der beiden Wege frei wird. OPENVAS legt diese Grundlagen bereits jetzt: ein täglich aktualisierter Feed, CVSS-basierte Priorisierung sowie ein exportierbarer, mit Zeitstempeln versehener Scan-Verlauf – genau die Nachweiskette, die eine benannte Stelle oder eine zukünftige harmonisierte Norm erwarten wird.

Was das für Sie bedeutet

Nichts von alledem ist ein Grund zum Abwarten. Ganz im Gegenteil. Die Teile der CRA, die von der Kommission, der ENISA oder den europäischen Normungsgremien abhängen, sind noch in Arbeit. Die Teile, die von Ihnen abhängen – zu wissen, was sich in Ihrem Produktportfolio befindet, aktive Ausnutzung zu erkennen und auf Anfrage eine datierte Nachweiskette vorlegen zu können –, liegen heute vollständig in Ihren Händen.

Die Leitlinien der Kommission definieren den Begriff „Kenntniserlangung“ – den Auslöser für Ihre 24-Stunden-Meldefrist – ganz genau: Ein Hersteller gilt als in Kenntnis gesetzt, sobald er nach der Bewertung eines verdächtigen Vorfalls zu einer angemessenen Gewissheit gelangt ist, dass eine Schwachstelle aktiv ausgenutzt wird. Dieser Standard orientiert sich ausdrücklich an der Schwelle für die Meldung von Datenschutzverletzungen gemäß der DSGVO. Diese Gewissheit erlangen Sie durch aktive Überwachung. Es besteht keine rückwirkende Meldepflicht für Schwachstellen, von denen Sie bereits vor dem 11. September wussten.

Wenden Sie sich damit an den Verantwortlichen für das Budget: kontinuierliches Schwachstellenmanagement ist der einzige Teil dieses Compliance-Gesamtbildes, der heute vollständig in Ihrer Kontrolle liegt. Es ist das, was aus „wir glauben, dass alles in Ordnung ist“ eine datierte Nachweiskette macht, die eine Aufsichtsbehörde oder eine benannte Stelle tatsächlich überprüfen kann. OPENVAS bietet genau das: planmäßige Scans anhand eines täglich aktualisierten Feeds, CVSS-basierte Priorisierung sowie exportierbare, mit Zeitstempeln versehene Berichte, die für sich allein stehen und unabhängig vom Einführungszeitplan einer staatlichen Plattform sind.

Darüber hinaus gibt es noch eine schnellere Ebene, die auf dieser Basis aufbaut. OPENVAS SECURITY INTELLIGENCE erfasst CSAF-Hinweise aus vertrauenswürdigen Quellen, von Anbietern und nationalen Sicherheitsbehörden, und zwar genau für die Produkte in Ihrer Infrastruktur, und gleicht diese mit Ihrem Software-Bestand ab, um zu kennzeichnen, welche Hinweise tatsächlich für Sie relevant sind. Wenn eine 24-Stunden-Meldungsfrist beginnt, ist das der Unterschied zwischen dem manuellen Durchsehen eines Dutzends Hersteller-Hinweisseiten und einer Analyse, die bereits an einem Ort vorliegt.

Zusammenfassung

Die Leitlinien der Kommission sind inhaltlich genehmigt und gelten offiziell, sobald die Übersetzung abgeschlossen ist. Die Meldeplattform, die die Hersteller nutzen sollen, befindet sich noch in der Testphase, zwei Wochen bevor sie verbindlich wird. Die harmonisierten Normen, die den Herstellern eine Abkürzung bei der Selbstbewertung bieten sollten, sind noch nicht im Amtsblatt veröffentlicht, und weder die Verzögerung noch die Situation hinsichtlich der Kapazitäten der benannten Stellen sind vollständig geklärt. Nichts davon ändert etwas daran, was am 11. September fällig ist oder was „Kenntniserlangung“ ab diesem Tag von Ihnen verlangt.

OPENVAS bietet Ihnen den Teil, auf den Sie nicht warten müssen: einen täglich aktualisierten Schwachstellen-Feed, eine CVSS-basierte Priorisierung sowie exportierbare, mit Zeitstempel versehene Scan-Berichte, die Ihre Erkennungslage dokumentieren – unabhängig davon, wie die regulatorische Infrastruktur am ersten Tag aussieht.

Lesen Sie den vollständigen Leitfaden: Der vollständige Leitfaden zum EU-Gesetz zur Cyber-Resilienz – alle Anforderungen, Fristen und Strafen auf einen Blick.

 

Als Wiz kürzlich seine Zusammenfassung der besten Schwachstellenmanagement-Tools für 2026 veröffentlichte, fiel uns etwas auf, das uns jedoch nicht überraschte: OPENVAS belegte einen Spitzenplatz und erhielt eine hervorragende Bewertung. Wiz beschreibt OPENVAS als das „Open-Source-Äquivalent“ zu kommerziellen Schwachstellenscannern. In der Rezension wird OPENVAS als „die umfassendste Abdeckung, die auf einer einzigen Plattform verfügbar ist“ bezeichnet. Wir nehmen das Kompliment gerne an! Es gibt jedoch noch einige Punkte, die wir gerne anfechten möchten, da sie die Greenbone-Geschichte nicht ganz vollständig wiedergeben.

Was Wiz bewertet hat

Wiz hat die kostenlose Community-Edition von OPENVAS SCAN von Greenbone bewertet, was für eine Bewertung von Open-Source-Software-Tools (OSS) angemessen ist. Die Community-Edition unterliegt jedoch den Einschränkungen einer kostenlosen Version. OPENVAS ist auch als End-to-End-Unternehmensprodukt erhältlich. Sehen wir uns die Unterschiede an:

	Community Edition	Enterprise-Produkte
Einrichtung	Installation über Container, Linux-Pakete oder Quellcode	Vorkonfigurierte und optimierte virtuelle und Hardware-Appliances
Erkennungs-Feed	Ausgewählte Sicherheitsprüfungen für Verbraucher und OSS	Erweiterte Liste von OSS wie zusätzliche Linux-Distributionen sowie Cisco, Microsoft, SAP, Fortinet, Citrix und viele weitere Unternehmenssoftwareprodukte
Compliance	IT-Grundschutz	IT-Grundschutz, CIS-Benchmarks, BSI-TR-Richtlinien sowie zusätzliche Richtlinien wie die Post-Quantum-Kryptografie-Richtlinie Scans
Aktualisierungsrhythmus	Regelmäßige Aktualisierungen	Tägliche Aktualisierungen
Service und Support	Freiwillige Mitglieder des Greenbone-Community-Forums	Garantierte Service- und Support-Reaktionszeiten mit einer Service Level Agreement (SLA) sowie Professional Services

Open Source und Unternehmen: Greenbone bietet das „Beste aus beiden Welten“

Einer der größten Vorteile von Greenbone besteht darin, dass Unternehmen sich nicht zwischen Open-Source-Transparenz und einer Bereitstellung auf Unternehmensniveau entscheiden müssen. Greenbone bietet beides: die Transparenz und Flexibilität von Open-Source-Software sowie speziell entwickelte Unternehmenslösungen, die für operative Sicherheitsumgebungen konzipiert sind. Die Offenheit ist entscheidend. Die Transparenz des Quellcodes ermöglicht Einblicke in die OPENVAS SCAN-Technologie. Diese Transparenz vereinfacht Sicherheitsaudits und unabhängige Sicherheitstests.

Das Greenbone-Ökosystem umfasst mehrere Community-Edition-Bereitstellungsoptionen. Benutzer können die Community-Container ausführen, nativ auf Kali Linux installieren oder Komponenten direkt aus dem Quellcode erstellen. Community-Bereitstellungen sind jedoch nur ein kleiner Teil des Greenbone-Produktangebots. Greenbone bietet optimierte Unternehmenslösungen für Organisationen, die kommerziell unterstützte Produkte zum Schwachstellenmanagement benötigen. Unsere Produktpalette umfasst unternehmensgerechte virtuelle Appliances sowie dedizierte Hardware-Appliances.

Sie müssen Nmap nicht separat ausführen

Wiz hebt Nmap zu Recht als robustes Erkundungstool hervor und weist darauf hin, dass Sicherheitsexperten bei Port-Scans auf dieses Tool vertrauen. Nutzer müssen die Nmap-Ergebnisse jedoch nicht in unseren Scanner einspeisen. Das Nmap-Scannen ist bereits in OPENVAS SCAN integriert. Unser Scan-Workflow führt vor der Schwachstellenanalyse eine umfassende Port-Erkennung durch.

OPENVAS SCAN enthält konfigurierbare Optionen für die Port-Erkennung, die Sicherheitsteams entsprechend den Anforderungen der Zielumgebung anpassen können. Es ist nicht notwendig, separate Vorgänge zur Diensterkennung und Schwachstellenerkennung miteinander zu verknüpfen.

Mehr Kontrolle bedeutet eine ausgefeiltere Konfiguration

Wiz behauptet nicht nur, dass OPENVAS über eine „benutzerfreundliche Konsole für intuitive Steuerung“ verfügt, sondern auch, dass OPENVAS eine steile Lernkurve erfordert. Diese Beobachtung mag einen wahren Kern haben. Auf der anderen Seite ist OPENVAS SCAN eine ausgefeilte Sicherheitsplattform mit flexiblen Funktionen. Das Schwachstellenmanagement selbst ist komplex. Wenn Sicherheitsteams mehr Optionen zur Steuerung der Scans erhalten, führt dies zwangsläufig zu mehr Flexibilität als bei einem Scanner, der auf einem vereinfachten Workflow basiert.

OPENVAS SCAN bietet detaillierte Scan-Einstellungen und flexible Optionen zur Konfiguration von Zielen, Scan-Verhalten, Zeitplänen, Anmeldedaten, Ergebnissen und betrieblichen Arbeitsabläufen. Für Unternehmen, die eine Automatisierung oder eine Integration mit praktisch jeder anderen IT-Plattform wünschen, ermöglichen die Greenbone Management Protocol (GMP) und Open Scanner Protocol (OSP)-APIs ermöglichen eine umfassende programmatische Steuerung von OPENVAS SCAN.

Ja, die Beherrschung einer flexiblen Sicherheitsplattform erfordert einen gewissen Lernaufwand. Der Vorteil ist jedoch, dass Sicherheitsverantwortliche die Vielseitigkeit in sehr unterschiedlichen operativen Kontexten nutzen können.

Priorisierung geht über das Auffinden von CVEs hinaus

Das Auffinden von Schwachstellen ist nur der erste Teil des Schwachstellenmanagements. Wiz stellt zu Recht fest, dass die Priorisierung mehr Kontext erfordert als nur den reinen Schweregrad. OPENVAS SCAN liefert bereits wichtige Daten zur Priorisierung, darunter CVSS-Schweregradangaben, EPSS-Werte zur Exploit-Wahrscheinlichkeit sowie den Status des CISA Known Exploited Vulnerabilities (KEV)-Status. Dies hilft Sicherheitsverantwortlichen dabei, den Fokus von der Frage „Welche Schwachstellen gibt es?“ auf die Frage „Welche Schwachstellen verdienen zuerst Aufmerksamkeit?“ zu verlagern. Und weitere Tools zur Risikopriorisierung sind in Vorbereitung!

Ohne bereits jetzt Details preiszugeben, wird Greenbone in Kürze neue Risikomanagement-Funktionen ankündigen, die Sicherheitsverantwortlichen noch bessere Werkzeuge an die Hand geben sollen, um Schwachstellenrisiken zu verstehen, zu organisieren und zu priorisieren.

Branchenführende Abdeckung und eine wachsende Liste von Scan-Tools

Wiz behauptet, dass OPENVAS eine „begrenzte Abdeckung“ habe und „nur grundlegende Endpunkte und Netzwerke scanne“. Der abonnementbasierte Erkennungs-Feed von Greenbone, der OPENVAS ENTERPRISE FEED, bietet jedoch branchenführende Schwachstellenerkennung. Der OPENVAS COMMUNITY FEED bietet unterdessen umfassende Sicherheitsabdeckung für Linux-Umgebungen und viele andere weit verbreitete Open-Source-Anwendungen und Software-Stacks.

OPENVAS SCAN führt nicht lediglich eine Überprüfung der Netzwerkoberfläche einiger weniger Endpunkte durch. Das authentifizierte Scannen dringt tief in den Benutzerbereich ein, um Schwachstellen zu erkennen, die von außen nicht identifiziert werden können. Auch Container müssen ebenso wie andere IT-Ressourcen auf Schwachstellen überprüft werden. OPENVAS SCAN kann Container-Image-Scans durchführen, um ein einzelnes Container-Image, mehrere Container-Images oder ein komplette Registry zu prüfen.

Seit ihrer Gründung im Jahr 2009 hat die Greenbone AG das Open Vulnerability Assessment System, besser bekannt als OpenVAS, kontinuierlich gepflegt und weiterentwickelt. Infolgedessen sind die beiden Namen eng miteinander verbunden: Erwähnt man Greenbone, so ist OpenVAS oft das Erste, was einem in den Sinn kommt. Früher bekannt als der Greenbone Vulnerability Manager (GVM), hat sich auch OPENVAS SCAN kontinuierlich weiterentwickelt. Zu den wichtigen Funktionserweiterungen zählen agentenbasierte und hybride Scans als Ergänzung zum traditionellen agentenlosen, authentifizierten Scan-Modell sowie das Scannen von Container-Images. Zudem steht eine neue Generation von Risikomanagement-Funktionen kurz davor, in den Vordergrund zu rücken. Die Produktpalette von Greenbone wird außerdem um OPENVAS SECURITY INTELLIGENCE, einem neuen Enterprise-Tool für zentralisierte Verwaltung, Risikoanalyse und Priorisierung von Korrekturmaßnahmen in verteilten OPENVAS SCAN-Umgebungen erweitert.

Ja, Windows und Linux, aber noch viel mehr!

Wiz behauptet zudem, dass OPENVAS „in erster Linie für Linux- und Windows-Betriebssysteme optimiert“ sei. Diese Beschreibung lässt jedoch außer Acht, wie flexibel die Bereitstellung von Greenbone tatsächlich ist. OPENVAS SCAN lässt sich in einer Vielzahl von Virtualisierungsumgebungen bereitstellen, darunter Oracle VirtualBox für macOS sowie Typ-1-Hypervisoren wie VMware ESXi, Proxmox Virtual Environment sowie Nutanix AHV.

Zu den von uns unterstützten Hypervisor-Optionen gehören:

• Microsoft Hyper-V, Version 8.0 oder höher
• VMware vSphere Hypervisor (ESXi), Version 7.0 oder höher
• VMware Workstation Pro, Version 17.0 oder höher
• Oracle VirtualBox, Version 7.0 oder höher
• Huawei FusionCompute, Version 8.0
• Proxmox Virtual Environment (VE), Version 8.0 oder höher
• Nutanix AHV, Version 6.8 oder höher

Setzen Sie bereits auf Proxmox VE oder Nutanix AHV? So deckt OPENVAS SCAN Ihren Hypervisor ab.

Ein abschließendes Dankeschön an Wiz!

Sogar Wiz liebt Greenbone! Wir bei Greenbone freuen uns sehr, zu den führenden Technologien im Bereich Schwachstellenmanagement für das Jahr 2026 gezählt zu werden. Die Bewertung von Wiz bestätigt, was viele unserer Kunden und Nutzer bereits wissen: OPENVAS ist die Spitzenlösung unter den branchenführenden Open-Source-Plattformen für das Schwachstellenmanagement. Gerne möchten wir zudem einige Aspekte dieses Gesamtbildes näher erläutern.

Um es klar zu sagen: Die Open-Source-Transparenz von Greenbone geht Hand in Hand mit erstklassiger Einsatzfähigkeit in Unternehmen. Schwachstellenmanagement geht weit über Standard-Scan-Konfigurationen und Scans auf Knopfdruck hinaus. Sicher, OPENVAS SCAN bietet all das. Doch leistungsstarke Konfigurationsoptionen sollten nicht mit unnötiger Komplexität verwechselt werden. Die vorhandenen Tools zur Risikopriorisierung von Greenbone unterstützen Sicherheitsverantwortliche mit zentralen Risikokennzahlen, nachdem Schwachstellen entdeckt wurden.

Freuen Sie sich auf mehrere neue Funktionen, die die Möglichkeiten der Sicherheitsverantwortlichen für ein priorisiertes, risikogesteuertes Schwachstellen- und Expositionsmanagement erweitern werden! Wenden Sie sich an das Vertriebsteam von Greenbone, um zu besprechen, wie Compliance-Scans auf Unternehmensniveau mit OPENVAS SCAN die regulatorischen und sicherheitsbezogenen Governance-Anforderungen Ihrer Organisation am besten unterstützen können.

 

Broadcom hat VMSA-2026-0006 am 29. Juli 2026 veröffentlicht, um fünf Sicherheitslücken zu beheben, die VMware ESX, VMware vCenter Server, VMware Workstation und VMware Fusion betreffen. Die Probleme mit dem höchsten Risiko sind CVE-2026-59309 (CVSS 9,8) sowie CVE-2026-59310 (CVSS 9,8), die VMware vCenter Server betreffen. Beide können von einem nicht authentifizierten Angreifer mit Netzwerkzugriff ausgenutzt werden, um eine Remote-Code-Ausführung (RCE) zu erreichen.

Technische Details zu CVE-2026-59310 und CVE-2026-59309 wurden unmittelbar nach ihrer Offenlegung veröffentlicht, es sind jedoch keine Proof-of-Concept-Exploits öffentlich verfügbar. Am 11. August berichtete Defused Cyber Untersuchungen zu CVE-2026-59309. Die QUIRSO GmbH berichtet, dass die Ausnutzung von CVE-2026-59309 und CVE-2026-59310 bereits im Gange ist [1][2][3]. Keine der beiden CVEs ist in der Liste der bekannten ausgenutzten Schwachstellen (KEV) der CISA aufgeführt. Zahlreiche nationale CERT-Stellen haben Warnungen herausgegeben [4][5][6][7][8][9][10][11][12][13][14][15][16][17][18].

In der Sicherheitsmitteilung VMSA-2026-0006 wurden außerdem drei weitere Schwachstellen offengelegt. CVE-2026-47876 (CVSS 9,3) ist eine Sicherheitslücke durch einen Schreibvorgang außerhalb des zulässigen Bereichs, die den ESX-VMXNET3-Netzwerkadapter betrifft. Durch Ausnutzung dieser Schwachstelle kann ein Gast-Administrator Code auf dem Host ausführen. Die beiden anderen Schwachstellen sind CVE-2026-41703 (CVSS 7,6), die VMware ESX, Workstation und Fusion betreffen, sowie CVE-2026-41709 (CVSS 2,7), die ESX betrifft.

Eine Risikobewertung der VMware vCenter- und ESX-Schwachstellen in VMSA-2026-0006

Technische Details zu CVE-2026-59310 und CVE-2026-59309, die VMware vCenter Server betreffen, wurden unmittelbar nach ihrer Offenlegung veröffentlicht, doch sind keine Proof-of-Concept-Exploits öffentlich verfügbar. Beide CVEs können von einem Angreifer ohne Authentifizierung aus der Ferne ausgenutzt werden. Öffentlichen Berichten zufolge wird bereits aktiv von beiden CVEs in der Praxis Gebrauch gemacht [1][2][3].

VMware vCenter Server birgt ein hohes Risiko, da es die zentralisierte Verwaltung von virtualisierten Hosts und virtuellen Maschinen über eine einzige Konsole ermöglicht. In der Praxis kann eine Kompromittierung von VMware vCenter Server Auswirkungen auf die Verwaltungsebene kritischer Hosts und Workloads virtueller Maschinen haben.

Die ESX-Probleme weisen ein anderes, aber dennoch bedeutendes Risikoprofil auf. CVE-2026-47876 erfordert lokale Administratorrechte innerhalb einer Gast-VM, die den VMXNET3-Adapter verwendet. Die Auswirkung ist jedoch schwerwiegend – die Ausführung von Code auf Host-Ebene. CVE-2026-41703 erfordert Berechtigungen zur Bereitstellung von VMs und kann zur Offenlegung von Informationen oder zu einem Denial-of-Service (DoS)-Zustand im Host-Prozess führen. CVE-2026-41709 weist zwar einen geringen Schweregrad auf, schwächt jedoch die Transparenz der Überwachung, da bestimmte Administratoraktionen die Protokollierung umgehen können.

CVE-2026-59309: Aktiv ausgenutzte Umgehung der vCenter-Authentifizierung

CVSS 9,8 · KritischWird aktiv ausgenutzt

Ein Angreifer mit Netzwerkzugriff auf den VMware vCenter Server kann die Authentifizierung umgehen und sich unbefugten Zugriff auf das System verschaffen. Die Ursache ist eine fehlerhafte Implementierung eines Authentifizierungsalgorithmus [CWE-303]. Die Schwachstelle betrifft den VMware Directory Service.

CVE-2026-59310: Aktiv ausgenutzte vCenter-Verzeichnisüberquerung mit RCE

CVSS 9,8 · KritischWird aktiv ausgenutzt

Eine Verzeichnisüberquerungsschwachstelle in der Syslog-Komponente des VMware vCenter Servers ermöglicht es einem nicht authentifizierten Angreifer aus der Ferne, beliebigen Code auszuführen. Die Ursache ist eine unzureichende Beschränkung eines Pfadnamens auf ein eingeschränktes Verzeichnis [CWE-22].

Weitere in VMSA-2026-0006 offengelegte CVEs

Der Sicherheitshinweis VMSA-2026-0006 enthüllte außerdem drei weitere Schwachstellen mit geringerem Schweregrad, die VMware ESX, Workstation und Fusion betreffen:

Die drei zusätzlichen CVEs, die in VMSA-2026-0006 offengelegt wurden, jeweils mit ihrem CVSS-Schweregrad und dem EPSS-Wert für die Ausnutzungswahrscheinlichkeit

CVE-2026-47876

CVSS 9,3 · Kritisch EPSS 0,281 % (20.)

Eine kritische Sicherheitslücke durch Speicherschreiben außerhalb des zulässigen Bereichs [CWE-787] im virtuellen Netzwerkadapter VMXNET3 von VMware ESX. Durch Ausnutzung dieser Schwachstelle kann ein Angreifer mit lokalen Administratorrechten auf einer VM Code auf dem ESX-Host ausführen. Die Schwachstelle betrifft nur Gast-VMs, die den Standard-VMXNET3-Adapter verwenden. Andere Netzwerkadapter sind laut Berichten nicht von CVE-2026-47876 betroffen.

CVE-2026-41703

CVSS 7,6 · Hoch EPSS 0,556 % (44.)

Eine Sicherheitslücke durch Lesezugriff außerhalb des zulässigen Bereichs [CWE-125], die eine Offenlegung von Informationen oder einen DoS-Angriff auf den Host-Prozess ermöglicht. Die Ausnutzung erfordert Berechtigungen zur Bereitstellung von VMs. CVE-2026-41703 betrifft VMware ESX sowie VMware Workstation und Fusion. Broadcom berichtet, dass sich die Auswirkungen auf VMware Workstation und VMware Fusion auf die Offenlegung von Informationen beschränken.

CVE-2026-41709

CVSS 2,7 · Niedrig EPSS 0,382 % (31.)

Eine Schwachstelle mit geringem Schweregrad in VMware ESX führt dazu, dass bestimmte Vorgänge nicht protokolliert werden [CWE-778].

Abhilfemaßnahmen für die in VMSA-2026-0006 offengelegten CVEs

Unternehmen sollten ihre installierten Versionen den betroffenen und behobenen Versionen in Broadcoms VMSA-2026-0006-Empfehlung gegenüberstellen und die vom Hersteller bereitgestellten Updates installieren. Für keine der CVEs sind Workarounds verfügbar.

CVE-2026-59309 und CVE-2026-59310 sind am dringendsten, da beide von einem nicht authentifizierten Angreifer mit Netzwerkzugriff auf eine betroffene VMware vCenter-Instanz ausgenutzt werden können. CVE-2026-47876 sollte priorisiert werden, wenn VMware ESX-Gast-VMs den VMXNET3-Adapter verwenden, da eine Ausnutzung den Ausbruch aus der virtuellen Maschine und die Ausführung von Code auf dem ESX-Host ermöglicht. CVE-2026-41703 sollte für VMware-ESX-Instanzen, die kritische Vorgänge verwalten, eine höhere Priorität erhalten, da die Schwachstelle ausgenutzt werden kann, um DoS-Zustände auszulösen. Die VMware-ESX-Schwachstelle CVE-2026-41709 sollte gepatcht werden, wenn die Vollständigkeit der Protokollierung wichtig ist.

Zusammenfassung

Der VMSA-2026-0006-Hinweis von Broadcom bündelt fünf VMware-Sicherheitslücken, die VMware vCenter Server, VMware ESX, VMware Workstation und VMware Fusion betreffen. Das höchste Risiko geht von den Schwachstellen CVE-2026-59310 und CVE-2026-59309 aus. Beide sind als kritisch eingestufte und aktiv ausgenutzte Schwachstellen, die VMware vCenter Server betreffen [1][2][3].

Der OPENVAS ENTERPRISE FEED von Greenbone behandelt die Schwachstellen CVE-2026-59309 und CVE-2026-59310 mit einer Remote-Banner-Versionsprüfung für VMware vCenter Server. Außerdem enthält es eine Erkennung auf Paketebene für VMware ESXi hinsichtlich CVE-2026-41703 [1], CVE-2026-47876 [2] sowie CVE-2026-41709 [3]. Für Sicherheitsverantwortliche, die Angriffe erkennen und Abwehrmaßnahmen ergreifen möchten, bietet eine Testversion von OPENVAS SCAN eine kostenlose zweiwöchige Testversion des OPENVAS ENTERPRISE FEED. Die Cybersicherheitsprodukte von Greenbone sind ein bewährter Weg, um einen umfassenden Einblick zu gewinnen, wo in der Infrastruktur Ihres Unternehmens Software-Schwachstellen bestehen.