Broadcom hat VMSA-2026-0006 am 29. Juli 2026 veröffentlicht, um fünf Sicherheitslücken zu beheben, die VMware ESX, VMware vCenter Server, VMware Workstation und VMware Fusion betreffen. Die Probleme mit dem höchsten Risiko sind CVE-2026-59309 (CVSS 9,8) sowie CVE-2026-59310 (CVSS 9,8), die VMware vCenter Server betreffen. Beide können von einem nicht authentifizierten Angreifer mit Netzwerkzugriff ausgenutzt werden, um eine Remote-Code-Ausführung (RCE) zu erreichen.

Technische Details zu CVE-2026-59310 und CVE-2026-59309 wurden unmittelbar nach ihrer Offenlegung veröffentlicht, es sind jedoch keine Proof-of-Concept-Exploits öffentlich verfügbar. Am 11. August berichtete Defused Cyber Untersuchungen zu CVE-2026-59309. Die QUIRSO GmbH berichtet, dass die Ausnutzung von CVE-2026-59309 und CVE-2026-59310 bereits im Gange ist [1][2][3]. Keine der beiden CVEs ist in der Liste der bekannten ausgenutzten Schwachstellen (KEV) der CISA aufgeführt. Zahlreiche nationale CERT-Stellen haben Warnungen herausgegeben [4][5][6][7][8][9][10][11][12][13][14][15][16][17][18].

In der Sicherheitsmitteilung VMSA-2026-0006 wurden außerdem drei weitere Schwachstellen offengelegt. CVE-2026-47876 (CVSS 9,3) ist eine Sicherheitslücke durch einen Schreibvorgang außerhalb des zulässigen Bereichs, die den ESX-VMXNET3-Netzwerkadapter betrifft. Durch Ausnutzung dieser Schwachstelle kann ein Gast-Administrator Code auf dem Host ausführen. Die beiden anderen Schwachstellen sind CVE-2026-41703 (CVSS 7,6), die VMware ESX, Workstation und Fusion betreffen, sowie CVE-2026-41709 (CVSS 2,7), die ESX betrifft.

Eine Risikobewertung der VMware vCenter- und ESX-Schwachstellen in VMSA-2026-0006

Technische Details zu CVE-2026-59310 und CVE-2026-59309, die VMware vCenter Server betreffen, wurden unmittelbar nach ihrer Offenlegung veröffentlicht, doch sind keine Proof-of-Concept-Exploits öffentlich verfügbar. Beide CVEs können von einem Angreifer ohne Authentifizierung aus der Ferne ausgenutzt werden. Öffentlichen Berichten zufolge wird bereits aktiv von beiden CVEs in der Praxis Gebrauch gemacht [1][2][3].

VMware vCenter Server birgt ein hohes Risiko, da es die zentralisierte Verwaltung von virtualisierten Hosts und virtuellen Maschinen über eine einzige Konsole ermöglicht. In der Praxis kann eine Kompromittierung von VMware vCenter Server Auswirkungen auf die Verwaltungsebene kritischer Hosts und Workloads virtueller Maschinen haben.

Die ESX-Probleme weisen ein anderes, aber dennoch bedeutendes Risikoprofil auf. CVE-2026-47876 erfordert lokale Administratorrechte innerhalb einer Gast-VM, die den VMXNET3-Adapter verwendet. Die Auswirkung ist jedoch schwerwiegend – die Ausführung von Code auf Host-Ebene. CVE-2026-41703 erfordert Berechtigungen zur Bereitstellung von VMs und kann zur Offenlegung von Informationen oder zu einem Denial-of-Service (DoS)-Zustand im Host-Prozess führen. CVE-2026-41709 weist zwar einen geringen Schweregrad auf, schwächt jedoch die Transparenz der Überwachung, da bestimmte Administratoraktionen die Protokollierung umgehen können.

CVE-2026-59309: Aktiv ausgenutzte Umgehung der vCenter-Authentifizierung

CVSS 9,8 · KritischWird aktiv ausgenutzt

Ein Angreifer mit Netzwerkzugriff auf den VMware vCenter Server kann die Authentifizierung umgehen und sich unbefugten Zugriff auf das System verschaffen. Die Ursache ist eine fehlerhafte Implementierung eines Authentifizierungsalgorithmus [CWE-303]. Die Schwachstelle betrifft den VMware Directory Service.

CVE-2026-59310: Aktiv ausgenutzte vCenter-Verzeichnisüberquerung mit RCE

CVSS 9,8 · KritischWird aktiv ausgenutzt

Eine Verzeichnisüberquerungsschwachstelle in der Syslog-Komponente des VMware vCenter Servers ermöglicht es einem nicht authentifizierten Angreifer aus der Ferne, beliebigen Code auszuführen. Die Ursache ist eine unzureichende Beschränkung eines Pfadnamens auf ein eingeschränktes Verzeichnis [CWE-22].

Weitere in VMSA-2026-0006 offengelegte CVEs

Der Sicherheitshinweis VMSA-2026-0006 enthüllte außerdem drei weitere Schwachstellen mit geringerem Schweregrad, die VMware ESX, Workstation und Fusion betreffen:

Die drei zusätzlichen CVEs, die in VMSA-2026-0006 offengelegt wurden, jeweils mit ihrem CVSS-Schweregrad und dem EPSS-Wert für die Ausnutzungswahrscheinlichkeit

CVE-2026-47876

CVSS 9,3 · Kritisch EPSS 0,281 % (20.)

Eine kritische Sicherheitslücke durch Speicherschreiben außerhalb des zulässigen Bereichs [CWE-787] im virtuellen Netzwerkadapter VMXNET3 von VMware ESX. Durch Ausnutzung dieser Schwachstelle kann ein Angreifer mit lokalen Administratorrechten auf einer VM Code auf dem ESX-Host ausführen. Die Schwachstelle betrifft nur Gast-VMs, die den Standard-VMXNET3-Adapter verwenden. Andere Netzwerkadapter sind laut Berichten nicht von CVE-2026-47876 betroffen.

CVE-2026-41703

CVSS 7,6 · Hoch EPSS 0,556 % (44.)

Eine Sicherheitslücke durch Lesezugriff außerhalb des zulässigen Bereichs [CWE-125], die eine Offenlegung von Informationen oder einen DoS-Angriff auf den Host-Prozess ermöglicht. Die Ausnutzung erfordert Berechtigungen zur Bereitstellung von VMs. CVE-2026-41703 betrifft VMware ESX sowie VMware Workstation und Fusion. Broadcom berichtet, dass sich die Auswirkungen auf VMware Workstation und VMware Fusion auf die Offenlegung von Informationen beschränken.

CVE-2026-41709

CVSS 2,7 · Niedrig EPSS 0,382 % (31.)

Eine Schwachstelle mit geringem Schweregrad in VMware ESX führt dazu, dass bestimmte Vorgänge nicht protokolliert werden [CWE-778].

Abhilfemaßnahmen für die in VMSA-2026-0006 offengelegten CVEs

Unternehmen sollten ihre installierten Versionen den betroffenen und behobenen Versionen in Broadcoms VMSA-2026-0006-Empfehlung gegenüberstellen und die vom Hersteller bereitgestellten Updates installieren. Für keine der CVEs sind Workarounds verfügbar.

CVE-2026-59309 und CVE-2026-59310 sind am dringendsten, da beide von einem nicht authentifizierten Angreifer mit Netzwerkzugriff auf eine betroffene VMware vCenter-Instanz ausgenutzt werden können. CVE-2026-47876 sollte priorisiert werden, wenn VMware ESX-Gast-VMs den VMXNET3-Adapter verwenden, da eine Ausnutzung den Ausbruch aus der virtuellen Maschine und die Ausführung von Code auf dem ESX-Host ermöglicht. CVE-2026-41703 sollte für VMware-ESX-Instanzen, die kritische Vorgänge verwalten, eine höhere Priorität erhalten, da die Schwachstelle ausgenutzt werden kann, um DoS-Zustände auszulösen. Die VMware-ESX-Schwachstelle CVE-2026-41709 sollte gepatcht werden, wenn die Vollständigkeit der Protokollierung wichtig ist.

Zusammenfassung

Der VMSA-2026-0006-Hinweis von Broadcom bündelt fünf VMware-Sicherheitslücken, die VMware vCenter Server, VMware ESX, VMware Workstation und VMware Fusion betreffen. Das höchste Risiko geht von den Schwachstellen CVE-2026-59310 und CVE-2026-59309 aus. Beide sind als kritisch eingestufte und aktiv ausgenutzte Schwachstellen, die VMware vCenter Server betreffen [1][2][3].

Der OPENVAS ENTERPRISE FEED von Greenbone behandelt die Schwachstellen CVE-2026-59309 und CVE-2026-59310 mit einer Remote-Banner-Versionsprüfung für VMware vCenter Server. Außerdem enthält es eine Erkennung auf Paketebene für VMware ESXi hinsichtlich CVE-2026-41703 [1], CVE-2026-47876 [2] sowie CVE-2026-41709 [3]. Für Sicherheitsverantwortliche, die Angriffe erkennen und Abwehrmaßnahmen ergreifen möchten, bietet eine Testversion von OPENVAS SCAN eine kostenlose zweiwöchige Testversion des OPENVAS ENTERPRISE FEED. Die Cybersicherheitsprodukte von Greenbone sind ein bewährter Weg, um einen umfassenden Einblick zu gewinnen, wo in der Infrastruktur Ihres Unternehmens Software-Schwachstellen bestehen.

 

Im Juli 2026 tauchten zahlreiche neue Risiken für IT-Sicherheitsverantwortliche in Unternehmen auf. Anfang Juli haben wir in unserem Blog über neue Probleme berichtet, wie beispielsweise die aktive Ausnutzung von Schwachstellen im WordPress-Core [2], Adobe ColdFusion [3] sowie Check Point SmartConsole [4]; neue Schwachstellen mit kritischem Schweregrad in Cisco-Produkten [5], BeyondTrust RS und PRA [6] sowie Citrix NetScaler ADC und Gateway [7]; sowie eine Flut von Linux-CVEs, darunter auch solche, die bereits aktiv ausgenutzt werden [8][9]. In diesem Blogbeitrag werden wir kurz auf die sogenannte „Vulnpocalypse“ eingehen und die Software-Sicherheitslücken mit dem höchsten Risiko behandeln, die in unserem Blog noch nicht vorgekommen sind.

Sicherheitsverantwortliche, die Schwachstellen erkennen und Schutzmaßnahmen ergreifen möchten, erhalten mit OPENVAS SCAN eine kostenlose zweiwöchige Testversion des OPENVAS ENTERPRISE FEED. Die Cybersicherheitsprodukte von Greenbone sind ein bewährter Weg, um einen umfassenden Einblick zu gewinnen, wo in der Infrastruktur Ihres Unternehmens Software-Schwachstellen bestehen.

Wer mitten im Hype-Zyklus rund um KI-Cybersicherheit steckt, findet den Posteingang voller Berichte über KI-Sicherheitslücken. Selbst Sicherheitsverantwortliche, die sich lediglich auf das Patchen und den Schutz ihrer IT-Infrastruktur konzentrieren, wurden von ungewöhnlich zahlreichen Schwachstellenmeldungen überschwemmt, die weit verbreitete Software betreffen [1][2][3][4]. Warten wir darauf, dass sich der Staub legt, oder wird der Sturm noch an Fahrt gewinnen?

Es ist ratsam zu fragen: Hinterlässt die sogenannte „Vulnpocalypse“ eine bleibende Lücke in der Anzahl der Softwarefehler, die Sicherheitsverantwortliche in Zukunft fürchten müssen? Oder kratzt die IT-Branche lediglich an der Oberfläche der angehäuften technischen Schulden? Wie schon im April gilt: Nur die Zeit wird das wahre Ausmaß der Gefährdung offenbaren. Schließlich sollte, wie die CISA in ihren neuen Sicherheitsrichtlinien für Open-Source-Software betont, Vertrauen ein entscheidender Faktor bei der Auswahl und dem Einsatz von Unternehmenssoftware sein.

CVE-2026-6875: ServiceNow AI Platform wird aktiv ausgenutzt

CVSS 7,6 · HochAktiv ausgenutztÖffentlicher PoC

CVE-2026-6875 (CVSS 7,6, EPSS ≥ 98. Perzentil) ermöglicht es einem nicht authentifizierten Angreifer, eine Remote-Code-Ausführung (RCE) zu erreichen, indem er aus der serverseitigen Skript-Sandbox der ServiceNow AI Platform ausbricht, sofern der Endpunkt assessment_thanks.do erreichbar ist. Der nicht authentifizierte Endpunkt assessment_thanks.do übergibt den vom Angreifer kontrollierten Parameter sysparm_assessable_type an die Funktion GlideRecord.addQuery(). Werte, denen javascript: vorangestellt ist, werden in der Rhino-Skript-Sandbox von ServiceNow ausgewertet. Angreifer können die Funktion gs.include() und gemeinsam genutzte globale JavaScript-Objekte nutzen, um die Grenzen der Sandbox zu umgehen.

Durch die Ausnutzung dieser Schwachstelle können eine ServiceNow-Instanz und verbundene Proxy-Server vollständig kompromittiert werden. Entsprechende Vorfälle wurden bereits gemeldet. Obwohl CVE-2026-6875 nicht auf der KEV-Liste der CISA steht, wurden zwei frühere ServiceNow-CVEs im Jahr 2024 aufgenommen. Ein öffentlicher Proof-of-Concept-Exploit sowie eine detaillierte technische Analyse sind verfügbar, was das Risiko von Cyberangriffen erhöht. Mehrere nationale CERT-Stellen haben Warnungen zu CVE-2026-6875 herausgegeben [1][2][3][4][5].

Vom Hersteller werden keine vorläufigen Abhilfemaßnahmen beschrieben. Ein Bericht der Cloud Security Alliance (CSA) verweist jedoch auf Standardmaßnahmen zur Risikominderung: Einschränkung des Netzwerkzugriffs über Firewall-Regeln oder Einsatz einer Web Application Firewall (WAF), um Ausnutzungsversuche zu blockieren. Nutzer von selbst gehostetem ServiceNow müssen ein Upgrade auf „Australia Patch 2“, „Yokohama Patch 12 Hot Fix 1b“ oder „Patch 13“, „Zurich Patch 7b“ oder „Patch 9“ sowie „Brazil EA“ oder „GA“ durchführen. Die gepatchten Versionen beseitigen die Sicherheitslücke und führen eine Funktion zur Sandbox-Absicherung namens Guarded Script ein. ServiceNow empfiehlt außerdem, die Protokolle auf verdächtige, nicht authentifizierte Skriptausführung oder Zugriffe auf den Endpunkt assessment_thanks.do zu überprüfen.

Der OPENVAS ENTERPRISE FEED von Greenbone enthält einen Remote-Banner-Prüfung zur Identifizierung von ServiceNow-Instanzen, die von CVE-2026-6875 betroffen sind.

Aufkommende Risiken für Microsoft-Produkte: Verstärkte Ausnutzung

Microsoft-Produkte sahen sich im Juli erneut einem erhöhten Ausnutzungsdruck ausgesetzt, vor allem durch aktiv ausgenutzte SharePoint-Schwachstellen. Ein öffentlicher PoC für eine Exchange-Server-Sicherheitslücke erhöht die Dringlichkeit für Sicherheitsverantwortliche zusätzlich.

CISA warnt vor Exploit-Kampagnen gegen Microsoft SharePoint

CVSS 9,8 · KritischAktiv ausgenutztIn CISA KEV

Ein außerplanmäßiger Microsoft-Sicherheitshinweis im Juli 2026 dokumentierte 37 eigenständige CVEs, die SharePoint betreffen, mit Auswirkungen wie RCE, Rechteausweitung, Spoofing und Offenlegung von Informationen. Im Juli warnte die CISA ebenfalls, dass Angreifer mehrere CVEs in Microsoft SharePoint Server Subscription Edition, 2019 und 2016 ausnutzen, um sich unbefugten Zugriff zu verschaffen und RCE zu erreichen. Zu den Aktivitäten nach der Ausnutzung gehören der Diebstahl von IIS-Maschinenschlüsseln, der Missbrauch der Deserialisierung des ASP.NET-View-Status sowie das Einschleusen von Malware.

Die im Juli 2026 veröffentlichten SharePoint-CVEs mit dem höchsten Risiko sind:

• CVE-2026-58644 (CVSS 9,8, EPSS ≥ 91. Perzentil): Ein entfernter Angreifer, der als Site Owner oder mit einer höheren Berechtigungsstufe authentifiziert ist, kann beliebigen Code auf einem Microsoft SharePoint-Server ausführen. Die Schwachstelle wird durch die Deserialisierung nicht vertrauenswürdiger Daten verursacht [CWE-502]. CVE-2026-58644 gilt als aktiv in der Praxis ausgenutzt und wurde zwei Tage nach der Offenlegung in den KEV-Katalog der CISA aufgenommen. Weder ein öffentlicher PoC-Exploit noch eine vollständige technische Analyse sind bislang für CVE-2026-58644 verfügbar.
• CVE-2026-50522 (CVSS 9,8, EPSS ≥ 99. Perzentil): Ermöglicht es einem unbefugten Angreifer, Code über ein Netzwerk auszuführen. Die Ursache ist die Deserialisierung nicht vertrauenswürdiger Daten [CWE-502]. CVE-2026-50522 wurde in die KEV-Liste der CISA aufgenommen.
• CVE-2026-56164 (CVSS 9,8, EPSS 97. Perzentil): Ermöglicht es einem unbefugten Angreifer, über ein Netzwerk Berechtigungen zu erweitern. Die Hauptursache ist eine fehlende Authentifizierung für eine kritische Funktion [CWE-306]. Weder CISA noch Microsoft haben von aktiven Angriffen berichtet. Detaillierte technische Beschreibungen oder PoC-Exploits sind nicht öffentlich verfügbar.
• CVE-2026-55040 (CVSS 9,1, EPSS ≥ 69. Perzentil): Eine schwache Authentifizierung [CWE-1390] ermöglicht es einem unbefugten Angreifer, eine Sicherheitsfunktion über ein Netzwerk zu umgehen. Weder die CISA noch Microsoft haben von aktiven Angriffen berichtet. Detaillierte technische Beschreibungen oder PoC-Exploits sind nicht öffentlich verfügbar.

Die Warnung der CISA zu neuen Angriffen auf SharePoint enthält zusätzliche Empfehlungen für Sicherheitsverantwortliche. Dazu gehören die Verkürzung der Patch-Zyklen sowie die Aktivierung von Antimalware Scan Interface (AMSI) für jede SharePoint-Website, die Beschränkung der Kommunikation von SharePoint Central Administration, der Farm und der Datenbank auf die unbedingt erforderlichen Systeme sowie die Vermeidung der Exposition von SharePoint-Servern gegenüber dem öffentlichen Internet und vieles mehr. Unternehmen sollten Patches umgehend installieren, da exponierte SharePoint-Server weiterhin attraktive Unternehmensziele bleiben. Der OPENVAS ENTERPRISE FEED von Greenbone umfasst die regelmäßige Erkennung von Sicherheitslücken in zahlreichen Microsoft-Produkten, einschließlich aller oben genannten CVEs.

CVE-2026-45504: Öffentlicher PoC-Exploit für Microsoft Exchange Server 2019

CVSS 8,8 · HochÖffentlicher PoCKeine bekannte Ausnutzung

CVE-2026-45504 (CVSS 8,8) ermöglicht es authentifizierten Benutzern mit geringen Berechtigungen, beliebige Dateien von einem lokal installierten Microsoft Exchange Server 2019 auszulesen. Die CVE wird als Server-Side Request Forgery (SSRF)-Schwachstelle klassifiziert [CWE-918]. Die Ursache ist eine fehlende Validierung des URL-Schemas bei der OneDrive- und WOPI-Integration. Mithilfe eines bösartigen Exchange Web Services (EWS)-Referenzanhangs und einer WOPI-Antwort kann ein Angreifer Exchange dazu zwingen, eine bösartige Datei-URI zu verarbeiten. Durch die Ausnutzung dieser Schwachstelle kann ein Angreifer angehängte OAuth-Parameter umgehen und Zugriff auf Konfigurationsdateien, Anmeldedaten und andere sensible lokale Daten erlangen.

Es wurden keine aktiven Angriffe, kein Einsatz von Ransomware und keine damit verbundenen Kampagnen gemeldet. Allerdings sind eine detaillierte technische Analyse sowie PoC-Exploit-Code öffentlich verfügbar, was das Risiko erhöht. Mehrere nationale CERT-Stellen haben Warnungen zu CVE-2026-45504 herausgegeben [1][2][3][4][5][6][7][8]. Für Sicherheitsverantwortliche, die Bedrohungen erkennen und Abwehrmaßnahmen ergreifen möchten, umfasst der OPENVAS ENTERPRISE FEED:

• Eine Remote-Versionsprüfung für Microsoft Exchange Server 2016, Server 2019 und die Subscription Edition (SE)
• Eine Prüfung der ausführbaren Version für Microsoft Exchange Server 2016 Cumulative Update 23
• Prüfungen der ausführbaren Version für das kumulative Update 14 und 15 für Microsoft Exchange Server 2019 [1][2]

Living on the Edge: Neue Bedrohungen für die Perimetersicherheit

Sicherheitslücken in Geräten am Netzwerkperimeter stellen ein besonders hohes Risiko dar, da sie Angriffen durch beliebige Angreifer aus der Ferne ausgesetzt sind. Laut dem neuesten Verizon DBIR 2026 ist die Ausnutzung öffentlich bekannter Software-Schwachstellen mittlerweile weltweit der häufigste Vektor für den Erstzugang. Hier sind einige der kritischsten neuen Bedrohungen für Perimeter-Geräte im Juli 2026 aufgeführt.

SonicWall SMA 1000-Appliances werden aktiv ausgenutzt

CVSS 10 · KritischAktiv ausgenutztIn CISA KEVÖffentlicher PoCRansomware-Verbindung

CVE-2026-15409 und CVE-2026-15410 wurden beide am 14. Juli 2026 veröffentlicht und am selben Tag in die KEV-Liste der CISA aufgenommen [1][2]. Die CVEs betreffen die Modelle 6210, 7210 und 8200v der SonicWall Secure Mobile Access (SMA) 1000-Serie. Laut einem forensischen Bericht wurden die Schwachstellen bereits lange vor ihrer Offenlegung ausgenutzt. Vollständige technische Analyse [3][4] sowie PoC-Exploits [5][6] sind für CVE-2026-15409 verfügbar. Zahlreiche nationale CERT-Stellen haben weltweit Warnungen herausgegeben [7][8][9][10][11][12][13][14][15][16][17][18][19][20]. SonicWall SMA 1000 ist 17 Mal in der KEV-Liste der CISA aufgeführt, wobei 10 Einträge mit Ransomware-Angriffen in Verbindung stehen, was auf ein hohes Risiko hindeutet.

Die SMA 1000-Serie fungiert als sicheres Zugangs-Gateway für Unternehmen, das SSL-VPN und Zero-Trust-Kontrollen kombiniert, um Remote-Benutzer mit internen, in der Cloud gehosteten und hybriden Anwendungen zu verbinden. Details zu jeder neuen, aktiv ausgenutzten CVE finden Sie unten:

• CVE-2026-15409 (CVSS 10, EPSS = 100. Perzentil): Eine Schwachstelle mit höchster Schwere, die es nicht authentifizierten Angreifern ermöglicht, über die Work Place-Schnittstelle Server-Side Request Forgery (SSRF) [CWE-918] auszulösen. Die Hauptursache ist ein anfälliger /wsproxy-Endpunkt, der User-Agent– und bmID-Werte verarbeitet, um WebSocket-Tunnel zu Diensten aufzubauen, auf die nur über die Loopback-Schnittstelle des Geräts zugegriffen werden kann.
• CVE-2026-15410 (CVSS 7,2, EPSS ≥ 99. Perzentil): Ermöglicht authentifizierten Administratoren, Code in die Appliance Management Console einzuschleusen, um beliebige Betriebssystembefehle [CWE-94] mit Root-Rechten auszuführen. Die Ursache ist ein fehlerhafter Workflow zum Entfernen von Hotfixes, der ein Path-Traversal [CWE-35] ermöglicht, um ein vom Angreifer bereitgestelltes Shell-Skript als Root auszuführen.

Durch die Verkettung der beiden Schwachstellen lässt sich, wie unten beschrieben, eine nicht authentifizierte Kontrolle auf Root-Ebene über ein betroffenes SMA 1000-Gerät erlangen:

• Erster Zugriff: Ein nicht authentifizierter Angreifer nutzt CVE-2026-15409 im /wsproxy WebSocket-Proxy aus, indem er einen manipulierten host-Parameter sendet und das Gerät so zwingt, eine Verbindung zu lokal beschränkten Diensten wie dem internen Erlang-Prozess auf Port 1050 herzustellen.
• Rechteausweitung: Anschließend nutzt der Angreifer die Schwachstelle CVE-2026-15410 aus, indem er eine Path-Traversal-Nutzlast an rollbackConfirm.action sendet, wodurch der Workflow hotfix-removal ein vom Angreifer bereitgestelltes Shell-Skript als Root ausführt, bevor ein Neustart erfolgt.

Nachdem sie Root-Rechte erlangt hatten, setzten die Angreifer maßgeschneiderte Malware zur Codeausführung und zum verdeckten Tunneling ein, installierten Web-Shells für den Fernzugriff und fügten Persistenzmechanismen hinzu, um den Root-Zugriff aufrechtzuerhalten. Schädliche Java-Komponenten wurden in einen legitimen SonicWall-Prozess eingeschleust, um routinemäßige Überwachungsmaßnahmen zu umgehen, und mithilfe von Paketaufzeichnungstools wurden LDAP-Anmeldedaten erfasst und der Zugriff auf interne Verzeichnisdienste erweitert [21].

Der Hersteller beschreibt keine Abhilfemaßnahmen. SonicWall empfiehlt dringend, den entsprechenden Plattform-Hotfix unverzüglich zu installieren und das System auf Anzeichen einer Kompromittierung zu überprüfen. Der OPENVAS ENTERPRISE FEED von Greenbone enthält eine Remote-Banner-Versionsprüfung zur Erkennung beider CVEs sowie eine aktive Prüfung speziell für CVE-2026-15409.

CVE-2026-20316: Cisco Secure Firewall Management Center (FMC) wird aktiv ausgenutzt

CVSS 5,3 · MittelAktiv ausgenutztIn CISA KEV

CVE-2026-20316 (CVSS 5,3) ermöglicht es einem nicht authentifizierten Angreifer aus der Ferne, sich über fest codierte Benutzeranmeldedaten als Benutzer mit geringen Berechtigungen bei einem betroffenen Gerät anzumelden [CWE-259]. Die Schwachstelle betrifft die Weboberfläche der Cisco Secure Firewall Management Center (FMC)-Software. Mehrere Cybersicherheitsexperten zeigten sich schockiert darüber, dass in Cisco-Produkten weiterhin fest codierte Anmeldedaten vorhanden sind.

CVE-2026-20316 wird aktiv ausgenutzt und wurde am Tag der Bekanntgabe in die KEV-Liste der CISA aufgenommen. Der nominelle CVSS-Wert von 5,3 unterschätzt das operative Risiko. Cisco hat CVE-2026-20316 eine Sicherheitsauswirkungsbewertung (SIR) von „Hoch“ zugewiesen und warnt ausdrücklich, dass die Schwachstelle mit anderen FMC-Schwachstellen kombiniert werden kann, um auf nicht gepatchten Geräten Berechtigungen zu erweitern. Mehrere nationale CERT-Stellen haben Warnungen zu CVE-2026-20316 herausgegeben [1][2][3][4][5].

Betroffen sind die Cisco Secure FMC-Versionen 7.0, 7.2, 7.4, 7.6, 7.7 und 10.0. Cisco hat Hotfix-Patches für die betroffenen Produkte veröffentlicht. Wenn die Patches nicht angewendet werden können, lässt sich das Risiko verringern, indem der öffentliche Internetzugriff auf die FMC-Verwaltungsschnittstelle verhindert wird. Der OPENVAS ENTERPRISE FEED enthält eine Remote-Banner-Prüfung, mit der Sicherheitsverantwortliche anfällige Geräte identifizieren können.

Neue hochriskante Sicherheitslücken betreffen Palo Alto Networks PAN-OS

CVSS 9,9 · KritischKeine bekannte Ausnutzung

Palo Alto Networks hat Patches für 13 neue CVEs veröffentlicht. Elf dieser CVEs betreffen PAN-OS und verschiedene Komponenten, die auf diesem Betriebssystem laufen. Die kritischsten neuen CVEs aus den Offenlegungen von Palo Alto Networks vom Juli 2026 sind:

• CVE-2026-0284 (CVSS 9,9): Eine XML-Injektionsschwachstelle in der Large Scale VPN (LSVPN)-Funktionalität von PAN-OS ermöglicht es einem nicht authentifizierten Angreifer mit Netzwerkzugriff, bösartigen XML-Inhalt einzuschleusen. Die Ausnutzung dieser Schwachstelle kann zur Offenlegung oder Manipulation interner LSVPN-Satellitendaten führen.
• CVE-2026-0288 (CVSS 7,5): Mehrere Pufferüberlauf-Schwachstellen in der User-ID Terminal Server Agent (TSA)-Komponente von PAN-OS ermöglichen es einem nicht authentifizierten Angreifer mit Netzwerkzugriff, einen Denial-of-Service (DoS)-Zustand auszulösen oder potenziell beliebigen Code auszuführen, indem er speziell gestalteten Netzwerkverkehr sendet. Das durch dieses Problem verursachte Sicherheitsrisiko wird minimiert, wenn die Konnektivität des User-ID Terminal Server Agent ausschließlich auf vertrauenswürdige interne IP-Adressen beschränkt ist.

Es liegen keine Berichte über aktive Ausnutzung der neuen CVEs vor. Unternehmen sollten jedoch umgehend die neuesten Updates installieren und den Zugriff auf sensible Dienste, insbesondere den User-ID Terminal Server Agent, einschränken. Informationen zu betroffenen Versionen und Patches finden Sie auf der Sicherheitshinweis-Seite von Palo Alto Networks. Der OPENVAS ENTERPRISE FEED von Greenbone enthält authentifizierte Scan-Erkennung für alle neuen CVEs von Palo Alto Networks, die PAN-OS und dessen Komponenten betreffen.

Zwei neue Sicherheitslücken in Gitea, einschließlich Ausnutzungsversuchen

CVSS 9,8 · KritischAktiv ausgenutztÖffentlicher PoC

Von neun neu bekannt gewordenen Gitea-Schwachstellen stellen zwei ein erhöhtes Risiko dar. Sysdig hat berichtet, dass in der Praxis Ausnutzungsversuche gegen CVE-2026-20896 stattfinden.

Hier sind die Details zu beiden neu aufgetretenen CVEs mit hohem Risiko:

• CVE-2026-20896 (CVSS 9,8): Nicht authentifizierte Angreifer können die Reverse-Proxy-Authentifizierung umgehen [CWE-284], um auf Repositorys und geheime Daten zuzugreifen. Das offizielle Docker-Image von Gitea verwendet eine app.ini-Vorlage, in der eine Wildcard-Zulassungsliste fest codiert ist (REVERSE_PROXY_TRUSTED_PROXIES=*). Für die Ausnutzung sind lediglich Zugriff auf den Gitea-Port und ein gültiger Benutzername erforderlich. CVE-2026-20896 wird Berichten zufolge aktiv gegen über das Internet zugängliche Instanzen ausgenutzt. Mehrere PoC-Exploits wurden veröffentlicht [1][2][3]. Betroffen sind die offiziellen Docker-Images von Gitea vor der Version 1.26.3.
• CVE-2026-27771 (CVSS 8,2): Nicht authentifizierte Angreifer können aus der Ferne private Container-Images abrufen. Die Hauptursache ist ein fehlerhaftes Autorisierungsdesign [CWE-862], bei dem anonyme JSON Web Tokens (JWTs) von ungeschützten Lese-Endpunkten der Registry akzeptiert werden, während die Sichtbarkeit von Paketen nie an die Sichtbarkeit des Repositorys gebunden war. Eine Ausnutzung dieser Schwachstelle kann zur Offenlegung von Anmeldedaten, API-Schlüsseln, TLS-Zertifikaten, Produktionskonfigurationen und kompiliertem Quellcode führen. Eine detaillierte technische Analyse [4] sowie PoC-Exploit-Code [5] sind verfügbar. Betroffen ist die in Gitea integrierte OCI-Container-Registry vor Version 1.26.2.

Schätzungsweise 31.000 Gitea-Instanzen sind weltweit öffentlich zugänglich. Der OPENVAS ENTERPRISE FEED umfasst eine Remote-Banner-Prüfung und eine Remote-Anwendungsprüfung für CVE-2026-20896 [6][7], sowie eine separate Remote-Banner-Prüfung und eine aktive Prüfung zur Identifizierung von Gitea-Instanzen, die von CVE-2026-27771 betroffen sind [8][9].

CVE-2026-63077: Kritische Sicherheitslücke betrifft JetBrains TeamCity On-Premises

CVSS 9,8 · KritischAktiv ausgenutzt

CVE-2026-63077 (CVSS 9,8, EPSS ≥ 47. Perzentil) ermöglicht eine nicht authentifizierte RCE gegen alle früheren Versionen von TeamCity On-Premises. Die Hauptursache ist die Deserialisierung nicht vertrauenswürdiger Daten [CWE-502] im Agent-Polling-Protokoll. Eine erfolgreiche Ausnutzung ermöglicht es einem Angreifer, Befehle mit den Berechtigungen des TeamCity-Serverprozesses auszuführen. Eine Kompromittierung könnte gespeicherte Anmeldedaten offenlegen, Build-Artefakte verändern und nachgelagerte CI/CD-Pipelines gefährden.

Bis zum 1. August 2026 wurden für CVE-2026-63077 keine aktiven Angriffe, kein öffentlicher PoC und keine vollständige technische Offenlegung auf Exploit-Ebene gemeldet. TeamCity wurde jedoch dreimal in die KEV-Liste der CISA aufgenommen, wobei jeder Eintrag mit Ransomware-Angriffen in Verbindung steht. Der OPENVAS ENTERPRISE FEED von Greenbone enthält eine Remote-Banner-Versionsprüfung zur Identifizierung ungepatchter Versionen von TeamCity On-Premises. Unternehmen sollten auf Version 2025.11.7 oder 2026.1.3 aktualisieren oder die Option für automatische Updates in TeamCity aktivieren. Für Organisationen, die kein Upgrade durchführen können, steht ein Sicherheitspatch zur Verfügung.

CVE-2026-14266: 7-Zip-Sicherheitslücke ermöglicht die Remote-Codeausführung

CVSS 7,0 · HochÖffentlicher PoCKeine bekannte Ausnutzung

CVE-2026-14266 (CVSS 7,0) ist eine neu bekannt gewordene Sicherheitslücke, die 7-Zip-Versionen vor 26.02 betrifft. Die Sicherheitslücke ermöglicht es Angreifern, aus der Ferne beliebigen Code auszuführen. Die Ursache ist eine fehlerhafte Verfolgung des beschreibbaren Speicherplatzes im XZ-Decoder, was zu einem heap-basierten Pufferüberlauf [CWE-122] führt. Bei jedem Aufruf des Decoders wird fälschlicherweise die volle Größe des Ausgabepuffers übergeben, was dazu führt, dass der Decoder den verbleibenden beschreibbaren Speicherplatz nach einer Teilausgabe überschätzt. Für die Ausnutzung muss das Ziel ein bösartiges XZ-Archiv öffnen. Die Auswirkung ist die Ausführung von Code mit den Berechtigungen des aktuellen Benutzers.

Es liegen keine Berichte über aktive Ausnutzung vor. Allerdings ist ein detaillierter technischer Bericht mit einem PoC-Exploit-Generator öffentlich verfügbar. Die Existenz eines öffentlichen PoC-Exploit-Generators – selbst in einem frühen Entwicklungsstadium – bedeutet, dass auch weniger erfahrene Angreifer bald in der Lage sein könnten, CVE-2026-14266 für Angriffe in der Praxis auszunutzen. Tatsächlich ist bekannt, dass Schwachstellen in 7-Zip bei Social-Engineering-Cyberangriffen ausgenutzt werden [1][2].

Das deutsche BSI und die italienische nationale CERT-Behörde ACN haben Warnungen zu CVE-2026-14266 herausgegeben [3][4]. Benutzer sollten auf 7-Zip Version 26.02 oder höher aktualisieren. Der OPENVAS ENTERPRISE FEED enthält eine Windows-Registry-Prüfung, um Systeme zu identifizieren, auf denen 7-Zip installiert ist. CVE-2026-14266 betrifft auch eingebettete 7-Zip-Komponenten in Produkten von Drittanbietern. Greenbone wird weiterhin Linux-Prüfungen zur Paketerkennung sowie weitere anwendungsspezifische Prüfungen hinzufügen, sobald nachgelagerte Anbieter Sicherheitshinweise veröffentlichen.

CVE-2026-53412: Nicht authentifizierte Remote-Kontoübernahme betrifft Zoom Workplace

CVSS 9,8 · KritischKeine bekannte Ausnutzung

Zooms Sicherheitshinweise dokumentieren neue Schwachstellen, die Zoom Workplace und andere zentrale Zoom-Anwendungen betreffen. Das Hauptrisiko stellt CVE-2026-53412 dar, das eine nicht authentifizierte Fernübernahme von Konten ohne Benutzerinteraktion ermöglicht und als Angriff mit geringer Komplexität beschrieben wird. Es wurden keine aktiven Ausnutzungsversuche gemeldet, und es sind keine detaillierten technischen Analysen oder PoC-Exploits öffentlich verfügbar.

• CVE-2026-53412 (CVSS 9,8): Ermöglicht es einem nicht authentifizierten Angreifer aus der Ferne, durch unsachgemäße Eingabevalidierung die Kontrolle über Konten zu übernehmen. CVE-2026-53412 betrifft Zoom Workplace für Windows vor Version 7.0.0 und den Zoom Workplace VDI-Client für Windows vor den entsprechenden behobenen Versionen.
• CVE-2026-53410 (CVSS 7,0): Ermöglicht es einem authentifizierten lokalen Angreifer, über eine „Time-of-Check-to-Time-of-Use“ (TOCTOU)-Race-Condition im Installations- oder Deinstallationsprozess mehrerer Zoom-Windows-Produkte Berechtigungen zu erweitern. Zu den betroffenen Produkten gehören Zoom Workplace, VDI Client, VDI Plugin, Zoom Rooms und Remote Control for Zoom Contact Center für Windows.

Der OPENVAS ENTERPRISE FEED von Greenbone enthält Registry-Prüfungen, die Installationen von Zoom Workplace für Windows identifizieren, die für CVE-2026-53412 [1] oder CVE-2026-53410 [2] anfällig sind.

Zusammenfassung

Die im Juli 2026 auftretenden Cybersicherheitsrisiken zeigen, dass Angreifer schwerwiegende Schwachstellen in Unternehmensplattformen, Perimeter-Geräten, Entwicklungstools und weit verbreiteten Anwendungen ausnutzen. Angesichts des Drucks durch die sogenannte „Vulnpocalypse“ sollten Sicherheitsteams eine hohe Transparenz gewährleisten und die Patch-Frequenz erhöhen, wobei exponierte Systeme Vorrang haben sollten. Eine mehrschichtige Verteidigung ist entscheidend, sobald Angreifer sich einen ersten Zugriff verschafft haben.

Sicherheitsverantwortliche, die Angriffe erkennen und abwehren möchten, erhalten mit OPENVAS SCAN eine kostenlose zweiwöchige Testversion des OPENVAS ENTERPRISE FEED. Die Cybersicherheitsprodukte von Greenbone sind ein bewährter Weg, um einen umfassenden Einblick zu gewinnen, wo in der Infrastruktur Ihres Unternehmens Software-Schwachstellen bestehen.

 

CVE-2026-18577 (CVSS 8,2, EPSS ≥ 71. Perzentil) und CVE-2026-18556 (CVSS 7,4, EPSS ≥ 19. Perzentil), die Anfang August veröffentlicht wurden, wurden beide innerhalb weniger Tage nach ihrer Offenlegung in die Liste der „Known Exploited Vulnerabilities“ (KEV) der CISA aufgenommen [1][2]. N-able hat Indikatoren für eine Kompromittierung (IoC) sowie Aktivitäten nach der Ausnutzung aus erfolgreichen Angriffen auf die eigenen gehosteten N-central-Instanzen veröffentlicht. Zur Behebung beider CVEs ist die N-central-Version 2026.3.1 erforderlich.

CVE-2026-18577 gilt als Umgehung des Fixes für CVE-2026-18556. Bei beiden handelt es sich um Schwachstellen zur Umgehung der Authentifizierung [CWE-288], die die Übernahme von Konten auf Administratorebene und die vollständige Kompromittierung der N-central-Server ermöglichen. Für CVE-2026-18556 oder CVE-2026-18577 wurde bislang weder öffentlicher Proof-of-Concept-Exploit-Code (PoC) noch eine detaillierte technische Analyse veröffentlicht. Mehrere nationale CERT-Stellen haben Warnungen zu den CVEs veröffentlicht [1][2][3][4][5][6][7].

Eine Risikobewertung zu CVE-2026-18577 und CVE-2026-18556, die N-able N-central betreffen

CVE-2026-18577

CVSS 8,2 · HochEPSS 1,5 % (71.)Wird aktiv ausgenutztIn CISA KEV

CVE-2026-18556

CVSS 7,4 · HochEPSS 0,3 % (19.)Wird aktiv ausgenutztIn CISA KEV

Am 31. Juli 2026 stellte N-able böswillige Aktivitäten fest, die auf einen N-central-Server in einer Kundenumgebung abzielten. Die Analyse führte zur Entdeckung einer Zero-Day-Sicherheitslücke, der zunächst die CVE-2026-18556 zugewiesen wurde. Die Schwachstelle wurde in N-central 2026.2 behoben, doch die Korrektur ließ einen alternativen Weg zur Umgehung der Authentifizierung offen. N-able wies die Kennung CVE-2026-18577 zu, um die unvollständige Korrektur separat zu verfolgen. Am 2. August wurde N-central 2026.3 Hotfix 1 veröffentlicht, der beide CVEs vollständig behebt.

CVE-2026-18577 und CVE-2026-18556 stellen ein hohes Risiko dar, da N-central als Fernverwaltungsplattform in Managed-Service-Provider-Umgebungen (MSP) fungiert. N-central umfasst unter anderem Tools wie „Take Control“, „Remote Desktop“, XMPP-Steuerkanäle (Extensible Messaging and Presence Protocol) sowie SSH-Zugriff.

Wie aus den Berichten von N-able über Aktivitäten nach der Ausnutzung hervorgeht, führt die Kompromittierung eines N-central-Servers zu einem weitreichenden Risiko für die gesamten verwalteten Kundenumgebungen. Sicherheitsverantwortliche sollten das Problem als plattformweites Betriebsrisiko betrachten und nicht auf eine einzelne Komponente oder Angriffsfläche beschränken.

Mehrere Quellen berichten, dass im Jahr 2025 rund 3.000 N-central-Server dem öffentlichen Internet ausgesetzt waren [1][2]. Shodan identifiziert derzeit etwa 2.300 Instanzen. Dieser jüngste Vorfall ist nicht das erste Mal, dass N-central aktiv ausgenutzt wurde. Mitte 2025 wurden sowohl CVE-2025-8875 (CVSS 7,8) als auch CVE-2025-8876 (CVSS 8,8) in die KEV-Liste der CISA aufgenommen [3][4].

Technische Bewertung und Angriffsablauf

CVE-2026-18577 (CVSS 8,2, EPSS ≥ 71. Perzentil) ist das Ergebnis eines unvollständigen Patches für CVE-2026-18556 (CVSS 7,4, EPSS ≥ 19. Perzentil), der nur einen Tag vor CVE-2026-18577 veröffentlicht wurde. Beide Schwachstellen werden als Authentifizierungsumgehungs-Schwachstellen [CWE-288] beschrieben, die N-central-Instanzen betreffen. Berichte nach der Ausnutzung deuten darauf hin, dass sie die Übernahme von Konten auf Administratorebene und die vollständige Kompromittierung der Plattform ermöglichen. Die vom Anbieter bereitgestellten Nachweise enthalten keine Details zur Grundursache und identifizieren keine spezifischen ausnutzbaren Komponenten. Es wurden keine weiteren technischen Analysen oder PoC-Exploits veröffentlicht.

N-able hat Indikatoren für eine Kompromittierung (IoC) sowie Details zu den Folgen erfolgreicher Angriffe auf seine gehostete N-central-Infrastruktur veröffentlicht. Dazu gehören eine schädliche Datei namens „svchost.exe“ im Ordner „Dokumente“ des Benutzers, ein registrierter Dienst namens „Cloudflared“ sowie eingehende Verbindungen von mehreren IP-Adressen. Für Sicherheitsverantwortliche bedeutet dies, dass die Patches mit einer umfassenden forensischen Überprüfung der betroffenen Systeme und der Überwachung des Netzwerkverkehrs auf anomale Aktivitäten einhergehen sollten.

Zu den beobachteten Aktivitäten nach der Kompromittierung gehörten:

• Erlangung von Administratorrechten auf anfällige N-central-Server [T1190]
• Verwendung der „Take Control“-Funktion von N-central für den Fernzugriff auf verbundene Systeme [T1219.002]
• Installation eines bösartigen Dienstes [T1543.003] namens „Cloudflared“ auf verwalteten Endgeräten, um auch nach Entzug des Zugriffs über den N-central-Server weiterhin dauerhaften Fernzugriff zu gewährleisten

CVE-2026-18577 & CVE-2026-18556: Betroffene Versionen und Abhilfemaßnahmen

Sicherheitsverantwortliche sollten sich in erster Linie mit CVE-2026-18577 befassen, da es sich um eine Umgehung einer früheren Schwachstelle handelt. CVE-2026-18577 betrifft alle N-central-Instanzen vor Version 2026.3.1. Auf der Statusseite von N-able heißt es, dass gehostete N-central-Instanzen automatisch aktualisiert werden. Kunden mit selbst gehosteten Instanzen müssen jedoch den Hotfix 1 für Version 2026.3 installieren, der als Build 2026.3.1.7 gekennzeichnet ist.

Bereitstellung	Betroffene Versionen	Behobene Versionen	Upgrade-Pfad
Hosted N-central	Alle Versionen vor 2026.3.1	N-central 2026.3 HF1, Build 2026.3.1.7	Automatisches Update durch N-able
Selbst gehostetes N-central	Alle Versionen vor 2026.3.1	N-central 2026.3 HF1, Build 2026.3.1.7	Manuelles Update erforderlich

N-able hat IoCs für die eigene forensische Analyse im Rahmen der Incident-Response veröffentlicht. Die IoC-Informationen legen nahe, dass die Verantwortlichen potenziell betroffene Systeme auf eine Datei namens „svchost.exe“ im Ordner „Dokumente“ des Benutzers, einen registrierten Dienst namens „Cloudflared“ sowie eingehende Verbindungen von mehreren beobachteten IP-Adressen überprüfen sollten.

Zusammenfassung

N-able hat N-central 2026.3 HF1 veröffentlicht, um die Sicherheitslücke CVE-2026-18577 zu beheben, von der alle früheren Versionen von N-central betroffen sind. Da es sich bei N-central um eine Verwaltungsplattform handelt, die von MSPs zur Verwaltung von Kundenumgebungen genutzt wird, ist das Betriebsrisiko hoch. Bekannte IoCs liegen aus der Analyse realer Sicherheitsvorfälle vor. Sicherheitsverantwortliche sollten die Bereitstellung des Hotfixes mit einer umfassenden forensischen Überprüfung potenziell kompromittierter Systeme verbinden.

 

In den letzten Monaten sind mehrere besorgniserregende Sicherheitslücken aufgetaucht, die Linux betreffen. Zu diesen Sicherheitslücken gehören Einträge in der CISA-Liste „Known Exploited Vulnerabilities“ (KEV) für CVE-2026-31431 (auch bekannt als „Copy Fail“) [1], sowie eine ältere Schwachstelle, CVE-2022-0492 [2]. Eine Welle besorgniserregender neuer Schwachstellen steht jedoch im Zusammenhang mit öffentlich verfügbaren Exploits oder Proof-of-Concept-Code (PoC). Insgesamt umfassen die Schwachstellen lokale Rechteausweitung, Container-Escape, die Ausführung beliebiger Befehle als Root, Kernel-Heap-Korruption und die Ausführung von Remote-Code (RCE). Linux-Anwender sollten ihre Infrastruktur regelmäßig scannen, Bewertungen zur Ermittlung der Gefährdung durchführen und Patches priorisieren, um Risiken für kritische Ressourcen zu minimieren.

Eine Risikobewertung neu auftretender Schwachstellen im Linux-Kernel

In den letzten Wochen hat der Greenbone-Blog „Copy Fail“ – eine neue, aktiv ausgenutzte Linux-Sicherheitslücke – sowie „Copy Fail 2“ und „Dirty Frag“ behandelt. Seitdem sind mehrere neue Schwachstellen aufgetaucht, die den Linux-Kernel und Kernkomponenten betreffen und ein erhebliches Betriebsrisiko innerhalb des Linux-Ökosystems darstellen.

Eine technische Bewertung neu auftretender Linux-Sicherheitslücken

Im folgenden Abschnitt werden kürzlich bekannt gewordene Sicherheitslücken behandelt, die den Linux-Kernel und zentrale Komponenten betreffen. Jeder Abschnitt fasst die zugrunde liegende technische Ursache, verfügbare Bedrohungsinformationen, mögliche vorübergehende Abhilfemaßnahmen sowie die Upstream-Korrekturen zusammen.

CVE-2026-31705 betrifft den ksmbd-SMB-Server

CVSS 9,8 · KritischEPSS 0,4 % (32.)Keine bekannte AusnutzungPatch verfügbar

CVE-2026-31705 (CVSS 9,8, EPSS ≥ 32. Perzentil) ist ein Schreibvorgang außerhalb des zulässigen Bereichs im Pfad smb2_get_ea() des Linux-Kernel-ksmbd-SMB-Servers. Eine memset-Operation zur 4-Byte-Ausrichtung wird ausgeführt, ohne den verbleibenden Speicherplatz zu überprüfen. Durch Ausnutzung dieser Schwachstelle können zusammengesetzte SMB-Anfragen benachbarten Kernel-Heap-Speicher überschreiben.

Eine ausführliche technische Beschreibung ist online verfügbar, was das Risiko für Verteidiger erhöht [1]. Es wurden keine vom Hersteller bereitgestellten Workarounds veröffentlicht. Allerdings kann das Beenden von KSMBD und/oder das Entladen und Blockieren des ksmbd-Kernelmoduls Angriffe auf die betroffenen Komponenten wirksam verhindern. Upstream-Korrekturen sind in den Linux-Kernel-Versionen 6.1.175, 6.6.136, 6.12.84, 6.18.25, 7.0.2 sowie 7.1. Der OPENVAS ENTERPRISE FEED von Greenbone enthält eine Erkennung für CVE-2026-31705 und fügt weiterhin Überprüfungen auf Paketebene hinzu, sobald Linux-Distributionen Sicherheitshinweise und Patches veröffentlichen.

CVE-2026-55200 betrifft libssh2

CVSS 8,3 · HochEPSS 2,0 % (79.)Öffentlicher PoC

CVE-2026-55200 (CVSS 8,3, EPSS ≥ 79. Perzentil) betrifft libssh2. Die Schwachstelle ist ein Schreibvorgang außerhalb des zulässigen Bereichs in ssh2_transport_read(), verursacht durch ein ungeprüftes, vom Angreifer kontrolliertes packet_length-Feld. Ein böswilliger oder kompromittierter SSH-Server kann manipulierte SSH-Pakete senden, um eine Speicherbeschädigung auszulösen und RCE zu erlangen.

Detaillierte technische Beschreibungen und PoC-Exploits sind online verfügbar, was das Risiko für Verteidiger erhöht [1][2]. Es gibt keine Abhilfemaßnahme, außer zu verhindern, dass libssh2-Clients eine Verbindung zu nicht vertrauenswürdigen SSH-Servern herstellen, etwa durch Deaktivieren des Dienstes. CVE-2026-55200 betrifft alle libssh2-Versionen bis einschließlich 1.11.1. Es wurde noch keine korrigierte Upstream-Version veröffentlicht, die Korrektur ist jedoch im Upstream-Commit 97acf3df verfügbar und wurde von einigen Linux-Distributionen zurückportiert. Der OPENVAS ENTERPRISE FEED von Greenbone enthält eine Erkennung für CVE-2026-55200 und fügt weiterhin Überprüfungen auf Paketebene hinzu, sobald Linux-Distributionen Sicherheitshinweise und Patches veröffentlichen.

Fragnesia: CVE-2026-46300 (CVSS 7,5)

CVSS 7,8 · HochEPSS 2,5 % (83.)Öffentlicher PoC

Die als „Fragnesia“ bekannte Schwachstelle CVE-2026-46300 (CVSS 7,8, EPSS ≥ 83. Perzentil) ist auf den Verlust des Shared-Fragment-Markers während der skb-Zusammenführung in den net/skbuff– und ESP-Eingabepfaden des Linux-Kernels zurückzuführen. Die anschließende In-Place-Verarbeitung von ESP ermöglicht die Entschlüsselung von Fragmenten, die durch den Seiten-Cache abgesichert sind. Das Problem gilt als leicht ausnutzbares Risiko einer lokalen Rechteausweitung, da es im Seiten-Cache gespeicherte, schreibgeschützte Dateien beschädigen kann. Laut Ubuntu kann die Ausnutzung einem lokalen Benutzer Root-Rechte auf betroffenen Hosts verschaffen, und auch Container-Escape-Szenarien sind möglich.

Mehrere technische Beschreibungen und PoC-Exploits sind online verfügbar, was das Risiko für Verteidiger erhöht [1][2][3][4][5]. Eine vorübergehende Abhilfe kann durch das Entladen und Blockieren der Kernel-Module esp4 und esp6 erreicht werden [6]. CVE-2026-46300 betrifft Linux-Kernel-Versionen ab 3.9. Die Upstream-Korrekturen sind in den Versionen 5.10.257, 5.15.208, 6.1.174, 6.6.141, 6.12.91, 6.18.33, 7.0.10 sowie 7.1. Der OPENVAS ENTERPRISE FEED von Greenbone enthält eine Erkennung für CVE-2026-46300 und fügt weiterhin Überprüfungen auf Paketebene hinzu, sobald Linux-Distributionen Sicherheitshinweise und Patches veröffentlichen.

ssh-keysign-pwn: CVE-2026-46333 (CVSS 7,1)

CVSS 7,1 · HochEPSS 1,5 % (72.)Öffentlicher PoC

Die als „ssh-keysign-pwn“ bekannte Schwachstelle CVE-2026-46333 (CVSS 7,1, EPSS ≥ 72. Perzentil) ist eine Race Condition in der ptrace– und process-exit-Verarbeitung des Linux-Kernels. Das Problem dreht sich um die Dumpbarkeit und den Abbau von mm. Beim Beenden eines privilegierten Prozesses kann pidfd_getfd() offene Dateideskriptoren des beendenden Prozesses duplizieren. Durch Ausnutzung dieser Schwachstelle können sensible, root-eigene Daten offengelegt werden, darunter SSH-Schlüssel und Passwort-Hashes. Der öffentliche Proof-of-Concept für diese Schwachstelle erfordert den Systemaufruf pidfd_getfd, mit dem ein Dateideskriptor eines anderen Prozesses dupliziert werden kann. Die Kernel-Korrektur erfordert die Fähigkeit CAP_SYS_PTRACE, um einen anderen Prozess zu überwachen oder zu steuern, wenn der Zielprozess beendet wird – bekannt als der „No-mm“-Fall.

Mehrere technische Beschreibungen und PoC-Exploits sind online verfügbar, was das Risiko für Verteidiger erhöht [1][2][3][4][5][6]. Eine vorübergehende Abhilfe besteht darin, allen nicht privilegierten Benutzern oder nur Benutzern ohne die Berechtigung CAP_SYS_PTRACE zu untersagen, sich über den Systemaufruf ptrace() an andere Prozesse anzuhängen [7]. CVE-2026-46333 ist eine Schwachstelle im Linux-Kernel und kein Fehler in OpenSSH. Patches sind in den Linux-Kernel-Versionen 5.10.256, 5.15.207, 6.1.173, 6.6.139, 6.12.89, 6.18.31, 7.0.8 sowie 7.1. Der OPENVAS ENTERPRISE FEED von Greenbone enthält eine Erkennung für CVE-2026-46333 und fügt weiterhin Überprüfungen auf Paketebene hinzu, sobald Linux-Distributionen Sicherheitshinweise und Patches veröffentlichen.

DirtyDecrypt / DirtyCBC: CVE-2026-31635 (CVSS 7,5)

CVSS 7,5 · HochEPSS 0,8 % (53.)Öffentlicher PoC

Die als „DirtyDecrypt“ (auch „DirtyCBC“) bekannte Schwachstelle CVE-2026-31635 (CVSS 7,5, EPSS ≥ 53. Perzentil) betrifft Linux-Kernel, bei denen CONFIG_RXGK kompiliert und aktiviert ist. Eine invertierte Bereichsprüfung in der RxRPC-/RxGK-Antwortvalidierung führt dazu, dass übergroße RESPONSE-Authentifikatoren akzeptiert und tiefer in die Verarbeitung geleitet werden. Sekundären Berichten zufolge kann die Schwachstelle im Seiten-Cache gespeicherte privilegierte Dateien überschreiben und zur lokalen Rechteausweitung auf Root genutzt werden.

Mehrere technische Beschreibungen und PoC-Exploits sind online verfügbar, was das Risiko für Verteidiger erhöht [1][2][3][4][5]. Es wurden keine vom Hersteller bereitgestellten Workarounds veröffentlicht. Unabhängige Forscher haben jedoch vorgeschlagen, das rxrpc-Modul als vorübergehende Lösung zu entladen und zu blockieren [6]. Upstream-Korrekturen für CVE-2026-31635 sind in den Linux-Kernel-Versionen 6.18.23, 6.19.13 sowie 7.0 enthalten. Der OPENVAS ENTERPRISE FEED von Greenbone enthält eine Erkennung für CVE-2026-31635 und fügt weiterhin Überprüfungen auf Paketebene hinzu, sobald Linux-Distributionen Sicherheitshinweise und Patches veröffentlichen.

CIFSwitch: CVE-2026-46243 (CVSS 7,1)

CVSS 7,1 · HochEPSS 0,4 % (30.)Öffentlicher PoC

Die als „CIFSwitch“ bekannte Schwachstelle CVE-2026-46243 (CVSS 7,1, EPSS ≥ 30. Perzentil) betrifft die Verarbeitung von cifs_spnego im CIFS-Client des Linux-Kernels. Die Schwachstelle ermöglicht es dem Userspace, cifs.spnego-Schlüsselbeschreibungen über request_key(2) oder add_key(2) zu fälschen, wodurch cifs.upcall vom Angreifer kontrollierte Autoritätsfelder als vertrauenswürdig einstuft. Die Schwachstelle ermöglicht es einem lokalen Benutzer mit geringen Berechtigungen, beliebige Befehle als Root auszuführen.

Mehrere technische Beschreibungen und PoC-Exploits sind online verfügbar, was das Risiko für Verteidiger erhöht [1][2][3][4]. Als vorübergehende Abhilfe gilt es, das cifs-Kernelmodul zu entladen und zu blockieren, cifs-utils zu entfernen oder die cifs.spnego-Request-Key-Regel zu deaktivieren [5]. CVE-2026-46243 betrifft Linux-Kernel mit dem CIFS-Client oder cifs-utils sowie der cifs.spnego-Request-Key-Integration. Upstream-Korrekturen sind in den Versionen 5.10.258, 5.15.209, 6.1.175, 6.6.142, 6.12.92, 6.18.34, 7.0.11 sowie 7.1. Der OPENVAS ENTERPRISE FEED von Greenbone enthält eine Erkennung für CVE-2026-46243 und fügt weiterhin Überprüfungen auf Paketebene hinzu, sobald Linux-Distributionen Sicherheitshinweise und Patches veröffentlichen.

PinTheft: CVE-2026-43494 (CVSS 7,8)

CVSS 7,8 · HochEPSS 0,3 % (22.)Öffentlicher PoC

Die als „PinTheft“ bekannte Schwachstelle CVE-2026-43494 (CVSS 7,8) betrifft den RDS-Zerocopy-Sendepfad im Linux-Kernel. Der Fehler liegt in einer Bereinigungslogik, die bereits freigegebene Seiten erneut freigibt, nachdem op_nents auf einen Wert ungleich Null verblieben ist. Die Exploit-Kette nutzt feste io_uring-Puffer, um den Seiten-Cache einer SUID-root-Binärdatei zu überschreiben.

Mehrere detaillierte Berichte und PoC-Exploits sind online verfügbar, was das Risiko für Verteidiger erhöht [1][2][3][4]. Eine Abhilfe kann erreicht werden, indem sichergestellt wird, dass das rds-Modul entladen und vor dem automatischen Laden blockiert wird [5]. CVE-2026-43494 betrifft Linux-Kernel-Versionen ab 4.17 mit dem RDS-Subsystem. Upstream-Korrekturen sind in den Linux-Kernel-Versionen 5.10.258, 5.15.209, 6.1.175, 6.6.141, 6.12.91, 6.18.33, 7.0.10 sowie 7.1. Der OPENVAS ENTERPRISE FEED von Greenbone enthält eine Erkennung für CVE-2026-43494 und fügt weiterhin Überprüfungen auf Paketebene hinzu, sobald Linux-Distributionen Sicherheitshinweise und Patches veröffentlichen.

GhostLock: CVE-2026-43499 (CVSS 7,8)

CVSS 7,8 · HochEPSS 0,7 % (50.)Öffentlicher PoC

Bei der als „GhostLock“ bekannten Schwachstelle CVE-2026-43499 (CVSS 7,8) handelt es sich um einen Use-after-free-Fehler im rtmutex-Slowlock– und Proxy-Lock-Rollback-Pfad des Linux-Kernels. Die Funktion remove_waiter() hinterlässt einen hängenden Zeiger und einen unsicheren Sperrzustand. Red Hat und Ubuntu beschreiben lokale Rechteausweitung und Denial-of-Service-Auswirkungen [1][2], und laut Nebula ist auf ungepatchten Systemen auch ein Container-Escape möglich.

Mehrere ausführliche technische Beschreibungen und PoC-Exploits sind online verfügbar, was das Risiko für Verteidiger erhöht [1][2][3][4]. Es ist keine Abhilfemaßnahme verfügbar. CVE-2026-43499 betrifft Linux-Kernel-Versionen ab 2.6.39, wobei die Upstream-Korrekturen in die Versionen 5.10.261, 5.15.212, 6.1.175, 6.6.140, 6.12.86, 6.18.27, 7.0.4 sowie 7.1 integriert sind. Der OPENVAS ENTERPRISE FEED von Greenbone enthält eine Erkennung für CVE-2026-43499 und fügt weiterhin Überprüfungen auf Paketebene hinzu, sobald Linux-Distributionen Sicherheitshinweise und Patches veröffentlichen.

Abhilfemaßnahmen für neu auftretende Linux-Sicherheitslücken

Unternehmen sollten die Behebung neu auftretender Linux-Sicherheitslücken anhand des betrieblichen und geschäftlichen Werts der betroffenen Ressourcen, der Erreichbarkeit der betroffenen Systeme, der technischen Details der einzelnen Schwachstellen sowie der Bedrohungsinformationen priorisieren – einschließlich bekannter aktiver Ausnutzung und der Existenz von PoC-Exploits.

Die Abwehr von Schwachstellen im Upstream-Linux-Kernel hängt entweder von der Umsetzung wirksamer Workarounds oder von der Installation von Updates in nachgelagerten Linux-Distributionen ab, sobald diese verfügbar sind. Sind keine technischen Workarounds verfügbar, müssen Verantwortliche auf korrigierte Kernel-Builds aktualisieren.

Zusammenfassung

Jüngste Sicherheitslücken im Linux-Kernel und in Kernkomponenten haben Unternehmen neuen Risiken ausgesetzt. Zu den potenziellen Auswirkungen zählen lokale Rechteausweitung, Container-Escape, die Ausführung beliebiger Befehle, Speicherbeschädigung sowie RCE. Öffentlich zugängliche technische Analysen und Proof-of-Concept-Exploits erhöhen die Dringlichkeit. Bei der Priorisierung von Patches müssen Verantwortliche alle betroffenen Systeme identifizieren und die Kritikalität der Ressourcen, das Geschäftsrisiko, die Erreichbarkeit sowie die Ausnutzbarkeit berücksichtigen.

 

Check Point hat drei neue Sicherheitshinweise veröffentlicht, die Schwachstellen im Security Management Server (SMS), im Multi-Domain Management (MDM) und in anderen Gaia-bezogenen Komponenten behandeln. Die Schwachstelle mit der höchsten Priorität, CVE-2026-16232 (CVSS 9.1), ist eine aktiv ausgenutzte Authentifizierungsumgehung, die die Check Point SmartConsole in SMS- und MDM-Produkten betrifft. CVE-2026-16232 wurde am 22. Juli 2026 veröffentlicht und noch am selben Tag in die CISA-Liste der bekannt ausgenutzten Schwachstellen (KEV) aufgenommen. Die anderen neu bekannt gewordenen Schwachstellen sind CVE-2026-62144 (CVSS 9.1), eine Umgehung der Authentifizierung und eine Rechteausweitung in SMS und MDM, sowie CVE-2026-62145 (CVSS 7.5), die die GaiaOS-WebUI-Verwaltungsschnittstelle der Firewall, des MDM und des Multi-Domain-Log-Servers von Check Point betrifft.

Risikobewertung des Sicherheitsupdates von Check Point vom Juli 2026

Laut Check Point betraf die Ausnutzung von CVE-2026-16232 nur eine sehr kleine Anzahl von Kunden, die Verwaltungsserver ohne IP-Einschränkungen direkt dem Internet ausgesetzt hatten. Die Schwachstellen stellen ein hohes Risiko dar, da sie Verwaltungspfade betreffen, die zur Konfiguration von Sicherheitsrichtlinien, Objekten, Gateways, Berechtigungen und Überwachungsfunktionen verwendet werden.

Der Security Management Server (SMS) von Check Point verwaltet eine Sicherheitsverwaltungsdomäne. Der SMS steht in der Steuerungshierarchie über den Gateways, speichert Objekte und Richtlinien und verteilt diese an die verwalteten Security Gateways. Multi-Domain-Management (MDM) ist die groß angelegte Alternative zu einem einzelnen Security Management Server. Es bietet isolierte Verwaltungsumgebungen für verschiedene Kunden, Geschäftsbereiche, Regionen oder Sicherheitszonen.

SmartConsole ist die grafische Benutzeroberfläche, über die eine Verbindung zum SMS hergestellt und dieser verwaltet wird, während Security Management Server die Security Gateways verwalten und Sicherheitsereignisse überwachen. Gaia Portal ist die webbasierte Schnittstelle für Gaia OS, und laut Check Point lassen sich die meisten Systemkonfigurationsaufgaben darüber durchführen.

CVE-2026-16232: Aktiv ausgenutzte Umgehung der SmartConsole-Authentifizierung

CVSS 9.1 · KritischWird aktiv ausgenutztIn CISA KEV

Eine Schwachstelle durch unsachgemäße Authentifizierung [CWE-287] im Anmeldeprozess der Check Point SmartConsole von SMS- und MDM-Produkten. CVE-2026-16232 ermöglicht es einem nicht authentifizierten Angreifer aus der Ferne, ein Anwendungs-Anmeldetoken zu erlangen und dieses zur Authentifizierung mit vollen Administratorrechten zu nutzen. Die Ausnutzung aus der Ferne erfordert Zugriff auf die IP-Adresse des Management-Servers sowie eine Konfiguration, die vertrauenswürdige Clients nicht einschränkt. Eine erfolgreiche Ausnutzung ermöglicht es dem Angreifer, Sicherheitsrichtlinien und Konfigurationen zu ändern.

Weitere CVEs aus den Sicherheitshinweisen von Check Point vom Juli 2026

In den Sicherheitshinweisen von Check Point vom Juli 2026 wurden außerdem zwei weitere CVEs offengelegt:

Die beiden zusätzlichen CVEs, die in den Sicherheitshinweisen von Check Point vom Juli 2026 offengelegt wurden, jeweils mit ihrer CVSS-Schweregradskala und dem EPSS-Wert für die Ausnutzungswahrscheinlichkeit

CVE-2026-62144

CVSS 9.1 · Kritisch EPSS 20.6% (97.)

Eine kritische Sicherheitslücke aufgrund einer fehlerhaften Authentifizierung [CWE-287], die Check Point SMS und MDM betrifft. Die Schwachstelle ermöglicht es einem entfernten, nicht authentifizierten Angreifer, Administratorbefehle auf dem Management-Server auszuführen und möglicherweise Befehle auf verwalteten Security Gateways auszuführen. Die Ausnutzung erfordert Netzwerkzugriff auf einen Management-Server, der keine Einschränkungen für vertrauenswürdige Clients vorsieht.

CVE-2026-62145

CVSS 7.5 · Hoch EPSS 7.5% (94.)

Eine schwerwiegende Schwachstelle im Zusammenhang mit unsachgemäßer Berechtigungsverwaltung [CWE-269] im Check Point Gaia Portal. Die Ausnutzung erfordert ein authentifiziertes Konto mit Lesezugriffsrechten für das Gaia Portal. Ein erfolgreicher Angreifer könnte Befehle mit Root-Rechten ausführen und dadurch möglicherweise die vollständige Kontrolle über das betroffene System erlangen.

Betroffene Produkte und Abhilfemaßnahmen für Check Point Security Management und Gaia OS

Die direkte Abhilfemaßnahme besteht darin, den entsprechenden Jumbo-Hotfix für die aktuelle Version von Gaia OS der betroffenen Komponente anzuwenden. Für Check Point SMS lauten die relevanten Korrekturen R81.20 Jumbo-Hotfix Take 158, R82 Jumbo-Hotfix Take 118 sowie R82.10 Jumbo-Hotfix Take 36. Diese Hotfixes beheben die oben genannten CVEs sowie CVE-2026-31431 (CVSS 7.8, auch bekannt als „Copy Fail“), CVE-2026-43284 (CVSS 8.8), CVE-2026-43500 (CVSS 7.8, auch bekannt als „Dirty Frag“), CVE-2026-46300 (CVSS 7.8, auch bekannt als „Fragnesia“), und weitere. Bei der Priorisierung von Patches sollte der Schwerpunkt auf SMS- und MDM-Bereitstellungen liegen, die über das Internet erreichbar sind und keine Einschränkungen für vertrauenswürdige Clients oder IP-Einschränkungen verwenden.

Zusammenfassung

Check Point hat im Juli 2026 drei neue Sicherheitshinweise veröffentlicht, in denen zwei kritische Schwachstellen im Security Management Server und eine hochgradige Schwachstelle im Gaia Portal zur Rechteausweitung offengelegt werden[1][2][3]. CVE-2026-16232 ermöglicht vollständigen Administratorzugriff auf die Sicherheitsmanagement-Infrastruktur und wird bekanntermaßen aktiv ausgenutzt.