Threat Report Juli 2026: Vulnpocolypse – Nur die Spitze des Eisbergs?

Im Juli 2026 tauchten zahlreiche neue Risiken für IT-Sicherheitsverantwortliche in Unternehmen auf. Anfang dieses Monats haben wir in unserem Blog über neue Probleme berichtet, wie beispielsweise die aktive Ausnutzung von Schwachstellen im WordPress-Core [2], Adobe ColdFusion [3] sowie Check Point SmartConsole [4]; neue Schwachstellen mit kritischem Schweregrad in Cisco-Produkten [5], BeyondTrust RS und PRA [6] sowie Citrix NetScaler ADC und Gateway [7]; sowie eine Flut von Linux-CVEs, darunter auch solche, die bereits aktiv ausgenutzt werden [8][9]. In diesem Blogbeitrag werden wir kurz auf die sogenannte „Vulnpocolypse“ eingehen und die Software-Sicherheitslücken mit dem höchsten Risiko behandeln, die in unserem Blog noch nicht behandelt wurden.

Für Sicherheitsverantwortliche, die Schwachstellen erkennen und Schutzmaßnahmen ergreifen möchten, bietet sich eine Testversion von OPENVAS SCAN umfasst eine kostenlose zweiwöchige Testversion des OPENVAS ENTERPRISE FEED. Die Cybersicherheitsprodukte sind ein bewährter Weg, um einen umfassenden Einblick zu gewinnen, wo in der Infrastruktur Ihres Unternehmens Software-Schwachstellen bestehen.

Für alle, die mitten im Hype-Zyklus rund um KI-Cybersicherheit stecken, überschwemmen Wellen von Berichten über KI-Sicherheitslücken überfluten die Posteingänge. Selbst Sicherheitsverantwortliche, die sich lediglich auf das Patchen und den Schutz ihrer IT-Infrastruktur konzentrieren, wurden von ungewöhnlich zahlreichen Schwachstellenmeldungen überschwemmt, die weit verbreitete Software betreffen [1][2][3][4]. Warten wir darauf, dass sich der Staub legt, oder wird der Sturm noch an Fahrt gewinnen?

Es ist es ratsam zu fragen: Hinterlässt die sogenannte „Vulnpocolypse“ eine bleibende Lücke in der Anzahl der Softwarefehler, die Sicherheitsverantwortliche in Zukunft fürchten müssen? Oder kratzt die IT-Branche lediglich an der Oberfläche der angehäuften technischen Schulden? Auch hier gilt: nur die Zeit wird das wahre Ausmaß der Gefährdung offenbaren. Schließlich sollte, wie die CISA in ihren neuen Sicherheitsrichtlinien für Open-Source-Software betont, Vertrauen ein entscheidender Faktor bei der Auswahl und dem Einsatz von Unternehmenssoftware sein.

CVE-2026-6875: ServiceNow-KI-Plattform wird aktiv ausgenutzt

CVE-2026-6875 (CVSS 7.6, EPSS ≥ 98. Perzentil) ermöglicht es einem nicht authentifizierten Angreifer, eine Remote-Code-Ausführung (RCE) zu erreichen, indem er die serverseitige Skript-Sandbox in der ServiceNow AI Platform ausbrechen, sofern der Endpunkt assessment_thanks.do erreichbar ist. Der nicht authentifizierte Endpunkt assessment_thanks.do übergibt den vom Angreifer kontrollierten Parameter sysparm_assessable_type an die Funktion GlideRecord.addQuery() weiter. Werte, denen javascript: vorangestellt ist, werden in der Rhino-Skript-Sandbox von ServiceNow ausgewertet. Angreifer können die Funktion gs.include() und gemeinsam genutzte globale JavaScript-Objekte nutzen, um die Grenzen der Sandbox zu umgehen.

Durch die Ausnutzung dieser Schwachstelle können eine ServiceNow-Instanz und verbundene Proxy-Server vollständig kompromittiert werden. Es wurden bereits gemeldet. Obwohl CVE-2026-6875 nicht auf der KEV-Liste der CISA steht, wurden zwei frühere ServiceNow-CVEs wurden im Jahr 2024 hinzugefügt. Ein öffentlicher Proof-of-Concept-Exploit sowie eine detaillierte technische Analyse sind verfügbar, was das Risiko von Cyberangriffen erhöht. Mehrere nationale CERT-Stellen haben Warnungen zu CVE-2026-6875 herausgegeben [1][2][3][4][5].

Vom Anbieter werden keine vorläufigen Abhilfemaßnahmen beschrieben. Allerdings ein Bericht der Cloud Security Alliance (CSA) Bericht verweist auf Standardmaßnahmen zur Risikominderung: Einschränkung des Netzwerkzugriffs über Firewall-Regeln oder Einsatz einer Web Application Firewall (WAF), um Ausnutzungsversuche zu blockieren. Nutzer von selbst gehostetem ServiceNow müssen ein Upgrade auf „Australia Patch 2“, „Yokohama Patch 12 Hot Fix 1b“ oder „Patch 13“, „Zurich Patch 7b“ oder „Patch 9“ sowie „Brazil EA“ oder „GA“ durchführen. Die gepatchten Versionen beseitigen die Sicherheitslücke und führen eine Funktion zur Sandbox-Absicherung namens Guarded Script. ServiceNow empfiehlt außerdem, die Protokolle auf verdächtige, nicht authentifizierte Skriptausführung oder Zugriffe auf den Endpunkt assessment_thanks.do zu überprüfen.

Der OPENVAS ENTERPRISE FEED von Greenbone enthält einen Remote-Banner-Check zur Identifizierung von ServiceNow-Instanzen, die von CVE-2026-6875 betroffen sind.

Aufkommende Risiken für Microsoft-Produkte: Verstärkte Ausnutzung

Microsoft-Produkte sahen sich im Juli erneut einem erhöhten Ausnutzungsdruck ausgesetzt, vor allem durch aktiv ausgenutzte SharePoint-Schwachstellen. Ein öffentlicher PoC für eine Exchange-Server-Sicherheitslücke erhöht die Dringlichkeit für Sicherheitsverantwortliche zusätzlich.

CISA warnt vor Exploit-Kampagnen gegen Microsoft SharePoint

Ein außerplanmäßiger Microsoft-Sicherheitshinweis im Juli 2026 enthüllte 37 einzigartige CVEs, die SharePoint betreffen, mit Auswirkungen wie RCE, Rechteausweitung, Spoofing und Offenlegung von Informationen. Im Juli warnte die CISA ebenfalls, dass Angreifer mehrere CVEs in Microsoft SharePoint Server Subscription Edition, 2019 und 2016 ausnutzen, um sich unbefugten Zugriff zu verschaffen und RCE zu erreichen. Zu den Aktivitäten nach der Ausnutzung gehören der Diebstahl von IIS-Maschinenschlüsseln, der Missbrauch der Deserialisierung des ASP.NET-View-Status sowie das Einschleusen von Malware.

Die im Juli 2026 veröffentlichten SharePoint-CVEs mit dem höchsten Risiko sind:

• CVE-2026-58644 (CVSS 9,8, EPSS ≥ 91. Perzentil): Ein entfernter Angreifer, der als Site-Besitzer oder mit einer höheren Berechtigungsstufe authentifiziert ist, kann beliebigen Code auf einem Microsoft SharePoint-Server ausführen. Die Schwachstelle wird durch die Deserialisierung nicht vertrauenswürdiger Daten verursacht [CWE-502]. CVE-2026-58644 gilt als aktiv in der Praxis ausgenutzt und wurde zwei Tage nach der Offenlegung in den KEV-Katalog der CISA aufgenommen. Weder ein öffentlicher PoC-Exploit noch eine vollständige technische Analyse sind bislang für CVE-2026-58644 verfügbar.
• CVE-2026-50522 (CVSS 9,8, EPSS ≥ 99. Perzentil) : Ermöglicht es einem unbefugten Angreifer, Code über ein Netzwerk auszuführen. Die Ursache ist die Deserialisierung nicht vertrauenswürdiger Daten [CWE-502]. CVE-2026-50522 wurde in die KEV-Liste der CISA aufgenommen.
• CVE-2026-56164 (CVSS 9,8, EPSS 97. Perzentil): Ermöglicht es einem unbefugten Angreifer, über ein Netzwerk Berechtigungen zu erweitern. Die Hauptursache ist eine fehlende Authentifizierung für eine kritische Funktion [CWE-306]. Weder CISA noch Microsoft haben von aktiven Angriffen berichtet. Detaillierte technische Beschreibungen oder PoC-Exploits sind nicht öffentlich verfügbar.
• CVE-2026-55040 (CVSS 9.1, EPSS ≥ 69. Perzentil) : Eine schwache Authentifizierung [CWE-1390] ermöglicht es einem unbefugten Angreifer, eine Sicherheitsfunktion über ein Netzwerk zu umgehen. Weder die CISA noch Microsoft haben von aktiven Angriffen berichtet. Detaillierte technische Beschreibungen oder PoC-Exploits sind nicht öffentlich verfügbar.

Die Warnung der CISA zu neuen Angriffen auf SharePoint enthält zusätzliche Empfehlungen für Sicherheitsverantwortliche. Dazu gehören die Verkürzung der Patch-Zyklen sowie die Aktivierung von Antimalware Scan Interface (AMSI) für jede SharePoint-Website, die Beschränkung der Kommunikation von SharePoint Central Administration, der Farm und der Datenbank auf die unbedingt erforderlichen Systeme sowie die Vermeidung der Exposition von SharePoint-Servern gegenüber dem öffentlichen Internet und vieles mehr. Unternehmen sollten Patches umgehend installieren, da exponierte SharePoint-Server weiterhin attraktive Unternehmensziele. Der OPENVAS ENTERPRISE FEED von Greenbone umfasst die regelmäßige Erkennung von Sicherheitslücken in zahlreichen Microsoft-Produkten, einschließlich aller oben genannten CVEs.

CVE-2026-45504: Öffentlicher PoC-Exploit für Microsoft Exchange Server 2019

CVE-2026-45504 (CVSS 8,8) ermöglicht es authentifizierten Benutzern mit geringen Berechtigungen, beliebige Dateien von einem lokal installierten Microsoft Exchange Server 2019 auszulesen. Die CVE wird als Server-Side Request Forgery (SSRF)-Schwachstelle klassifiziert [CWE-918] . Die Ursache ist eine fehlende Validierung des URL-Schemas bei der OneDrive- und WOPI-Integration. Mithilfe eines bösartigen Exchange Web Services (EWS)-Referenzanhangs und einer WOPI-Antwort kann ein Angreifer Exchange dazu zwingen, eine bösartige Datei-URI zu verarbeiten. Durch die Ausnutzung dieser Schwachstelle kann ein Angreifer angehängte OAuth-Parameter umgehen und Zugriff auf Konfigurationsdateien, Anmeldedaten und andere sensible lokale Daten erlangen.

Es wurden keine aktiven Angriffe, kein Einsatz von Ransomware und keine damit verbundenen Kampagnen gemeldet. Allerdings sind eine detaillierte technische Analyse sowie PoC-Exploit-Code öffentlich verfügbar, was das Risiko erhöht. Mehrere nationale CERT-Stellen haben Warnungen zu CVE-2026-45504 herausgegeben [1][2][3][4][5][6][7][8]. Für Sicherheitsverantwortliche, die Bedrohungen erkennen und Abwehrmaßnahmen ergreifen möchten, umfasst der OPENVAS ENTERPRISE FEED:

• Ein Remote-Versionsprüfung für Microsoft Exchange Server 2016, Server 2019 und die Subscription Edition (SE)
• Eine Prüfung der ausführbaren Version für Microsoft Exchange Server 2016 Cumulative Update 23
• Prüfungen der ausführbaren Version für das kumulative Update 14 und 15 für Microsoft Exchange Server 2019 [1][2]

Leben am Abgrund: Neue Bedrohungen für die Perimetersicherheit

Sicherheitslücken in Geräten am Netzwerkperimeter stellen ein besonders hohes Risiko dar, da sie Angriffen durch beliebige Angreifer aus der Ferne ausgesetzt sind. Laut dem neuesten Verizon DBIR 2026-Bericht ist die Ausnutzung öffentlich bekannter Software-Schwachstellen mittlerweile weltweit der häufigste Vektor für den Erstzugang. Hier sind einige der kritischsten neuen Bedrohungen für Perimeter-Geräte im Juli 2026 aufgeführt.

SonicWall SMA 1000-Appliances werden aktiv ausgenutzt

CVE-2026-15409 und CVE-2026-15410 wurden beide am 14. Juli 2026 veröffentlicht und am selben Tag in die KEV-Liste der CISA aufgenommen [1][2]. Die CVEs betreffen die Modelle 6210, 7210 und 8200v der SonicWall Secure Mobile Access (SMA) 1000-Serie. Laut einem forensischen Berichts, wurden die Schwachstellen bereits lange vor ihrer Offenlegung ausgenutzt. Vollständige technische Analyse [3][4] sowie PoC-Exploits [5][6] sind für CVE-2026 -15409 verfügbar. Zahlreiche nationale CERT-Stellen haben weltweit Warnungen herausgegeben [7][8][9][10][11][12][13][14][15][16][17][18][19][20]. SonicWall SMA 1000 steht 17 Mal auf der KEV-Liste der CISA 17 Mal aufgeführt, wobei 10 Einträge mit Ransomware-Angriffen in Verbindung stehen, was auf ein hohes Risiko hindeutet.

Die SMA 1000-Serie fungiert als sicheres Zugangs-Gateway für Unternehmen, das SSL-VPN und Zero-Trust-Kontrollen kombiniert, um Remote-Benutzer mit internen, in der Cloud gehosteten und hybriden Anwendungen zu verbinden. Details zu jeder neuen, aktiv ausgenutzten CVE finden Sie unten:

• CVE-2026-15409 (CVSS 10, EPSS = 100. Perzentil): Eine Schwachstelle mit höchster Schwere, die es nicht authentifizierten Angreifern ermöglicht, Server-Side Request Forgery (SSRF) [CWE-918] über die Work Place-Schnittstelle. Die Hauptursache ist ein anfälliger /wsproxy-Endpunkt, der User-Agent– und bmID-Werte verarbeitet, um WebSocket-Tunnel zu Diensten aufzubauen, auf die nur über die Loopback-Schnittstelle des Geräts zugegriffen werden kann.
• CVE-2026-15410 (CVSS 7.2, EPSS ≥ 99. Perzentil): Ermöglicht authentifizierten Administratoren, Code in die Appliance Management Console einzuschleusen, um beliebige Betriebssystembefehle [CWE-94] mit Root-Rechten auszuführen. Die Ursache ist ein fehlerhafter Workflow zum Entfernen von Hotfixes, der einen Pfadtraversal [CWE-35] ermöglicht, um ein vom Angreifer bereitgestelltes Shell-Skript als Root auszuführen.

Durch die Verkettung der beiden Schwachstellen lässt sich, wie unten beschrieben, eine nicht authentifizierte Kontrolle auf Root-Ebene über ein betroffenes SMA 1000-Gerät erlangen:

• Erster Zugriff: Ein nicht authentifizierter Angreifer nutzt CVE-2026-15409 im /wsproxy WebSocket-Proxy aus, indem er einen manipulierten host-Parameter und zwingt das Gerät so, eine Verbindung zu lokal beschränkten Diensten wie dem internen Erlang-Prozess auf Port 1050 herzustellen.
• Rechteausweitung: Anschließend nutzt der Angreifer die Schwachstelle CVE-2026-15410 aus, indem er eine Path-Traversal-Nutzlast an rollbackConfirm.action sendet, wodurch der Workflow hotfix-removal dazu veranlasst wird, vor dem Neustart ein vom Angreifer vom Angreifer bereitgestelltes Shell-Skript als Root ausführt, bevor ein Neustart erfolgt.

Nachdem sie Root-Rechte erlangt hatten, setzten die Angreifer maßgeschneiderte Malware zur Codeausführung und zum verdeckten Tunneling ein, installierten Web-Shells für den Fernzugriff und fügten Persistenzmechanismen hinzu, um den Root-Zugriff aufrechtzuerhalten. Schädliche Java-Komponenten wurden in einen legitimen SonicWall-Prozess eingeschleust, um routinemäßige Überwachungsmaßnahmen zu umgehen, und mithilfe von Paketaufzeichnungstools wurden LDAP-Anmeldedaten erfasst und der Zugriff auf interne Verzeichnisdienste erweitert [21].

Der Hersteller beschreibt keine Abhilfemaßnahmen. SonicWall empfiehlt dringend, den entsprechenden Plattform-Hotfix unverzüglich zu installieren und das System auf Anzeichen einer Kompromittierung zu überprüfen. Der OPENVAS ENTERPRISE FEED von Greenbone enthält eine Remote-Banner-Versionsprüfung, um sowohl CVEs als auch einen aktive Überprüfung speziell für CVE-2026-15409.

CVE-2026-20316: Cisco Secure Firewall Management Center (FMC) Wird aktiv ausgenutzt

CVE-2026-20316 (CVSS 5.3) ermöglicht es einem nicht authentifizierten Angreifer aus der Ferne, sich über fest codierte Benutzeranmeldedaten als Benutzer mit geringen Berechtigungen bei einem betroffenen Gerät anzumelden [CWE-259]. Die Schwachstelle betrifft die Weboberfläche der Cisco Secure Firewall Management Center (FMC)-Software. Mehrere Cybersicherheitsexperten Experten zeigten sich schockiert darüber, dass in Cisco-Produkten weiterhin fest codierte Anmeldedaten vorhanden sind.

CVE-2026-20316 wird aktiv ausgenutzt und wurde am Tag der Bekanntgabe in die KEV-Liste der CISA aufgenommen. Der nominelle CVSS-Wert von 5,3 unterschätzt das operative Risiko. Cisco hat CVE-2026-20316 eine Sicherheitsauswirkungsbewertung (SIR) von „Hoch“ zugewiesen und warnt ausdrücklich, dass die Schwachstelle mit anderen FMC-Schwachstellen kombiniert werden kann, um auf nicht gepatchten Geräten Berechtigungen zu erweitern. Mehrere nationale CERT-Stellen haben Warnungen zu CVE-2026-20316 herausgegeben [1][2][3][4][5].

Betroffen sind die Cisco Secure FMC-Versionen 7.0, 7.2, 7.4, 7.6, 7.7 und 10.0. Cisco hat Hotfix-Patches für die betroffenen Produkte veröffentlicht. Wenn die Patches nicht angewendet werden können, lässt sich das Risiko verringern, indem der öffentliche Internetzugriff auf die FMC-Verwaltungsschnittstelle verhindert wird. Der OPENVAS ENTERPRISE FEED enthält einen Remote-Banner-Prüfung, mit der Sicherheitsverantwortliche anfällige Geräte identifizieren können.

Neue hochriskante Sicherheitslücken betreffen Palo Alto Networks PAN-OS

Palo Alto Networks hat Patches für 13 neue CVEs veröffentlicht. Elf dieser CVEs betreffen PAN-OS und verschiedene Komponenten, die auf diesem Betriebssystem laufen. Die kritischsten neuen CVEs aus den Offenlegungen von Palo Alto Networks vom Juli 2026 sind:

• CVE-2026-0284 (CVSS 9,9): Eine XML-Injektionsschwachstelle in der Large Scale VPN (LSVPN)-Funktionalität von PAN-OS ermöglicht es einem nicht authentifizierten Angreifer mit Netzwerkzugriff, bösartigen XML-Inhalt einzuschleusen. Die Ausnutzung dieser Schwachstelle kann zur Offenlegung oder Manipulation interner LSVPN-Satellitendaten führen.
• CVE-2026-0288 (CVSS 7.5): Mehrere Pufferüberlauf-Schwachstellen im User-ID Terminal Server Agent (TSA)-Komponente von PAN-OS ermöglichen es einem nicht authentifizierten Angreifer mit Netzwerkzugriff, einen Denial-of-Service (DoS)-Zustand oder potenziell beliebigen Code auszuführen, indem er speziell gestalteten Netzwerkverkehr sendet. Das durch dieses Problem verursachte Sicherheitsrisiko wird minimiert, wenn die Konnektivität des User-ID Terminal Server Agent ausschließlich auf vertrauenswürdige interne IP-Adressen beschränkt ist

Es liegen keine Berichte über aktive Ausnutzung der neuen CVEs vor. Unternehmen sollten jedoch umgehend die neuesten Updates installieren und den Zugriff auf sensible Dienste, insbesondere den User-ID Terminal Server Agent, einschränken. Informationen zu betroffenen Versionen und Patches finden Sie auf der Sicherheitshinweis-Seite von Palo Alto Networks für betroffene Versionen und Patches. Der OPENVAS ENTERPRISE FEED von Greenbone enthält authentifizierte Scan-Erkennung für alle neuen CVEs von Palo Alto Networks, die PAN-OS und dessen Komponenten betreffen.

Zwei neue Sicherheitslücken in Gitea, einschließlich Ausnutzungsversuchen

Zwei neue Gitea-Sicherheitslücken stellen unter neun neu bekannt gewordenen Schwachstellen ein erhöhtes Risiko dar. Davon hat Sysdig hat berichtet, dass in der Praxis Ausnutzungsversuche gegen CVE-2026-20896 stattfinden.

Hier sind die Details zu beiden neu aufgetretenen CVEs mit hohem Risiko:

• CVE-2026-20896 (CVSS 9,8): Nicht authentifizierte Angreifer können die Reverse-Proxy-Authentifizierung umgehen [CWE-284], um auf Repositorys und geheime Daten zuzugreifen. Das offizielle Docker-Image von Gitea verwendet eine app.ini-Vorlage, in der eine Wildcard-Zulassungsliste fest codiert ist (REVERSE_PROXY_TRUSTED_PROXIES=*). Für die Ausnutzung sind lediglich Zugriff auf den Gitea-Port und ein gültiger Benutzername erforderlich. CVE-2026-20896 ist Berichten zufolge aktiv gegen über das Internet zugängliche Instanzen ausgenutzt. Mehrere PoC-Exploits wurden veröffentlicht [1][2][3]. Betroffen sind die offiziellen Docker-Images von Gitea vor der Version 1.26.3.
• CVE-2026-27771 (CVSS 8.2): Nicht authentifizierte Angreifer können aus der Ferne private Container-Images abrufen. Die Hauptursache ist ein fehlerhaftes Autorisierungsdesign [CWE-862], bei dem anonyme JSON Web Tokens (JWTs) von ungeschützten Lese-Endpunkten der Registry akzeptiert werden, während die Sichtbarkeit von Paketen nie an die Privatsphäre des Repositorys gebunden war. Eine Ausnutzung dieser Schwachstelle kann zur Offenlegung von Anmeldedaten, API-Schlüsseln, TLS-Zertifikaten, Produktionskonfigurationen und kompiliertem Quellcode führen. Eine detaillierte technische Analyse [4] sowie PoC-Exploit-Code [5] sind verfügbar. Die in Gitea integrierte OCI-Container-Registry vor Version 1.26. 2 betroffen sind.

Schätzungsweise ~31.000 Gitea-Instanzen sind weltweit öffentlich zugänglich. Der OPENVAS ENTERPRISE FEED umfasst eine Remote-Banner-Prüfung und eine Remote-Anwendungsprüfung für CVE-2026-20896 [6][7], sowie eine separate Fernüberprüfung des Banners und eine aktive Überprüfung zur Identifizierung von Gitea-Instanzen, die von CVE-2026-27771 betroffen sind [8][9].

CVE-2026-63077: Kritische Sicherheitslücke betrifft JetBrains TeamCity On-Premises

CVE-2026-63077 (CVSS 9,8, EPSS ≥ 47. Perzentil) ermöglicht eine nicht authentifizierte RCE gegen alle früheren Versionen von TeamCity On-Premises. Die Hauptursache ist die Deserialisierung nicht vertrauenswürdiger Daten [CWE-502] im Agent-Polling-Protokoll. Eine erfolgreiche Ausnutzung ermöglicht es einem Angreifer, Befehle mit den Berechtigungen des TeamCity-Serverprozesses auszuführen. Ein Kompromittierung könnte gespeicherte Anmeldedaten offenlegen, Build-Artefakte verändern und nachgelagerte CI/CD-Pipelines gefährden.

Bis zum 1. August 2026 wurden für CVE-2026-63077 keine aktiven Angriffe, kein öffentlicher PoC und keine vollständige technische Offenlegung auf Exploit-Ebene gemeldet. TeamCity wurde jedoch zu KEV-Liste der CISA dreimal aufgenommen, wobei jeder Eintrag mit Ransomware-Angriffen in Verbindung steht. Der OPENVAS ENTERPRISE FEED von Greenbone enthält eine Fernüberprüfung der Banner-Version zur Identifizierung ungepatchter Versionen von TeamCity On-Premises. Unternehmen sollten ein Update auf Version 2025.11.7 oder 2026.1 durchführen. 3 aktualisieren oder die Option für automatische Updates in TeamCity aktivieren. Für Organisationen, die kein Upgrade durchführen können, steht ein Sicherheitspatch zur Verfügung.

CVE-2026-14266: 7-Zip-Sicherheitslücke ermöglicht die Remote-Codeausführung

CVE-2026-14266 (CVSS 7.0) ist eine neu bekannt gewordene Sicherheitslücke, die 7-Zip-Versionen vor 26.02 betrifft. Die Sicherheitslücke ermöglicht es Angreifern, aus der Ferne beliebigen Code auszuführen. Die Ursache ist eine fehlerhafte Verfolgung des beschreibbaren Speicherplatzes im XZ-Decoder, was zu einem heap-basierten Pufferüberlauf [CWE-122] . Bei jedem Aufruf des Decoders wird fälschlicherweise die volle Größe des Ausgabepuffers übergeben, was dazu führt, dass Decoder den verbleibenden beschreibbaren Speicherplatz nach einer Teilausgabe überschätzen. Für die Ausnutzung muss das Ziel ein bösartiges XZ-Archiv öffnen. Die Auswirkung ist die Ausführung von Code mit den Berechtigungen des aktuellen Benutzers.

Es liegen keine Berichte über aktive Ausnutzung vor. Allerdings ist ein detaillierter technischer Bericht mit einem PoC-Exploit-Generator öffentlich verfügbar. Die Existenz eines öffentlichen PoC-Exploit-Generators – selbst in einem frühen Entwicklungsstadium – bedeutet, dass auch weniger erfahrene Angreifer bald in der Lage sein könnten, CVE-2026-14266 für Angriffe in der Praxis auszunutzen. Tatsächlich ist bekannt, dass Schwachstellen in 7-Zip bei Social-Engineering-Cyberangriffen ausgenutzt werden [1][2].

Das deutsche BSI und die italienische nationale CERT-Behörde ACN haben Warnungen zu CVE-2026-14266 herausgegeben [3][4]. Benutzer sollten auf 7-Zip Version 26.02 oder höher aktualisieren. Der OPENVAS ENTERPRISE FEED enthält einen Windows-Registrierungsprüfung, um Systeme zu identifizieren, auf denen 7-Zip installiert ist. CVE-2026-14266 betrifft auch eingebettete 7-Zip-Komponenten in Produkten von Drittanbietern. Greenbone wird weiterhin Linux-Prüfungen zur Paketerkennung sowie weitere anwendungsspezifische Prüfungen hinzufügen, sobald nachgelagerte Anbieter Sicherheitshinweise veröffentlichen.

CVE-2026-53412: Nicht authentifizierte Remote-Kontoübernahme betrifft Zoom Workplace

Zooms Sicherheitshinweise decken neue Schwachstellen auf, die Zoom Workplace und andere zentrale Zoom-Anwendungen betreffen. Das Hauptrisiko stellt CVE-2026-53412 dar, das eine nicht authentifizierte Fernübernahme von Konten ohne Benutzerinteraktion ermöglicht und als Angriff mit geringer Komplexität beschrieben wird. Es wurden keine aktiven Ausnutzungsversuche gemeldet, und es sind keine detaillierten technischen Analysen oder PoC-Exploits öffentlich verfügbar.

• CVE-2026-53412 (CVSS 9,8): Ermöglicht es einem nicht authentifizierten Angreifer aus der Ferne, durch unsachgemäße Eingabevalidierung die Kontrolle über Konten zu übernehmen. CVE-2026-53412 betrifft Zoom Workplace für Windows vor Version 7.0.0 und den Zoom Workplace VDI-Client für Windows vor den entsprechenden behobenen Versionen.
• CVE-2026-53410 (CVSS 7.0): Ermöglicht es einem authentifizierten lokalen Angreifer, über eine „Time-of-Check-to-Time-of-Use“ (TOCTOU)-Race-Condition im Installations- oder Deinstallationsprozess mehrerer Zoom-Windows-Produkte Berechtigungen zu erweitern. Zu den betroffenen Produkten gehören Zoom Workplace, VDI Client, VDI Plugin, Zoom Rooms und Remote Control for Zoom Contact Center für Windows.

Der OPENVAS ENTERPRISE FEED von Greenbone enthält Registrierungsprüfungen zur Identifizierung von Installationen von Zoom Workplace für Windows, die für CVE-2026-53412 anfällig sind [1] oder CVE-2026-53410[2].

Zusammenfassung

Die im Juli 2026 auftretenden Cybersicherheitsrisiken zeigen, dass Angreifer schwerwiegende Schwachstellen in Unternehmensplattformen, Perimeter-Geräten, Entwicklungstools und weit verbreiteten Anwendungen ausnutzen. Angesichts des Drucks durch die sogenannte „Vulnpocolypse“ sollten Sicherheitsteams eine hohe Transparenz gewährleisten und die Patch-Frequenz erhöhen, wobei exponierte Systeme Vorrang haben sollten. Eine mehrschichtige Verteidigung wird entscheidend, sobald Angreifer sich einen ersten Zugriff verschafft haben.

Für Sicherheitsverantwortliche, die Angriffe erkennen und abwehren möchten, bietet eine Testversion von OPENVAS SCAN eine kostenlose zweiwöchige Testversion des OPENVAS ENTERPRISE FEED. Die Cybersicherheitsprodukte sind ein bewährter Weg, um einen umfassenden Einblick zu gewinnen, wo in der Infrastruktur Ihres Unternehmens Software-Schwachstellen bestehen.