BSI DE

Version 1.0: GitLab - Schwachstellen bereits kurz nach Veröffentlichung im Fokus von Angreifern Kritikalität 2 Beschreibung Am 10. September 2026 veröffentlichte GitLab ein Advisory mit Informationen zu verschiedenen Schwachstellen in seiner gleichnamigen DevOps-Plattform. Hierin machte das Unternehmen darauf aufmerksam, dass sowohl Enterprise und Community-Edition von GitLab durch insgesamt 18 Sicherheitslücken angreifbar sind. Gemäß CVSS weisen diese Verwundbarkeiten 2 mal kritische, 6 mal hohe, 9 mal mittlere und einmal einen niedrigen Schweregrad(e) auf. Bereits kurze Zeit später wurden erste Angriffsversuche beobachtet.

Version 1.0: SAP - Kritische Schwachstellen bedrohen verschiedene Anwendungen Kritikalität 2 Beschreibung Am 8. September 2026 veröffentlichte SAP turnusgemäß Informationen zu Schwachstellen und Patches in seinen Produkten im Rahmen des monatlichen Patchdays. Hierin weist das Unternehmen auf insgesamt 19 verschiedene Schwachstellen hin, die verschiedene Produkte und Bibliotheken betreffen. Demnach existiert mit CVE-2026-44756 eine kritische Sicherheitslücke in der SAP Extended Passport Processing (EPP) Bibliothek, die im SAP Kernel verwendet wird. Hiermit könnte es einem Angreifer über manipulierte Netzwerkanfragen gelingen, OS-Befehle auf dem SAP Host unter administrativen Rechten auszuführen und somit eine vollständige Kompromittierung der SAP-Lösung zu erzielen. Die Schwachstelle betrifft mehrere SAP Komponenten und Kommunikations-Protokolle (daher Web Layer, GUI Layer und RFC Layer) und kann ohne Authentifizierung ausgenutzt werden. Weitere Informationen im BSI-IT-Sicherheitshinweis.

Version 1.0: Deutsche Institutionen über TerminalFix-Kampagne kompromittiert Kritikalität 2 Beschreibung Im August 2026 wurde das Bundesamt für Sicherheit in der Informationstechnik (BSI) über die Kompromittierung des Netzwerks einer staatlichen Institution informiert. Anschließende Analysen zeigen, dass der Tathergang mit Beobachtungen von mehrstufigen Angriffen übereinstimmt, die Microsoft kürzlich als TerminalFix-Kampagne in seinem Blog vorgestellt hatte. Beim BSI eingegangene Meldungen weisen zusätzlich darauf hin, dass im Rahmen dieser Angriffe versucht wurde, Ransomware zu installieren und im Rahmen von Double Extortion auch Daten auszuleiten bzw. die Opfer im Anschluss mit der Veröffentlichung zu erpressen. Weitere Informationen finden Sie in der BSI-IT-Sicherheitsmitteilung.

Version 1.0: SonicWall SMA1000 - Schwachstellen werden aktiv ausgenutzt Kritikalität 3 Beschreibung Das IT-Unternehmen SonicWall veröffentlichte am Abend des 1. September 2026 ein Advisory zu zwei Schwachstellen, die seine SMA1000 Produktserie betreffen. Angreifer könnten die Sicherheitslücken nutzen, um Authentisierungs-Mechanismen zu umgehen und aus der Ferne Code auf verwundbaren Systemen auszuführen. Bei den Schwachstellen handelt es sich im Detail um CVE-2026-83548, bewertet mit 10 von 10 nach CVSS 3.0 und CVE-2026-83549 (7.8 von 10). Zusätzlich gab SonicWall an, dass bereits eine Ausnutzung der Verwundbarkeiten beobachtet wird, Weitere Informationen finden Sie in dem BSI-IT-Sicherheitshinweis.

Version 1.1: WordPress - Schwachstellen erlauben Remote Code Execution Kritikalität 3 Beschreibung Am 17.07.2026 wurde seitens WordPress eine Aktualisierung bekannt gegeben [WP26], welche zwei Schwachstellen in der WordPress-Software behebt. WordPress ist ein weit verbreitetes Content Management System (CMS), insbesondere bei Blog-Betreibern und Webshops. Die beiden nun bekannt gewordenen Schwachstellen CVE-2026-60137 und CVE-2026-63030 ermöglichen in Kombination einem nicht-authentifizierten, entfernten Angreifer Code zur Ausführung zu bringen ("Remote Code Execution") und wurden auch als "wp2shell" getauft,. Update 1 (20.07.2026): Im Laufe des Wochenendes sind PoCs veröffentlicht worden, die eine Ausnutzung der vollständigen Schwachstellenkette und damit Angriffe ohne Authentifizierung ermöglichen. Berichte über erste Ausnutzungen existieren ebenfalls.

Version 1.2: SonicWall SMA1000 - Zero-Day Schwachstellen aktiv ausgenutzt Kritikalität 3 Beschreibung Am 14. Juli 2026 veröffentlichte das Unternehmen SonicWall ein Advisory zu seiner SMA1000-Produktserie. Darin führte der Hersteller aus, dass die Modelle 6210, 7210 und 8200v durch zwei neu entdeckte Zero-Day Schwachstellen (CVE-2026-15409, CVE-2026-1541) verwundbar sind. Der Sachverhalt erhält zusätzliche Brisanz, da das Unternehmen im Advisory darauf verweist, dass "zahlreiche Fälle" vorliegen, die auf eine Ausnutzung der Schwachstellen schließen lassen. IT-Sicherheitsverantwortliche werden daher dazu aufgerufen, die Umsetzung von Schutzmaßnahmen sowie eine forensische Untersuchung schnellstmöglich in die Wege zu leiten. Update 1 (16.07.2026): Das IT-Sicherheitsunternehmen Rapid7 hat weitere Details zu den Schwachstellen und beobachteten Angriffen auf SMA1000 Appliances veröffentlicht. Neben den technischen Details wurde auch ein Proof-of-Concept Exploit veröffentlicht, welches die Schwachstelle CVE-2026-15409 ausnutzt, um ohne Authentifizierung Code auf verwundbaren SMA1000 Appliances auszuführen. Eine Ausnutzung durch weitere Akteure ist durch das öffentliche Proof-of-Concept wahrscheinlich. Update 2 (22.07.2026): Am 17. Juli 2026 informierte das IT-Sicherheitsunternehmen Volexity über weitere Erkenntnisse aus den mindestens seit dem 22. Juni 2026 beobachteten Angriffen. Hierzu zählen zusätzliche Indicators of Compromise (IoCs), detaillierte Analysen infizierter Appliances sowie eine Attribuierung. Weitere Informationen finden Sie in dem BSI-IT-Sicherheitshinweis.

Version 1.0: Microsoft SharePoint - Zero-Day und kritische Schwachstellen geschlossen Kritikalität 2 Beschreibung Am 14. Juli 2026 veröffentlichte Microsoft im Rahmen des monatlichen Patchdays Advisories zu mehreren Schwachstellen in verschiedenen Microsoft-Produkten, darunter auch in seiner Kollborationsplattform SharePoint. Von den dort geschlossenen Sicherheitslücken wird eine bereits ausgenutzt, bei drei weiteren geht Microsoft von einer "eher wahrscheinlichen" zukünftigen Ausnutzung aus. Weitere Informationen zu den Schwachstellen sowie Maßnahmen finden Sie im Sicherheitshinweis.

Version 1.0: Auswirkungen auf die Cybersicherheit von Organisationen durch die Entwicklung im Bereich Künstlicher Intelligenz Kritikalität 2 Beschreibung Künstliche Intelligenz verändert die Cybersicherheitslage grundlegend und erfordert neue Maßstäbe in der Reaktionsgeschwindigkeit. Während böswillige Akteure in der Vergangenheit bereits arbeitsteilig auf Künstliche Intelligenz gesetzt hatten – beispielsweise um Phishing-Mails zu verfassen – sind aktuelle KI-Systeme derart leistungsfähig, dass Schwachstellen in Software innerhalb kurzer Zeit sowohl umfassend als auch teilweise autonom erkannt, analysiert und in verwertbare Angriffspfade überführt können. Daraus kann eine Lage entstehen, die Organisationen mit einer erheblich steigenden Zahl neu entdeckter Schwachstellen, Exploits, Patches und Folgevorfällen konfrontiert. Die aktuelle Diskussion konzentriert sich dabei maßgeblich auf die Fähigkeiten von aktuellen KI Top-Modellen, in großem Maßstab Schwachstellen in Quellcode zu identifizieren und Exploit-Code zu liefern. Aber auch in anderen Bereichen, wie dem Reverse Engineering von Binaries, ist bei den Modellen ein Fähigkeiten-Zuwachs zu beobachten. Neben diesen sogenannten Frontier-Modellen (wie bspw. Claude Mythos oder OpenAI GPT-5.5), spielen jedoch ebenso die günstigeren, kleineren LLMs eine Rolle in der Entwicklung der Cybersicherheit. Selbst, wenn einzelne Prognosen mit Vorsicht betrachtet werden müssen, bleibt die strategische Stoßrichtung klar: KI senkt Aufwand, Zeitbedarf und Einstiegshürden für offensive Cyberfähigkeiten maßgeblich. Damit einher geht eine strukturelle Veränderung der Cyberbedrohung. Angreifer profitieren in besonderem Maße von der Geschwindigkeit, Skalierung und Automatisierung. Verteidiger bleiben dagegen an reale Betriebsgrenzen gebunden, etwa durch Testaufwand, Freigabeprozesse, Wartungsfenster für Patches, Herstellerabhängigkeiten, rechtliche und organisatorische Abstimmungen sowie begrenzte personelle Kapazitäten. Um trotz dieser Hürden Schritt zu halten, muss die Angriffsfläche grundsätzlich minimiert werden. Weitere Informationen zu den Veränderungen auf die Cybersicherheit durch die Entwicklung im Bereich der Künstlicher Intelligenz sowie notwendige Maßnahmen zum Umgang mit diesen, finden Sie in der BSI-IT-Sicherheitsinformation (BITS).

Gemeinsamer Sicherheitshinweis (BfV und BSI) - Auskundschaftung schlecht geschützter PV-Anlagen durch staatliche Cyberakteure Kritikalität 1 Beschreibung Dem Bundesamt für Verfassungsschutz (BfV) und dem Bundesamt für Sicherheit in der Informationstechnik (BSI) liegen aktuelle Erkenntnisse vor, denen zufolge russische Cyberbedrohungsakteure aktiv Photovoltaikanlagen aufklären, die ungeschützt mit dem Internet verbunden sind. Im Fokus stehen Monitoring-Systeme, die auch steuernden Zugriff auf die Anlagen erlauben. Die Betreiber der Anlagen sind tendenziell eher Privatpersonen oder Genossenschaften ohne energiewirtschaftlichen Hintergrund. Bei betroffenen Anlagen können unbefugte Dritte zum Teil ohne den Einsatz von Zugangsdaten auf das System zugreifen. Darüber hinaus sind die Softwarestände der Anlagen in Teilen stark veraltet, sodass davon auszugehen ist, dass diese relevante Schwachstellen enthalten.

Version 1.0: cPanel und WHM - Aktiv ausgenutzte Schwachstelle ermöglicht Umgehen der Authentifizierung Kritikalität 3 Beschreibung Am 28. April 2026 veröffentlichte der Hersteller cPanel ein Advisory zu einer kritischen Schwachstelle in der gleichnamigen Hosting-Verwaltungssoftware, welche das Umgehen der Authentifizierung ermöglicht. Kurz darauf wurden technische Details zu der Schwachstelle von dem IT-Sicherheitsunternehmen watchTowr Labs veröffentlicht und das Advisory des Herstellers mit Detektionsmöglichkeiten zur Erkennung von Kompromittierungen ergänzt. Die Schwachstelle mit der Kennung CVE-2026-41940 erlaubt einem entfernten, nicht authentifizierten Angreifer sich unberechtigten Zugriff auf das Control Panel zu verschaffen und wurde demnach mit einem CVSS-Score von 9.8 "kritisch" bewertet. Aktuellen Berichten im Internet zufolge könnte die Schwachstelle bereits seit einigen Wochen als Zero-Day ausgenutzt worden sein, um Zugriff auf Server zu erlangen. Eine Prüfung auf eine vorangegangene Kompromittierung und unberechtigten Zugriff ist daher zwingend notwendig.

Version 1.1: Cisco Firewalls mit persistenter Malware infiziert Kritikalität 3 Beschreibung Am 25. September 2025 veröffentlichte der Hersteller Cisco Advisories zu mehreren Schwachstellen in verschiedenen Produktserien. Davon betroffen sind sowohl die Firewalls Cisco Adaptive Security Appliance (ASA) und Cisco Firewall Threat Defense (FTD) als auch verschiedene Netzwerkkomponenten, die auf den Betriebssystemen Cisco IOS, IOS XE oder IOS XR basieren. Ursächlich sind jeweils unzureichende Input-Validierungen. Die Verwundbarkeiten erhielten die Kennungen CVE-2025-20333 (CVSS: 9.9), CVE-2025-20362 (CVSS: 6.5) und CVE-2025-20363 (CVSS: 9.0). Mit den Advisories gab Cisco auch bekannt, dass die ersten beiden Schwachstellen bereits ausgenutzt werden, was im Zuge beobachteter Kompromittierungen von Cisco ASA Geräten aufgedeckt werden konnte. Diese Angriffe waren bislang jedoch nur auf solchen Geräten erfolgreich, die keine Secure Boot Implementierung vorzuweisen hatten. NCSC-UK hat ebenfalls Details zu den erfolgten Angriffen bekanntgegeben. Update 1 (24.04.2026): Neue Erkenntnisse zu diesem Sachverhalt weisen darauf hin, dass die Täter einen bislang unbekannten Mechanismus zur Realisierung eines persistenten Zugangs nutzen, der auch erhalten bleibt, wenn zwischenzeitlich das Upgrade auf eine der im September 2025 bereitgestellten und bereinigten Versionen durchgeführt wurde. Dieser Mechanismus ist im Cisco Firepower eXtensible Operating System (FXOS) für Cisco Secure Firewall ASA und Cisco Secure FTD verortet. Cisco Talos zeigt in diesem Zusammenhang auf, dass der Akteur UAT-4356 die Angriffe auf Cisco Firepower-Instanzen nach der Veröffentlichung des Patches im September fortgeführt hat. Dabei wurden die bereits bekannten Sicherheitslücken CVE-2025-20333 und CVE-2025-20362 genutzt, um unauthorisierten Zugriff auf den Geräten zu erlangen und die Backdoor FIRESTARTER zu installieren.

Version 1.0: Microsoft Windows IKE - Kritische Schwachstelle gefährdet Windows VPN-Server Kritikalität 2 Beschreibung Im Rahmen seines monatlichen Patchdays veröffentlichte Microsoft am Abend des 14. April 2026 Sicherheitsupdates für eine Vielzahl an Schwachstellen in seinen Produkten, darunter auch für verschiedene als "kritisch" eingestufte Sicherheitslücken, die unterschiedliche Microsoft Produkte betreffen. Besonders hervorzuheben ist in diesem Zusammenhang eine kritische Schwachstelle, welche die Windows Internet Key Exchange (IKE) Service Extensions betrifft. Dieser Dienst befindet sich sowohl auf Windows Servern als auch Clients und stellt einen essenziellen Baustein zum Aufbau von VPN-Verbindungen dar. Das Protokoll IKE ist hier u.a. für den Austausch von Schlüsseln und die Festlegung von Verschlüsselungsalgorithmen zuständig. Mit dem April Patchday macht Microsoft die Schwachstelle CVE-2026-33824 im Windows IKE Dienst bekannt. Diese erlaubt einem nicht-authentifizierten Angreifer die Ausführung von Code aus der Ferne, sofern dieser speziell manipulierte Pakete an ein Windows (Server-)System sendet, auf welchem IKEv2 im Einsatz und von außen erreichbar ist. Nach dem Common Vulnerability Scoring System (CVSS) erhält die Verwundbarkeit entsprechend dieser Charakteristika einen Score von 9.8/10 (CVSS v3.1).

Version 1.0: F5 BIG-IP - Aktive Ausnutzung einer Schwachstelle im Access Policy Manager Kritikalität 2 Beschreibung Am 27. März 2026 gab der Hersteller F5 ein Advisory heraus, in dem Details zu beobachteten Angriffen auf BIG-IP-Instanzen beschrieben wurden. Im Bericht enthalten waren im Wesentlichen Indicators of Compromise (IoCs), anhand derer eine Ausnutzung von CVE-2025-53521 detektiert werden kann. Diese Schwachstelle war ursprünglich im Oktober 2025 veröffentlicht und nach dem Common Vulnerability Scoring System (CVSS) hinsichtlich ihrer Kritikalität als „hoch“ eingestuft worden. Auf Basis der aktuellen Erkenntnisse wurde außerdem bekannt, dass neben den im Oktober prognostizierten Denial-of-Service-Angriffen nun auch Remote Code Execution (RCE)-Szenarien möglich sind. F5 setzte die Bewertung folglich von 8.7 auf 9.3 von 10 bzw. von „hoch“ auf „kritisch“ herauf (CVSS v4.0). Verwundbar sind BIG-IP-Lösungen auf virtuellen Servern mit aktiviertem Access Policy Manager (APM) – inzwischen unter dem Namen Zero Trust Access erhältlich. Akteure könnten hier aus der Ferne und ohne Authentifizierung Angriffe initiieren.

Version 1.0: Trivy - Supply-Chain Angriff führt zu Kompromittierungen in Deutschland Kritikalität 2 Beschreibung Der Open-Source-Schwachstellenscanner Trivy von Aqua Security ist seit dem 19. März 2026 von einem Supply-Chain-Angriff betroffen. Ein Akteur kompromittierte das Repository des Herstellers, um neue, mit Schadcode erweiterte Trivy-Versionen zu verbreiten. Im Detail wurden dabei Trivy v0.69.4 veröffentlicht und 76 von 77 Versionen-Tags in 'aquasecurity/trivy-action' mit Malware zum Diebstahl von Zugangsdaten versehen sowie alle 7 Tags in 'aquasecurity/setup-trivy' durch schädliche Commits ersetzt. Auch schadhafte Docker-Images wurden zwischenzeitlich auf Docker Hub verbreitet. Sollte ein Download von Versionen/Actions in diesem Zeitraum stattgefunden haben, sollte von einer Kompromittierung ausgegangen werden. Alle in diesen Runner-Umgebungen zugänglichen Geheimnisse müssen als abgeflossen angesehen werden.

Version 1.0: Microsoft SharePoint - Angreifer nutzen kritische Schwachstelle aktiv aus Kritikalität 2 Beschreibung Am 18. März 2026 nahm die US-amerikanische CISA eine Schwachstelle in Microsoft SharePoint in ihren Katalog ausgenutzter Sicherheitslücken. Die Existenz der Verwundbarkeit selbst war bereits im Rahmen des Januar-Patchdays am 13.01.2026 durch den Hersteller bekanntgegeben worden, damals allerdings noch ohne Hinweise auf beobachtete Angriffe. CERT-EU veröffentlichte am 25. März ein Advisory und verweist darin auf die Umsetzung der Maßnahmen, die bereits in der ToolShell-Angriffskampagne letztes Jahr empfohlen wurden. Der Schweregrad der Sicherheitslücke mit der Kennung CVE-2026-20963 wird nach dem Common Vulnerability Scoring System (CVSS) mit 9.8 von 10 als "kritisch" eingestuft (CVSS v3.1). Einem Angreifer könnte es bei einer erfolgreichen Ausnutzung gelingen, aus der Ferne Code auf verwundbaren SharePoint-Servern auszuführen und so das System vollständig zu kompromittieren. Während im Januar noch davon ausgegangen wurde, dass Täter hierfür zumindest über ein Konto auf dem Zielsystem verfügen müssen und damit der CVSS-Score bei 8.8 von 10 "hoch" lag, stellte sich nun heraus, dass eine Ausnutzung auch ohne Authentifizierung möglich ist. Microsoft passte das ursprüngliche Advisory auf den kritischen Schweregrad an.

Version 1.1: Citrix NetScaler ADC und Gateway - Schwachstellen gefährden Organisationen Kritikalität 2 Beschreibung Am 23. März 2026 veröffentlichte der Hersteller Citrix ein Advisory zu zwei schwerwiegenden Schwachstellen in Citrix NetScaler ADC (ehemals Citrix ADC) und NetScaler Gateway (ehemals Citrix Gateway). Die im Advisory enthaltene Sicherheitslücke mit der Kennung CVE-2026-3055 wurde nach dem Common Vulnerability Scoring System (CVSS 4.0) mit 9.3 von 10 als "kritisch" bewertet und erlaubt es einem nicht-authentifizierten Angreifer mithilfe einer Out-of-bounds Read-Schwachstelle (CWE-125), potentiell sensible Informationen aus dem Speicher der Appliance auszulesen. Bei der zweiten Verwundbarkeit (CVE-2026-4368), welche hinsichtlich ihrer Kritikalität bei einem CVSS-Score von 7.7 als "hoch" eingestuft wurde, handelt es sich um eine Race-Condition, die zu einer Verwechselung der Benutzersitzungen führen kann. Eine Ausnutzung kann einem authentifizierten Nutzer somit den Zugriff auf die Session eines anderen Nutzers ermöglichen. Wenige Tage nach der Veröffentlichung konnten erste Angriffsversuche beobachtet werden.

Gemeinsamer Sicherheitshinweis (BfV und BSI) - Phishing über Messengerdienste Kritikalität 1 Beschreibung Dem Bundesamt für Verfassungsschutz (BfV) und dem Bundesamt für Sicherheit in der Informationstechnik (BSI) liegen aktuelle Erkenntnisse vor, denen zufolge ein wahrscheinlich staatlich gesteuerter Cyberakteur Phishing-Angriffe über Messengerdienste wie „Signal“ durchführt. Im Fokus stehen hochrangige Ziele aus Politik, Militär und Diplomatie sowie Investigativjournalistinnen und -journalisten in Deutschland und Europa. Charakteristisch für diese Angriffskampagne ist, dass weder Schadsoftware eingesetzt noch technische Schwachstellen der Messengerdienste ausgenutzt werden. Stattdessen bedienen sich die Angreifer legitimer Sicherheitsfunktionen der Anwendungen und kombinieren diese mit Social Engineering. Ziel ist es, unbemerkt Zugriff auf Einzel- und Gruppenchats sowie auf Kontaktlisten der betroffenen Personen zu erlangen. Der aktuelle Schwerpunkt der Angriffe liegt auf dem Messengerdienst „Signal“, wobei vergleichbare Vorgehensweisen aufgrund ähnlicher Funktionsprinzipien auch bei „WhatsApp“ denkbar sind. Weitere Informationen finden Sie in unserem gemeinsamen Sicherheitshinweis.

Version 1.3: Ivanti EPMM - Aktive Angriffe über Zero-Day Schwachstellen beobachtet Kritikalität 3 Beschreibung Am 29. Januar veröffentlichte der Hersteller Ivanti ein Advisory zu zwei kritischen Schwachstellen in seiner Mobilgeräte-Management-Lösung Endpoint Manager Mobile (EPMM), ehemals MobileIron Core. Die Schwachstellen CVE-2026-1281 und CVE-2026-1340 erlauben einem entfernten, nicht-authentifizierten Angreifer die Ausführung von Code und wurden nach dem Common Vulnerability Scoring System (CVSS 3.1) mit einem Score von 9.8 ("kritisch") bewertet. Neben dem möglichen Lateral Movement im verbundenen Netzwerk enthalten EPMM-Appliances auch sensible Informationen über die verwalteten Geräte, die von Angreifern durch die Schwachstellen entwendet werden können. Ivanti gibt an, dass die die Schwachstelle CVE-2026-1281 bereits bei einer begrenzten Anzahl an Kunden ausgenutzt wurde. Update 1: Bereits kurz nach der Veröffentlichung eines Blogbeitrags mit technischen Details sowie eines Proof-of-Concepts des IT-Sicherheitsunternehmens watchTowr Labs am 30. Januar wurde eine Ausnutzung durch weitere Cyberakteure beobachtet. Dem BSI ist bekannt, dass auch deutsche Organisationen Ziel der Angreifer wurden. Betreiber sollten daher proaktiv die Empfehlungen des Herstellers umsetzen – sowohl hinsichtlich Mitigation als auch Detektion – um eine Kompromittierung auszuschließen. Zur Unterstützung bei der Detektion von Angriffen hat Ivanti in Zusammenarbeit mit NCSC-NL ein Erkennungsskript (Exploitation Detection RPM Package) entwickelt, welches auf Appliances nach bekannten Indikatoren (IoCs) sucht. Update 2: Inzwischen wurden weitere Analysen der beobachteten Angriffe veröffentlicht. Demnach variieren die bei den Vorfällen genutzten Payloads und IoCs grundsätzlich. Mehrfach beobachtet wurde jedoch die Kompromittierung von Ivanti EPMM mit .jsp-Dateien, die als In-Memory Class Loader fungieren. Weiterhin liegen dem BSI Hinweise darauf vor, dass eine Ausnutzung der Schwachstelle mindestens seit Sommer 2025 stattgefunden haben könnte. Update 3: Am 12. Februar hat Ivanti in Zusammenarbeit mit NCSC-NL das Erkennungsskript aktualisiert und um neue Indikatoren in der Detektion ergänzt. Betreiber sollten alle nochmals das neue Skript nutzen, um eigene Appliances auf eine Kompromittierung hin zu prüfen.

Version 1.2: Fortinet - Zero-Day Schwachstelle gefährdet Fortinet-Lösungen mit SAML SSO Kritikalität 2 Beschreibung Am 22. Januar 2026 veröffentlichte der Hersteller Fortinet einen Blogbeitrag zu einer aktiv ausgenutzten Schwachstelle in seinen Produkten. Während der Artikel zunächst die zwei ähnlich kritischen Schwachstellen (CVE-2025-59718, CVE-2025-59719) im FortiCloud SSO Login aus Dezember aufgreift – die damals auch mit einem Advisory und Patches adressiert worden waren – weisen neue Erkenntnisse nun darauf hin, dass eine zusätzliche Schwachstelle betreffend sämtlicher SAML SSO-Implementierungen entdeckt und bislang nicht geschlossen worden sein könnte. Die aktuelle Bedrohungslage wird dadurch verschärft, dass an verschiedenen Stellen im Internet bereits Meldungen über Angriffsversuche und Kompromittierungen auftauchen. Diese waren auch dann erfolgreich, wenn die betriebenen Fortinet-Lösungen aktuelle Patchstände aufwiesen – gleichzeitig jedoch nach aktuellen Erkenntnissen nur dann, wenn der Management-Zugang mit FortiCloud SSO exponiert wurde. Update 1: Fortinet hat am 27. Januar 2026 ein Advisory zu einer Schwachstelle in der FortiCloud-SSO Implementierung veröffentlicht. Diese Schwachstelle mit der Kennung CVE-2026-24858 wurde von Fortinet mit einem CVSS3.1-Score von 9.8 ("kritisch") bewertet. Demnach kann ein Angreifer mit FortiCloud-Konto und einem registrierten Gerät, sich bei anderen Geräten anmelden, welche anderen Konten zugeordnet sind, sofern die FortiCloud-SSO-Authentifizierung auf diesen aktiviert wurde. Update 2: Fortinet hat seinen ursprünglichen Blogbeitrag aktualisiert. Demnach sind weitere SAML IdPs von Drittanbietern sowie FortiAuthenticator nicht von der Schwachstelle CVE-2026-24858 betroffen.

Version 1.0: MongoDB - Aktiv ausgenutzte Schwachstelle erlaubt Offenlegung sensibler Daten Kritikalität 2 Beschreibung Am 19. Dezember 2025 veröffentlichte das Unternehmen MongoDB ein Advisory zu einer Schwachstelle in seinem gleichnamigen NoSQL-Datenbankmanagementsystem. Darin informierte der Hersteller über die Schwachstelle mit der Kennung CVE-2025-14847, welche nach dem Common Vulnerability Scoring System mit dem Schweregrad "hoch" (8.7 von 10 nach CVSS 4.0) bewertet wurde. Die Schwachstelle erlaubt es Angreifern ohne Authentifizierung aus der Ferne sensible Informationen aus dem Arbeitsspeicher der MongoDB Instanz auszulesen. Eine erfolgreiche Ausnutzung kann zur Offenlegung sensibler Daten führen, darunter möglicherweise Anmeldeinformationen wie Datenbankpasswörter (im Klartext), API- und/oder Cloud-Schlüssel, Sitzungstoken, personenbezogenen Daten, interne Protokolldaten, Konfigurationen, oder andere sensible Informationen, die im Arbeitsspeicher abgelegt sind. Zu Weihnachten am 26. Dezember wurde ein funktionsfähiges Proof-of-Concept Exploit für CVE-2025-14847 veröffentlicht. Kurz darauf wurde eine aktive Ausnutzung mittels des Exploits beobachtet.

Version 1.0: WatchGuard Firebox - Aktive Ausnutzung einer Zero-Day Schwachstelle Kritikalität 2 Beschreibung Am 18. Dezember 2025 veröffentlichte der Hersteller WatchGuard ein Advisory zu einer bereits ausgenutzten Schwachstelle in den Firewall-Familie Firebox mit WatchGuard Fireware OS. Die Schwachstelle mit der Kennung CVE-2025-14733 erlaubt einem nicht-authentifizierten Angreifer aus der Ferne die Ausführung von Code und wurde nach CVSS_v4.0 mit einem Score von 9.3/10 "kritisch" bewertet. Die Schwachstelle befindet sich im "iked"-Prozess des Fireware-Betriebssystems, der für die Verwaltung von IKEv2-Verbindungen bei VPNs zuständig ist. WatchGuard gibt an, dass bereits Angriffe auf die Firewalls beobachtet wurden.

Version 1.1: Cisco Secure Email - Lösungen werden aktiv angegriffen Kritikalität 2 Beschreibung Am 17. Dezember 2025 veröffentlichte Cisco einen Sicherheitshinweis zu seinen auf AsyncOS basierenden Lösungen Cisco Secure Email Gateway und Cisco Secure Email and Web Manager, ehemals bekannt unter dem Namen Cisco Content Security Management Appliance (SMA). Darin informierte das Unternehmen über beobachtete Cyber-Angriffe auf diese Produkte, die mindestens seit November diesen Jahres nachgewiesen werden konnten. Ausschlaggebend für die Vorfälle ist dabei die Schwachstelle mit der Kennung CVE-2025-20393, die es einem entfernten Angreifer erlaubt, beliebige Befehle mit Root-Rechten auf dem verwundbaren System auszuführen. Nach dem Common Vulnerability Scoring System (CVSS) wurde der Sachverhalt mit 10 von 10 als "kritisch" bewertet. Damit Systeme kompromittiert werden können, muss das Spam Quarantine-Feature einerseits aktiviert und andererseits aus dem Internet erreichbar sein. Dies entspricht jedoch NICHT der Standard-Konfiguration. Update 1: Am 15. Januar 2026 hat Cisco das Advisory um die Verfügbarkeit von Patches für CVE-2025-20393 aktualisiert. Die Patches schließen die ausgenutzte Sicherheitslücke und entfernen – sofern erforderlich – die im Rahmen dieser Angriffskampagne identifizierten und bei einer Kompromittierung möglicherweise installierten Persistenzmechanismen.

Version 1.3 React Server Components - Kritische Schwachstelle bedroht zahlreiche Webanwendungen Kritikalität 3 Beschreibung Am Abend des 3. Dezember 2025 veröffentlichte das Team hinter der Webkomponente React einen Blogbeitrag zur Entdeckung einer Schwachstelle in React Server Components (RSC). Demnach könnte es nicht authentifizierten Angreifern aus der Ferne gelingen, Code auf verwundbaren Systemen auszuführen. In Verbindung mit der vergleichsweise simplen Ausnutzbarkeit erhielt die Sicherheitslücke mit der Kennung CVE-2025-55182 die höchstmögliche Kritikalitätsbewertung nach dem Common Vulnerability Scoring System (CVSS) mit 10 von 10. Zu beachten ist auch, dass die betroffene Komponente RSC in zahlreichen Frameworks und Bundlern zum Einsatz kommt. Update 1: Bereits kurz nach der Veröffentlichung der Schwachstelle konnte AWS detektieren, dass mehrere Akteure versuchen, die Schwachstelle auszunutzen. AWS weist diese Angriffsaktivitäten China-nahen staatliche Akteuren zu. Mittlerweile sind auch funktionsfähige Proof-of-Concept Exploits öffentlich verfügbar. Von Angriffen weiterer Akteure ist daher auszugehen. Update 2: Die Schwachstelle "React2Shell" wird mittlerweile von vielen Akteuren massiv ausgenutzt, um verschiedenste Kompromittierungen vorzunehmen. Von der opportunistischen Installation von Cryptominern und Exfiltration von Zugangsdaten, Integration in Botnetzen, bis hin zur persistenten Kompromittierung mittels ausgereifter Malware wurden Angriffe von verschiedenen IT-Sicherheitsunternehmen beobachtet. In Deutschland allein sind knapp 15.000 Webanwendungen durch die Schwachstelle verwundbar. Update 3: Im Zuge der Aufmerksamkeit für die React2Shell Schwachstelle wurden drei weitere, jedoch deutlich weniger schwerwiegende Sicherheitslücken gefunden und geschlossen. Keine der zusätzlich gefundenen Schwachstellen eignet sich als Patch-Bypass. Die mit React2Shell veröffentlichten Updates schützen somit weiterhin erfolgreich vor der Ausführung von Code mithilfe von CVE-2025-55182, nicht jedoch vor einer DoS-Attacke auf Basis der neuen Sicherheitslücken.

Version 1.1: SonicWall Gen 7 Firewalls - Ransomware-Angriffe beobachtet Kritikalität 2 Beschreibung Am 4. August 2025 bestätigte der Hersteller SonicWall bereits veröffentlichte Berichte anderer Quellen, wonach derzeit Angriffe auf seine Gen 7 Firewalls mit aktiviertem SSLVPN beobachtet werden. Arctic Wolf und Huntress hatten in diesem Zusammenhang zuvor Blogbeiträge herausgegeben, in denen die Kompromittierung von Firewalls mit aktuellen Patch-Ständen und aktivierter Multi-Faktor-Authentisierung seit mindestens Ende Juli beschrieben wird. Den Berichten zufolge sei es Angreifern gelungen, Zugangsdaten zu entwenden, administrativen Zugriff durch über-privilegierte Konten zu erhalten und sich persistenten Zugriff durch neue Nutzer, etablierten SSH Zugriff und weitere Tools zu verschaffen. Ebenso wurde von den Angreifern versucht, eine mögliche Detektion zu vermeiden, indem Sicherheitsfeatures deaktiviert wurden. Anschließend konnten die Täter (Akira) Ransomware ausrollen und weiterführende Angriffe (Lateral Movement) initiieren. Die Existenz der von den Blog-Autoren vermuteten Zero-Day-Schwachstelle konnte SonicWall zum aktuellen Zeitpunkt zwar nicht bestätigen, die Veröffentlichung durch den Hersteller unterstreicht jedoch das derzeit erhöhte Angriffsrisiko. Update 1: Nach neuen Erkenntnissen von SonicWall sei für die Vorfälle mit hoher Wahrscheinlichkeit keine neue Zero-Day-Schwachstelle ausschlaggebend gewesen, sondern die bereits bekannte Sicherheitslücke CVE-2024-40766. Der Hersteller konnte feststellen, dass viele Vorfälle mit einer Migration von Gen 6 auf Gen 7 Firewalls im Zusammenhang stünden, bei denen jedoch – entgegen der Herstellerempfehlung – lokale Benutzerpasswörter nach der Migration nicht geändert worden seien.

Version 1.2: Microsoft SharePoint - Massive Ausnutzung einer Zero-Day Schwachstelle Kritikalität 3 Beschreibung Am 19. Juli 2025 veröffentlichte Microsoft ein Advisory für das Produkt SharePoint. Ursächlich für die Herausgabe waren beobachtete Angriffe auf die eigentlich bereits gepatchten Schwachstellen mit den Kennungen CVE-2025-49704 bzw. CVE-2025-49706, die nun auf modifizierte Weise als CVE-2025-53770 und CVE-2025-53771 ausgenutzt werden. Erste Erkenntnisse hierzu wurden am 19. Juli 2025 vom IT-Sicherheitsunternehmen Eye Security bekannt gemacht. Bei CVE-2025-53770 (basierend auf CVE-2025-49704) handelt es sich um eine nach dem Common Vulnerability Scoring System (CVSS) mit 9.8 von 10 bewertete, kritische Schwachstelle, die einem nicht authentisierten Angreifer die Ausführung von Code aus der Ferne ermöglicht. Die Ausnutzung erfolgte in den beobachteten Attacken in Verbindung mit der Schwachstelle CVE-2025-53771 (basierend auf CVE-2025-49706), eine mit 6.3 ("mittel") bewertete Verwundbarkeit, mit deren Hilfe Spoofing Angriffe über ein Netzwerk initialisiert werden können. Angreifern ist es nach aktuellen Erkenntnissen gelungen, die mit dem Juli-Patchday etablierten Schutzmaßnahmen zu umgehen, sodass die bereits veröffentlichten Sicherheitsupdates nicht mehr ausreichen und eine Installation der Notfall-Updates unbedingt notwendig wird. Eine erfolgreiche Ausnutzung der öffentlich als "ToolShell" bekannten Schwachstellen ermöglicht einem Angreifer MachineKey-Konfigurationsdetails von verwundbaren SharePoint-Servern zu erlangen. Des Weiteren ermöglichen sie Angreifern den vollen Zugriff auf SharePoint-Inhalte, einschließlich Dateisystemen und internen Konfigurationen, sowie die Ausführung von Code. Update 1: Microsoft hat Patches für SharePoint Enterprise Server 2016 veröffentlicht. Update 2: In Deutschland sind noch immer über 80 Microsoft On-Premise SharePoint-Systeme verwundbar (Stand 03.08.2025). Ebenfalls ist dem BSI bekannt, dass trotz End-of-Life (EoL) Status veraltete und durch diverse Schwachstellen angreifbare Versionen weiterbetrieben werden. Der Betrieb ohne die Verfügbarkeit von Sicherheitsupdates stellt im Allgemeinen eine große Gefahr dar. Seit den ersten erkannten Angriffen wurde beobachtet, wie Angreifergruppierungen verschiedene Arten von Ransomware auf verwundbaren SharePoint Servern installieren.

Version 1.1: Citrix NetScaler ADC & NetScaler Gateway - Kritische Sicherheitslücken geschlossen und teils aktiv ausgenutzt Kritikalität 2 Beschreibung Im Verlauf des Juni 2025 veröffentlichte der IT-Hersteller Citrix mehrere Patches für insgesamt drei Sicherheitslücken in seinem Application Delivery Controller NetScaler ADC und NetScaler Gateway – vormals Citrix ADC. Die Verwundbarkeiten weisen dabei unterschiedliche Schweregrade gemäß Common Vulnerability Scoring System (CVSS; 4.0) auf: CVE-2025-6543 wurde mit 9.2 ("kritisch") bewertet und führt zu einem unbeabsichtigtem Kontrollfluss und Denial-of-Service Zustand. Hervorgerufen wird die Schwachstelle durch fehlende Kontrolle über Speichergrenzen bei Pufferoperationen (CWE-119). CVE-2025-5777 wurde mit 9.3 ("kritisch") bewertet. Die Schwachstelle besteht in einer unzureichenden Eingabevalidierung, die zu Speicherüberauslesung (CWE-125) führt. CVE-2025-5349 wurde mit 8.7 ("hoch") bewertet und betrifft eine unzureichende Zugriffskontrolle (CWE-284) auf die NetScaler-Verwaltungsschnittstelle. Zur Ausnutzung der Schwachstellen CVE-2025-6543 und CVE-2025-5777 muss NetScaler als Gateway (VPN virtual server, ICA Proxy, Clientless VPN (CVPN), RDP Proxy) oder AAA Virtual Server konfiguriert sein. Diese Konfiguration ist jedoch üblich. Das Advisory zu CVE-2025-5349 und CVE-2025-5777 gab der Hersteller am 17. Juni 2025 heraus. Auf CVE-2025-6543 wies Citrix jedoch erst am 25. Juni 2025 hin. Gleichzeitig machte das Unternehmen bekannt, dass letztere Schwachstelle bereits aktiv ausgenutzt wird und somit auch die Patches aus der Vorwoche nochmals auf neue Versionen aktualisiert werden müssen, um einen vollständigen Schutz gegen die momentan bekannten Sicherheitslücken zu erreichen. Update 1: Bereits Ende Juni veröffentlichte ReliaQuest einen Blogbeitrag zu einer möglichen beobachteten Ausnutzung von CVE-2025-5777. Nach dem Erscheinen von technischen Details sowie einem Proof-of-Concept Exploit durch watchTowr Labs sowie Horizon3.ai häufen sich die Medienberichte über aktive Ausnutzungen. Demnach scheinen aktive Ausnutzungen von CVE-2025-5777 bereits seit Mitte Juni 2025 stattzufinden. Betreiber von NetScaler sollten daher prüfen, ob eine Kompromittierung (bereits vor dem Patchen) stattgefunden hat.