Eine Woche voller Alarmzeichen: Vertraute Tools werden missbraucht, alte Schwächen bekommen neuen Glanz, und KI senkt für Angreifer offenbar die Einstiegshürde. Dabei klingt vieles spektakulär – in der Praxis dreht sich jedoch fast immer um ein ähnliches Muster: Was erreichbar ist, wird getestet. Was zugelassen wird, wird ausgenutzt. Und was nicht sauber segmentiert oder gepatcht ist, wird zur Eintrittskarte.
Im Mittelpunkt standen diese Woche vor allem KI-gestützte Angriffe gegen industrielle Steuerungssysteme – ergänzt durch aktuelle Ausnutzungen, kompromittierte Abhängigkeiten und mehrere Themen, die zeigen, wie schnell Daten und Zugriffe in falsche Hände geraten können.
KI-gestützte Angriffe auf Siemens-PLCs: Warum das kritisch ist
Die US-Behörden warnen vor KI-gestützten Angriffe auf internetexponierte Siemens-S7-Serien-SPS (Programmable Logic Controllers). Laut den Meldungen richten sich die Aktivitäten gegen Anlagen, die in Bereichen wie Wasser, Energie und Fertigung eingesetzt werden und damit zur kritischen Infrastruktur zählen.
Kern der Gefahr: Angreifer sollen KI nutzen, um Exploit-Skripte zu schreiben und diese als scheinbar legitime Monitoring- oder Diagnose-Tools zu tarnen. Dabei gehen sie nicht blind vor, sondern identifizieren erst Zielsysteme über gängige Such- und Scandienste, etwa Censys und ZoomEye, bevor sie gezielt vorgehen.
Was Angreifer nach der Erkennung vorbereiten
Besonders wichtig: Die Behörden beschreiben, dass Angreifer nicht nur direkt ausnutzen, sondern auch Read-Zugriffe verwenden, um die Zielumgebung zu verstehen. So können sie spätere Write-Aktionen vorbereiten, die dann Störungen, Betriebsbeeinträchtigungen oder andere Folgen auslösen können.
Die Auswirkungen werden als mehrschichtig dargestellt: mögliche Unterbrechungen von Prozessabläufen, Sicherheitsvorfälle, Stillstände oder sogar Schäden an Equipment, zusätzlich zu Datenkompromittierung und Compliance-Verstößen. Und weil solche Systeme oft in Ketten mit anderen Komponenten verbunden sind, kann der Schaden auch „weiterlaufen“.
Wer hinter der Aktivität steckt, ist derzeit nicht bekannt. Für Unternehmen und Betreiber ist der Punkt dennoch klar: Wenn SPS-Systeme unzureichend abgesichert oder segmentiert sind, wird aus „nichts scheint ungewöhnlich“ schnell ein konkreter Vorfall.
GitLab-Schwachstelle wird offenbar früh ausgenutzt
Neben der Industrie-Komponente gab es auch ein IT-Thema, das in kurzer Zeit nach Bekanntwerden aktiv angegriffen wurde: Eine Schwachstelle in GitLab mit hoher Schwere (CVE-2026-19478, CVSS 9.4). Laut den verfügbaren Informationen handelt es sich um einen Fall von Code Injection.
Die Lücke soll es – unter bestimmten Bedingungen – ermöglichen, öffentlich zugängliche GitLab-Projekte zu verändern oder zu löschen, ohne dass Angreifer sich per Credentials oder mit Nutzerinteraktion durchsetzen müssen. Für Administratoren ist das vor allem deshalb relevant, weil die Komplexität nicht bei „Account-Capture“ liegt, sondern bei der direkten Manipulation von Ressourcen.
Trojanisierte npm-Pakete und ein Linux-Implant namens RedC2
Ein weiterer Schwerpunkt: 14 npm-Pakete wurden als „trojanisiert“ identifiziert. Sie sollen sich nach außen wie harmlose Kalender- und Streak-Utilities verhalten, aber darauf ausgelegt sein, einen Linux-Backdoor zu liefern.
Als Ziel steht dabei ein KI-gestütztes bzw. KI-betriebenes Implant namens RedC2 4.0 im Raum. Der Kontext: RedC2 4.0 wird in Untergrundforen als plattformübergreifendes Toolkit beschrieben, das u. a. Überwachung, Credential Theft, Payload-Loading und massenhaftes Vorgehen ermöglicht.
Wichtig ist hier weniger das Marketing um den Namen, sondern die Vorgehensweise: Wer Abhängigkeiten ungeprüft einbindet, kann Sicherheitsrisiken in die eigene Lieferkette holen. Das macht „mal eben installieren“ zur potenziellen Angriffsfläche.
Zombie Card Attack: Ablaufdaten umgehen bei kontaktlosen Zahlungen
Auch aus dem Zahlungsumfeld kam Forschung: Ein „Zombie Card“-Angriff soll es ermöglichen, kontaktlose Zahlungen mit physisch abgelaufenen Visa-Karten durchzuführen. Die Idee basiert darauf, kryptografische Prüfungen zu umgehen, indem per Smartphone-Relay die an das POS-Gerät übermittelte Ablaufinformation manipuliert wird.
Laut den Angaben haben die Forscher bei vielen Banken-Erfolgsversuchen insbesondere den Consumer Device Cardholder Verification Method (CDCVM)-Flag angepasst. Gleichzeitig gibt es keine Hinweise auf eine Nutzung in freier Wildbahn. Dennoch zeigt das Beispiel: Auch vermeintlich „statische“ Sicherheitsannahmen rund um Kartenparameter können neu bewertet werden.
Weitere Beobachtungen: Phishing per Authentifizierungs-Flows, JWT-Leaks und mehr
Mehrere Meldungen verdeutlichen außerdem, wie vielfältig der Weg zum Ziel ist:
- Russische Spionageclusters sollen legitime Authentifizierungsabläufe nutzen, um ausgewählte Personen in Bereichen wie Akademie, Luft- und Raumfahrt, Verteidigung sowie Behörden ins Visier zu nehmen. Ergänzend werden persistente, anpassungsfähige Phishing-Kampagnen sowie Social-Engineering-Methoden beschrieben.
- Bei Cloudflare Workers wurde ein entfernter Spectre-Angriff gefunden, der in einer Produktionsumgebung ein JSON Web Token (JWT) leaken kann – mit einer im Vergleich zu früheren Demonstrationen höheren Rate.
- Bei PTC Windchill/FlexPLM-Angriffen setzt die kriminelle Gruppe offenbar auf maßgeschneiderte Web Shells. Solche Mechanismen sollen u. a. sensible Daten auswerten und weitere Aktionen per eigener Klassenlade-Logik ausführen können.
- Zuletzt gab es auch Hinweise auf eine Schwachstelle in Unisoc T612-Modem-Firmware, die in Kombination mit einer weiteren Remote-Code-Execution-Lücke zu erhöhten Rechten bis in Kernel-Kontexte führen könnte.
Gemeinsam haben diese Meldungen: Angriffsketten entstehen oft aus einer Mischung, die für sich allein betrachtet „machbar“ wirkt – aber in Kombination gefährlich wird.
Trending CVEs: Welche Patches jetzt Priorität haben
Wenn Sie diese Woche nur eine Sache tun, dann: patchen – und zwar gezielt. Die Übersicht nennt eine Reihe von CVEs mit hoher Priorität. Dabei fallen besonders bekannte und weit verbreitete Produkte und Komponenten auf.
Zu den genannten Beispielen zählen unter anderem:
- CVE-2026-15748 (Forminator Forms), CVE-2026-73570 (Zimbra), CVE-2026-64849 (MLflow) sowie CVE-2026-32475 (Elementor Pro).
- CVE-2026-19478 (GitLab) und diverse weitere Einträge rund um Cisco, Atlassian Bamboo Data Center und Splunk.
- Mehrere Browser-Positionen, darunter Einträge für Mozilla Firefox und Thunderbird, sowie Google Chrome.
- Weitere Plattformen und Produkte wie Keycloak, Spring Security (in der UnboundID LDAP-Umgebung), Microsoft-Komponenten sowie Authentik.
Die Liste ist lang, aber der Grundgedanke ist simpel: Der Zeitraum zwischen Patch und aktivem Exploit ist offenbar kurz genug, dass Sie nicht auf „Wartet mal ab“ setzen sollten. Arbeiten Sie deshalb nach Risiko: öffentlich erreichbare Systeme zuerst, dann die Plattformen mit der größten Nutzer- und Integrationsdichte.
Leitgedanke für Ihre Sicherheitsarbeit: Nicht „alles fällt“, sondern „das eine“
Die Quintessenz dieser Woche lässt sich in einen Satz packen: Angreifer brauchen selten „alles“. Oft reicht ein einzelner aus dem Raster fallender Punkt – ein offenstehender Dienst, eine vertrauenswürdige Abkürzung oder eine übersehene Abhängigkeit.
Statt sich nur zu fragen, welches „nächste große Ding“ kommt, lohnt sich die Gegenfrage: Welche Annahmen über Vertraulichkeit, Segmentation oder Patch-Status treffen bei Ihnen in der Realität noch zu? Genau dort liegt häufig das frühe Signal, bevor es zum Incident wird.
Fazit
KI-gestützte Angriffe sind diese Woche nicht nur ein Schlagwort, sondern werden konkret mit Zielgruppen verknüpft – inklusive industrieller Steuerungstechnik. Gleichzeitig zeigen GitLab-Ausnutzung, trojanisierte npm-Pakete und die Hinweise aus dem Umfeld von Leaks und Web Shells, dass Angriffe oft entlang bestehender Wege entstehen: Zugriff, Ausnutzung, Ausweitung.
Wenn Sie jetzt Prioritäten setzen, dann starten Sie bei erreichbaren Systemen, aktualisieren Sie kritische Komponenten und prüfen Sie Lieferketten-Abhängigkeiten. So reduzieren Sie die Wahrscheinlichkeit, dass aus einer „normalen Woche“ sehr schnell ein Sicherheitsvorfall wird.
Quelle: https://thehackernews.com/2026/08/weekly-recap-ai-powered-plc-attacks.html
