Die US-Behörde CISA (Cybersecurity and Infrastructure Security Agency) hat sechs Schwachstellen in ihre Known Exploited Vulnerabilities (KEV)-Katalogliste aufgenommen. In mehreren Fällen gibt es Hinweise auf Ausnutzung im echten Umfeld, darunter eine hochriskante Lücke, die Citrix NetScaler ADC und NetScaler Gateway betrifft.
Damit rückt für Organisationen die Frage in den Fokus, welche Systeme bereits exponiert sind und wie schnell Patches umgesetzt werden können. Im Folgenden finden Sie eine verständliche Einordnung der betroffenen CVEs, was dazu bekannt ist und welche nächsten Schritte sich daraus ableiten lassen.
Warum die KEV-Liste jetzt erweitert wird
CISA nimmt Schwachstellen in die KEV-Liste auf, wenn es Evidenz für eine aktive Ausnutzung gibt. Für Betreiber bedeutet das: Es reicht häufig nicht, nur auf Monitoring oder zusätzliche Detektionssignale zu setzen. Stattdessen sollten Fixes und technische Gegenmaßnahmen priorisiert werden, weil Angreifer solche Lücken gezielt ausnutzen können.
Zusätzlich steht die Veröffentlichung im Kontext weiterer CISA-Arbeiten: Die Behörde veröffentlichte außerdem eine neue Bewertung zur Frage, warum Software unsicher wird, welche Ursachen häufig hinter Schwachstellen stecken und welche praktikablen Maßnahmen Risiken verringern können.
Die sechs neuen KEV-Schwachstellen im Überblick
CISA nennt die folgenden sechs CVEs als Teil der erweiterten KEV-Liste:
- CVE-2019-1068 – Remote Code Execution in Microsoft SQL Server. Ein Angreifer könnte Code im Kontext eines SQL-Server-Dienstkontos ausführen.
- CVE-2026-8452 – Speicherpufferbezogene Schwachstelle in Citrix NetScaler ADC und NetScaler Gateway. Sie kann zu einer Denial-of-Service-Situation führen.
- CVE-2022-0995 – Out-of-Bounds Memory Write in Linux-Kernel. Das kann lokalen Angreifern entweder erhöhte Privilegien verschaffen oder ebenfalls einen Denial of Service auslösen.
- CVE-2015-5287 – Privilege Escalation im Red Hat Automatic Bug Reporting Tool (ABRT) durch einen Symlink-Angriff auf eine Datei mit vorhersehbarem Namen.
- CVE-2015-3246 – Race Condition in Red Hat libuser. Angreifer könnten unter bestimmten Bedingungen die Datei /etc/passwd beschädigen, was zu Denial of Service oder Privilege Escalation führen kann.
- CVE-2021-23758 – Deserialisierung unsicherer Daten in Ajax.NET Professional (AjaxPro). Möglich ist Remote Code Execution über beliebige .NET-Klassen.
Die Mischung zeigt ein typisches Muster: sowohl klassische Web-/Server-Komponenten als auch tiefere System- und Bibliotheksbereiche. Genau solche Kombinationen sind für Angreifer attraktiv, weil sie unterschiedliche Angriffswege eröffnen können.
Aktive Angriffe: Citrix NetScaler im Fokus
Im Zusammenhang mit CVE-2026-8452 warnen Sicherheitsforscher vor laufenden Ausnutzungsversuchen. Laut einer Meldung von Defused Cyber und Previdian (früher KEVIntel) haben Angreifer dabei unter anderem Webshells mit den Namen ‚x.php‘ und ‚z.php‘ abgelegt und anschließend Discovery-Kommandos ausgeführt – etwa um Identitäten zu prüfen oder Systeminformationen abzugreifen.
Solche Schritte passen zu einem häufigen Ablauf: erst Zugriff herstellen, dann mithilfe von Reconnaissance herausfinden, wie die Umgebung aufgebaut ist, und anschließend weitere Aktionen planen. Genau deshalb ist die KEV-Einordnung so relevant: Sie signalisiert, dass die Lücke nicht nur theoretisch, sondern praktisch angegangen wird.
Beobachtete Ausnutzung und Telemetriedaten
CISA berichtet zudem über Telemetriedaten: In den vergangenen 12 Tagen wurden 36 Ausnutzungsversuche von 12 unterschiedlichen Angreifer-IP-Adressen erkannt. Die Quellen wurden unter anderem in Schweiz, Deutschland, Hong Kong, Japan, den Niederlanden, Russland, Singapur, Türkiye, den USA sowie Vietnam verortet.
Für Organisationen heißt das vor allem: Es ist unwahrscheinlich, dass das Problem regional begrenzt ist. Stattdessen sollten Logs, Netzwerkereignisse und Asset-Listen daraufhin überprüft werden, ob Systeme mit den betroffenen Produkten oder Komponenten überhaupt erreichbar sind.
Einordnung weiterer Hinweise: Fokus auf bekannte Gruppen
Die neuen KEV-Einträge für CVE-2022-0995, CVE-2015-5287, CVE-2015-3246 und CVE-2021-23758 stehen außerdem im Zusammenhang mit einem Bericht, der eine chinesische Cybercrime-Gruppe (genannt als UAT-10147) beschreibt. Diese Gruppe soll weltweit Webserver in Windows- und Linux-Umgebungen angreifen und dabei insbesondere die Bildungs-, Medien-, Technologie- und Gaming-Branche ins Visier nehmen.
Auch hier zeigt sich: Angreifer nutzen nicht zwingend brandneue Lücken, sondern greifen bevorzugt zu Schwachstellen, die bereits bekannt sind und in produktiven Umgebungen oft lange liegen bleiben.
Welche Fristen gelten für Behörden
CISA nennt konkrete Zeitpunkte, bis zu denen Federal Civilian Executive Branch-Organisationen (FCEB) Maßnahmen umsetzen sollen. Für CVE-2019-1068 und CVE-2026-8452 gilt der 29. August 2026. Für die übrigen genannten Lücken fordert CISA Fixes bis zum 9. September 2026.
Auch wenn viele Unternehmen außerhalb des Behördenkontexts arbeiten, lohnt sich eine ähnliche Logik: Je näher die Frist, desto stärker sollten Maßnahmen priorisiert werden – inklusive Patchen, Absichern und Verifizieren.
Was CISA über Ursachen von Schwachstellen betont
Neben der reinen Liste macht CISA eine inhaltliche Aussage zu den technischen Ursachen: Die Behörde hat Analysen anhand von CVE-Datensätzen aus 2024 und 2025 ausgewertet. Dabei zeigte sich, dass Injection-Schwachstellen die dominierende Kategorie sind. CISA nennt hierfür 7.701 CVEs in 2024 und 21.019 CVEs in 2025.
Gleichzeitig hebt die Behörde hervor, dass bei den KEV-Einträgen Memory-Safety-Probleme und Fehler bei der Eingabevalidierung überproportional häufig auftreten – gemessen am gesamten CVE-Populationsumfang. Praktisch übersetzt bedeutet das: Bestimmte Klassen von Schwachstellen lassen sich durch saubere Entwicklungsprozesse und solide Validierungslogik deutlich reduzieren.
So gehen Sie jetzt sinnvoll vor
Wenn Sie verhindern wollen, dass aus einer bekannten Schwachstelle ein realer Vorfall wird, helfen diese Schritte in der Praxis:
- Assets identifizieren: Prüfen Sie, welche Systeme Citrix NetScaler ADC/Gateway, SQL Server, Linux-Kernel-Komponenten sowie die genannten Tools/Bibliotheken tatsächlich enthalten.
- Exponierung bewerten: Untersuchen Sie, welche Dienste nach außen erreichbar sind. Besonders Internet-nahe Systeme sollten schnell priorisiert werden.
- Patches priorisieren: Richten Sie Ihre Reihenfolge nach KEV-Einträgen und verfügbaren Updates aus – und testen Sie danach in einem kontrollierten Prozess.
- Detektion ergänzen: Verknüpfen Sie System- und Webserver-Logs mit SIEM/Monitoring. Achten Sie auf Indikatoren, die zu Webshell-Abfragen oder Discovery-Kommandos passen könnten.
- Ursachen adressieren: Fördern Sie Sicherheitsmaßnahmen im Entwicklungsprozess, insbesondere dort, wo Eingaben ungeprüft in kritische Abläufe gelangen.
Wichtig: CISA merkt an, dass es aktuell keine öffentlichen Informationen zur Ausnutzung von CVE-2019-1068 in freier Wildbahn gibt. Das entbindet jedoch nicht von der Patchpflicht, weil Annahmen sich schnell ändern können, sobald Angreifer neue Zugänge finden.
Fazit: KEV ist ein Warnsignal, das jetzt Taten braucht
Mit der Aufnahme von sechs Schwachstellen in die KEV-Liste sendet CISA ein klares Signal: Bestimmte Lücken werden bereits aktiv ausgenutzt, und einige führen schnell zu ernsthaften Folgen – von Remote Code Execution über Privilege Escalation bis zu Denial-of-Service. Besonders CVE-2026-8452 im Umfeld von Citrix NetScaler steht im Fokus laufender Angriffsbemühungen.
Wer jetzt handelt, reduziert das Risiko spürbar. Beginnen Sie mit einer sauberen Inventarisierung der betroffenen Systeme, priorisieren Sie Patches entsprechend der KEV-Einträge und überprüfen Sie anschließend, ob die Umgebung tatsächlich sicherer geworden ist.
Quelle: https://thehackernews.com/2026/08/cisa-adds-six-exploited-flaws-to-kev.html
