CISA nimmt ausgenutzte Schwachstellen in JFrog, ScreenConnect und RouterOS in KEV-Katalog auf

Die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) hat fünf aktiv ausgenutzte Schwachstellen in ihren Katalog der Known Exploited Vulnerabilities (KEV) aufgenommen. Die neu gelisteten Schwachstellen betreffen JFrog Artifactory, ConnectWise ScreenConnect und MikroTik RouterOS und folgen auf Berichte, wonach Angreifer sie in realen Angriffen einsetzen. Der KEV-Katalog ist eine öffentliche Liste von Sicherheitsschwachstellen, die US-Bundesbehörden und viele private Organisationen zur Priorisierung von Patches nutzen, da eine bestätigte aktive Ausnutzung vorliegt.

Zwei der Schwachstellen betreffen JFrog Artifactory, einen weit verbreiteten Software-Repository-Manager, den viele Entwicklungsteams auf eigenen Servern betreiben, um Codepakete zu speichern und zu verteilen. CVE-2026-42016 hat einen CVSS-Score von 8,1 und ist eine fehlerhafte Autorisierung. Ein Token ist ein digitaler Nachweis, der bestätigt, wer jemand ist und was er tun darf. Diese Schwachstelle bedeutet, dass das System prüft, wer das Token ausgestellt hat, aber nicht, wozu das Token berechtigt ist, sodass ein Angreifer höhere Berechtigungen als vorgesehen erlangen kann – eine Situation, die als Privilegieneskalation bekannt ist. CVE-2026-42018 hat einen CVSS-Score von 7,5 und ist eine fehlerhafte Authentifizierung. Wenn der anonyme Zugriff deaktiviert ist, kann die Software einem nicht authentifizierten Aufrufer dennoch ein internes Anonymous-User-Token zurückgeben, wodurch möglicherweise sensible Ressourcen offengelegt werden.

Frühere Berichte von The Hacker News und dem zu Google gehörenden Sicherheitsanbieter Wiz zeigten, dass Angreifer diese beiden Artifactory-Schwachstellen mit CVE-2026-82329 verketteten, einer kritischen Schwachstelle mit einem CVSS-Score von 9,8, die CISA bereits Anfang dieses Monats in den KEV-Katalog aufgenommen hatte. Zwischen dem 15. August und dem 8. September 2026 nutzten die Angreifer die Kette, um die Authentifizierung zu umgehen, Privilegien zu eskalieren und die Administrator-Kontrolle über selbst gehostete Artifactory-Server zu übernehmen. Wiz erklärte, dass die Post-Exploitation-Aktivitäten das Anlegen persistenter Administrator-Konten, das Bereitstellen bösartiger Groovy-Plugins zur Codeausführung und die Installation Rust-basierter Backdoors umfassten, um langfristigen Zugriff zu behalten. Dies zeigt, dass die Schwachstellen nicht theoretisch sind – Angreifer nutzen sie aktiv, um echte Server zu kompromittieren.

Die dritte neu gelistete Schwachstelle ist CVE-2026-84869, ein hochgradiges Problem in ConnectWise ScreenConnect mit einem CVSS-Score von 9,9. ScreenConnect ist ein Fernzugriffs- und Support-Tool, mit dem Techniker eine Verbindung zu Computern herstellen und diese steuern können. Die Schwachstelle wird als fehlerhafte Privilegienverwaltung und fehlende Autorisierung beschrieben. ConnectWise erklärte, das Problem sei eine Bedingung im ScreenConnect-Client, die es unter bestimmten Umständen ermöglichen könne, Dateien ohne Autorisierung oder Bestätigung durch den Host über eine aktive Remote-Sitzung zu übertragen und auszuführen. Das bedeutet, dass ein Angreifer, der bereits eine aktive Remote-Sitzung hat, eine Datei auf den Rechner schieben und ausführen könnte, ohne dass die Person am anderen Ende dies genehmigt. Der Anbieter sagte, die Schwachstelle betreffe keine ScreenConnect-Server. Huntress dokumentierte drei separate Vorfälle, bei denen Bedrohungsakteure die ScreenConnect-Schwachstelle ausnutzten, um eine bösartige Visual Basic Script (VBScript)-Nutzlast an neu verbundene Systeme zu verteilen. Huntress forderte Organisationen auf, auf ScreenConnect Version 26.6.5 zu aktualisieren.

Die letzten beiden Schwachstellen betreffen MikroTik RouterOS, das Betriebssystem, das auf MikroTik-Routern und anderen Netzwerkgeräten verwendet wird. CVE-2026-67277 hat einen CVSS-Score von 8,8 und ist eine fehlende Authentifizierung für eine kritische Funktion. Sie kann eine Kernel-Speicheroffenlegung und Denial-of-Service im btest-Dienst ermöglichen. CVE-2026-86060 hat einen CVSS-Score von 9,2 und ist eine fehlerhafte Neutralisierung von Argumenttrennzeichen in einem Befehl. Sie kann einem Angreifer ermöglichen, die vertrauenswürdige RouterOS-Richtlinienmaske zu ändern und Privilegieneskalation zu erreichen. Die Richtlinienmaske steuert, welchen Benutzern oder Rollen auf einem RouterOS-Gerät vertraut wird, sodass eine Änderung einem Angreifer höhere Kontrolle geben kann. CISA nahm diese beiden Schwachstellen auf, nachdem CERT Polska letzte Woche berichtet hatte, dass unbekannte Bedrohungsakteure zwei RouterOS-Schwachstellen ausnutzten, um ohne Authentifizierung die Kontrolle über anfällige Geräte zu übernehmen. CERT Polska nannte die Exploit-Kette MikroTrick. Bundesbehörden der Federal Civilian Executive Branch (FCEB) müssen die RouterOS-Schwachstellen bis zum 13. September 2026 patchen, die ScreenConnect-Schwachstelle bis zum 14. September 2026 und die Artifactory-Schwachstellen bis zum 25. September 2026.

Für Website-Betreiber, Unternehmen und IT-Teams ist diese Katalogaktualisierung eine praktische Warnung. Selbst gehostete Software wie Artifactory kann zwischen Entwicklungstools und Produktions-Websites liegen, sodass eine Kompromittierung Angreifern einen Weg zu Code und Daten eröffnen kann. Fernzugriffstools wie ScreenConnect sind für Angreifer wertvoll, weil sie einen legitimen Weg in ein System bieten, sobald Anmeldeinformationen oder eine Sitzung missbraucht werden. RouterOS-Geräte sind oft der erste Netzwerksprung für ein kleines Unternehmen oder ein Remote-Büro, was sie zu einem hochwertigen Ziel für Angreifer macht, die Datenverkehr abfangen oder tiefer in ein Netzwerk eindringen wollen. Da der KEV-Katalog nur Schwachstellen mit bestätigter aktiver Ausnutzung auflistet, bedeutet das Erscheinen dieser fünf Einträge, dass das Patchen als dringend und nicht als Routine behandelt werden sollte. Für Organisationen, die selbst gehostete Anwendungen betreiben oder Fernzugriffstools verwalten, bietet AEU-I sicherheitsorientierte IT, Infrastruktur und Beratung, die Teams dabei helfen kann, Schwachstellen zu verfolgen und Patches anzuwenden, bevor sie Schaden anrichten. Die Überprüfung der Service-Details auf aeu-i.com ist ein guter erster Schritt für Leser, die externe Hilfe beim Patch-Management benötigen.