CISA meldet sieben ausgenutzte Schwachstellen nach Reverse-Shell- und Miner-Angriffen

Die US-amerikanische Behörde für Cybersicherheit und Infrastruktursicherheit (CISA) hat sieben Sicherheitslücken zu ihrem Katalog bekannter ausgenutzter Schwachstellen (KEV) hinzugefügt, einer öffentlichen Liste von Schwachstellen, die aktiv ausgenutzt werden und dringend gepatcht werden müssen. Die Schwachstellen betreffen weit verbreitete Produkte wie SonicWall SMA 1000 Appliances, Sangoma Switchvox, JFrog Artifactory, Kludex Starlette, Kestra OSS und Berri LiteLLM. Jede hat einen Common Vulnerability Scoring System (CVSS)-Score, eine Zahl von 0 bis 10, die den Schweregrad bewertet, wobei 10 am kritischsten ist. Die schwerwiegendsten sind CVE-2026-83548 in SonicWall SMA 1000 (CVSS 10.0), eine Server-Side Request Forgery-Schwachstelle, die es einem nicht authentifizierten Remote-Angreifer ermöglichen könnte, auf sensible Funktionalitäten zuzugreifen und unbefugte Operationen durchzuführen; CVE-2026-49869 in Kestra OSS (CVSS 10.0), eine OS-Command-Injection-Schwachstelle, die es einem nicht authentifizierten Remote-Angreifer ermöglichen könnte, ohne Anmeldeinformationen beliebige Workflows zu erstellen und auszuführen; und CVE-2026-82329 in JFrog Artifactory (CVSS 9.8), eine Schwachstelle in der Authentifizierung, die es unter Standardkonfiguration einem nicht authentifizierten Angreifer mit Netzwerkzugriff ermöglichen könnte, administrative Privilegien zu erlangen. Ebenfalls hinzugefügt wurden CVE-2026-83549 in SonicWall SMA 1000 (CVSS 7.8), eine Command-Injection-Schwachstelle nach der Authentifizierung, die es einem remote authentifizierten Administrator ermöglicht, beliebige OS-Befehle auszuführen; CVE-2026-9586 in Sangoma Switchvox (CVSS 9.3), eine SQL-Injection-Schwachstelle, die eine nicht authentifizierte Ausführung beliebiger SQL-Anweisungen gegen eine Backend-Relationaldatenbank ermöglicht, die von vielen Webanwendungen genutzt wird; CVE-2026-48710 in Kludex Starlette (CVSS 6.5), eine HTTP-Request/Response-Schwachstelle, die eine Authentifizierungsumgehung verursachen könnte, wenn die Authentifizierung von einem rekonstruierten URL-Pfad abhängt; und CVE-2026-59822 in Berri LiteLLM (CVSS 8.8), ein Problem mit der Authentifizierung im Model Context Protocol (MCP) Streamable HTTP-Endpunkt, das es einem nicht authentifizierten Angreifer ermöglichen könnte, eine authentifizierte Sitzung mit einem beliebigen Bearer-Token aufzubauen.

Die Ergänzungen erfolgen, nachdem SonicWall offengelegt hatte, dass es einen Fall untersucht hat, der auf eine aktive Ausnutzung von CVE-2026-83548 und CVE-2026-83549 hindeutet. Berichte von Sicherheitsfirmen Horizon3.ai und watchTowr beschrieben unbekannte Bedrohungsakteure, die CVE-2026-9586 in Sangoma Switchvox und CVE-2026-82329 in JFrog Artifactory ausnutzten, um Reverse Shells einzusetzen – Werkzeuge, die einen kompromittierten Rechner dazu bringen, den Angreifer zurückzurufen, damit dieser Befehle remote senden kann – und um Admin-Token für die anschließende Aufzählung von Benutzern, Gruppen, Anmeldedatensätzen und föderierten Zugriffstopologien zu erstellen. Für CVE-2026-48710 in Starlette ergab ein Bericht von Horizon3.ai vom Juni 2026, dass die Schwachstelle mit einer anderen Berri-LiteLLM-Schwachstelle, CVE-2026-42271 (CVSS 8.7), verkettet werden könnte, um die Authentifizierung zu umgehen und Remote-Codeausführung gegen anfällige LiteLLM-Bereitstellungen zu erreichen, die zur Verwaltung des Zugriffs auf Large-Language-Model-Dienste verwendet werden. CVE-2026-42271 wurde etwa zur gleichen Zeit zum KEV-Katalog hinzugefügt. Das Google-eigene Unternehmen Wiz brachte Bedrohungsakteure, die mit der Ransomware Qilin, auch bekannt als Agenda, in Verbindung stehen, mit der aktiven Ausnutzung dieser Kette in Verbindung und gab an, Ausnutzungsversuche im Zusammenhang mit CVE-2026-59822 gegen seine Honeypots beobachtet zu haben – Täuschungssysteme, die Angreifer anlocken sollen, um Modell-Enumeration-Endpunkte zu testen.

Die Aufnahme von CVE-2026-49869 in Kestra OSS wurde durch einen Microsoft-Bericht von letzter Woche veranlasst. Microsoft sagte, die Schwachstelle wurde wahrscheinlich von einem Bedrohungsakteur Ende Juni 2026 ausgenutzt, um eine Reverse Shell einzurichten, Docker-Container-Umgebungsermittlung durchzuführen, Verteidigungsumgehung zu betreiben, einen Kryptowährungs-Miner einzusetzen und Daten zu sammeln. Docker ist eine Plattform, die Anwendungen in isolierte Container verpackt, und Kestra ist ein Open-Source-Workflow-Orchestrierungstool. Microsoft skizzierte vier Auswirkungspfade aus der Kestra-Kompromittierung: Shell-Ausführung über die Workflow-Engine, Container-Umgebungs-Exposition durch Docker-Socket-Zugriff, Host-Ressourcen-Hijacking durch Miner-Bereitstellung und Folge-Sammlung durch Workflow-Task-Ausführung. Der Bericht stellte außerdem fest, dass ein späteres curl-pipe-shell-Ereignis gesammelte Ausgaben codierte und über Kestras eigene Schlüssel-Wert-Schnittstelle speicherte, wodurch die Abhängigkeit von eigenständigen Datei-Artefakten verringert wurde.

Microsoft beschrieb separat bösartige Akteure, die in LiteLLM-Gateways eindrangen, indem sie CVE-2026-42271 und CVE-2026-48710 nutzten, um einen XMRig-Miner zu liefern – ein Programm, das die Kryptowährung Monero schürft – über eine ELF-Binärdatei, das Standard-ausführbare Dateiformat unter Linux. Vor der Bereitstellung des Miners untersuchten die Angreifer den Host und beendeten konkurrierende Mining-Prozesse. Sie missbrauchten auch zuvor gesammelte Datenbankinformationen, um auf die LiteLLM-gestützte relationale Datenbank-Datenschicht zuzugreifen und auf Tabellen mit den Namen LiteLLM_ProxyModelTable und LiteLLM_VerificationToken abzuzielen. Von dort sammelten sie Datensätze mit Modellkonfiguration, Upstream-Provider-Schlüsselmaterial, Provider-Endpunkten und vom Proxy ausgegebenen virtuellen Schlüsseln. Die Angriffskette umfasste auch Persistenz durch Modifikation der authorized_keys-Datei, die für SSH-Anmeldungen verwendet wird, Command-and-Control-Kommunikation und Verteidigungsumgehungsmechanismen. Microsoft und Wiz sagten, diese Angriffe zeigen, dass KI-Infrastruktur, einschließlich LiteLLM, Flowise, LangChain, Langflow, ChromaDB, Ollama, Marimo und MCP-Server, ein lukratives Ziel geworden ist, um API-Schlüssel zu stehlen, Zugang zu Backend-Systemen zu erhalten, Persistenz aufrechtzuerhalten, blinde Prompt-Injectionen durchzuführen, KI-native Post-Exploitation zu betreiben und infizierte Hosts durch illegales Kryptowährungs-Mining zu monetarisieren. API-Schlüssel sind geheime Token, die Anwendungen verwenden, um den Zugriff auf Dienste zu verifizieren.

In einer weiteren von Microsoft dokumentierten Kampagne werden Angreifer verdächtigt, exponierte RAGFlow-Instanzen auszunutzen, die Open-Source-Plattformen für Retrieval-Augmented Generation sind, unter Verwendung der Schwachstellen CVE-2026-45312, CVE-2026-28797, CVE-2026-24770, CVE-2025-68700 und CVE-2025-69286. Das Ziel in diesen Fällen war es, Persistenz aufzubauen und Schlüssel von Large-Language-Model-Anbietern (LLM) sowie zugehörige Metadaten zu stehlen. Microsoft sagte, die beobachteten Ziele waren über die Fälle hinweg konsistent; die Telemetrie zeigte Anmeldedaten-Sammlung, dauerhafte Zugriffsmechanismen und Ressourcen-Monetarisierung, obwohl sich der Ausführungspfad je nach Produkt unterschied. Das Unternehmen riet Verteidigern, KI-Workloads gemäß ihrer Kontrollebenen-Rolle zu überwachen, nicht nur als isolierte Anwendungen.

Gemäß der bindenden operativen Richtlinie 26-04 wird den Behörden der zivilen Bundesverwaltung empfohlen, Patches für alle neu hinzugefügten Schwachstellen bis zum 5. September 2026 anzuwenden, mit Ausnahme von CVE-2026-48710 und CVE-2026-59822. Die Behörden haben bis zum 16. September 2026 Zeit, die Starlette- und LiteLLM-Schwachstellen zu beheben. Für Website-Besitzer, Unternehmen und IT-Teams ist die Lektion, dass internetzugängliche Software schnell gepatcht und auf Anzeichen von Missbrauch überwacht werden muss, wie unerwartete hohe CPU-Auslastung, unbekannte Prozesse oder ungewöhnliche ausgehende Verbindungen. Für Website-Betreiber, die die Last des Patchens und Härtens lieber auslagern möchten, bietet AEU Hosting