CISA KEV-Katalog nimmt sieben aktiv ausgenutzte Schwachstellen auf

Die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) hat ihren Katalog bekannter ausgenutzter Schwachstellen (Known Exploited Vulnerabilities, KEV) um sieben neue Sicherheitslücken erweitert, die von Angreifern aktiv ausgenutzt werden, mehrere davon zum Einschleusen von Reverse Shells und Kryptowährungs-Minern. Die Behörde nahm die Ergänzungen am Mittwoch vor, und gemäß der Binding Operational Directive 26-04 müssen Bundesbehörden bis zum 5. September 2026 die Hersteller-Patches installieren, mit Ausnahme von zwei Schwachstellen in Starlette und LiteLLM, für die eine Frist bis zum 16. September 2026 gilt. Der KEV-Katalog ist eine Liste von Schwachstellen mit bestätigter aktiver Ausnutzung, die Organisationen dabei helfen soll, dringende Patches zu priorisieren.

Die ersten vier Ergänzungen betreffen weit verbreitete Netzwerk- und Entwicklungswerkzeuge. CVE-2026-83548 in SonicWall SMA 1000 Appliances ist eine Server-Side Request Forgery (SSRF)-Schwachstelle mit einem maximalen CVSS-Schweregrad von 10,0; sie kann einem entfernten, nicht authentifizierten Angreifer Zugriff auf sensible interne Funktionen ermöglichen. CVE-2026-83549, ebenfalls in SonicWall SMA 1000, ist eine Betriebssystem-Befehlsinjektions-Schwachstelle nach der Authentifizierung mit Bewertung 7,8, die einem authentifizierten Administrator das Ausführen beliebiger Befehle ermöglicht und zu Remote-Code-Ausführung führt. CVE-2026-9586 ist eine SQL-Injection-Schwachstelle in Sangoma Switchvox mit Bewertung 9,3; mit einer einzigen präparierten Anfrage kann ein nicht authentifizierter entfernter Angreifer beliebige SQL-Anweisungen gegen die Backend-relationale Datenbank ausführen, die von vielen Webanwendungen genutzt wird, einschließlich Datenbankoperationen und Remote-Code-Ausführung. CVE-2026-82329 ist eine Schwachstelle bei der Authentifizierung in JFrog Artifactory mit Bewertung 9,8; unter Standardkonfiguration kann ein nicht authentifizierter Angreifer mit Netzwerkzugriff administrative Rechte erlangen. SonicWall erklärte, es habe einen Fall untersucht, der auf eine aktive Ausnutzung der beiden SMA 1000-Schwachstellen hindeutet. Berichte von Horizon3.ai und watchTowr beschreiben unbekannte Bedrohungsakteure, die CVE-2026-9586 und CVE-2026-82329 weaponisieren, um Reverse Shells einzuschleusen und Admin-Token für die anschließende Enumeration von Benutzern, Gruppen, Anmeldeinformationssätzen und föderierten Zugriffstopologien zu erzeugen.

Die verbleibenden drei Ergänzungen umfassen CVE-2026-48710, eine Schwachstelle für HTTP-Request- und Response-Schmuggel in Kludex Starlette mit Bewertung 6,5. Angreifer können Pfade in den Host-Teil einschleusen und den tatsächlichen Pfad voranstellen, wodurch die Authentifizierung umgangen werden kann, wenn die Prüfung vom rekonstruierten URL-Pfad abhängt. Im Juni 2026 berichtete Horizon3.ai, dass diese Schwachstelle mit einer weiteren Berri LiteLLM-Schwachstelle, CVE-2026-42271, mit Bewertung 8,7, verkettet werden kann, um die Authentifizierung zu umgehen und Remote-Code-Ausführung gegen anfällige LiteLLM-Bereitstellungen zu erreichen. Diese LiteLLM-Schwachstelle wurde etwa zur gleichen Zeit ebenfalls in den KEV-Katalog aufgenommen. Das zu Google gehörende Unternehmen Wiz hat Bedrohungsakteure, die mit Qilin-Ransomware (auch Agenda genannt) in Verbindung stehen, mit der aktiven Ausnutzung dieser Kette in Verbindung gebracht. Wiz beobachtete außerdem Ausnutzungsversuche mit CVE-2026-59822 gegen seine Honeypots, um Modell-Enumeration-Endpunkte zu sondieren. CVE-2026-59822 ist eine Schwachstelle bei der Authentifizierung im Model Context Protocol (MCP) Streamable HTTP-Endpunkt von Berri LiteLLM mit Bewertung 8,8; ein nicht authentifizierter Angreifer kann mit einem beliebigen Bearer-Token eine authentifizierte MCP-Sitzung aufbauen. CVE-2026-49869, eine Befehlsinjektions-Schwachstelle in Kestra OSS mit Bewertung 10,0, ermöglicht es einem nicht authentifizierten entfernten Angreifer, ohne Anmeldeinformationen beliebige Workflows zu erstellen und auszuführen.

Microsoft veröffentlichte letzte Woche einen Bericht, der die Kestra-Kompromittierung detailliert beschreibt. Laut Microsoft wurde die Kestra-Schwachstelle wahrscheinlich Ende Juni 2026 von einem Bedrohungsakteur ausgenutzt, um eine Reverse Shell aufzubauen, die Docker-Container-Umgebung zu erkunden, Verteidigungsmaßnahmen zu umgehen, einen Kryptowährungs-Miner einzusetzen und die Datenerfassung zu erleichtern. Microsoft identifizierte vier Angriffspfade: Shell-Ausführung über die Workflow-Engine, Offenlegung der Container-Umgebung durch Docker-Socket-Zugriff, Übernahme von Host-Ressourcen durch Miner-Einsatz und anschließende Sammlung durch Ausführung von Workflow-Aufgaben. Die Angreifer nutzten später ein curl-pipe-shell-Ereignis, um gesammelte Ausgaben zu kodieren und über Kestras eigene Key-Value-Schnittstelle zu speichern, wodurch die Abhängigkeit von eigenständigen Dateiartefakten verringert wurde. Separat berichtete Microsoft, dass böswillige Akteure in LiteLLM-Gateways eindringen, indem sie CVE-2026-42271 und CVE-2026-48710 nutzen, um einen XMRig-Miner über eine ELF-Binärdatei zu liefern, nachdem sie den Host gefingerprintet und konkurrierende Mining-Prozesse beendet haben. Die Angreifer missbrauchen außerdem zuvor gesammelte Datenbankinformationen, um auf die relationale Datenebene der LiteLLM-gestützten Datenbank zuzugreifen und Tabellen wie LiteLLM_ProxyModelTable und LiteLLM_VerificationToken anzusprechen, wobei sie Datensätze zu Modellkonfiguration, Schlüsselmaterial der Upstream-Anbieter, Anbieter-Endpunkten und vom Proxy ausgegebenen virtuellen Schlüsseln sammeln. Die LiteLLM-Angriffskette umfasst Persistenz durch Änderung der Datei mit autorisierten SSH-Schlüsseln, Command-and-Control (C2) und Mechanismen zur Verteidigungsumgehung.

Microsoft und Wiz stellen beide fest, dass die Infrastruktur für künstliche Intelligenz (KI) zu einem lukrativen Ziel für Angreifer geworden ist, die API-Schlüssel stehlen, Zugang zu Backend-Systemen erlangen, Persistenz aufrechterhalten, blinde Prompt-Injection und KI-native Post-Exploitation durchführen und infizierte Hosts durch illegales Kryptowährungs-Mining monetarisieren. Relevante Werkzeuge sind LiteLLM, Flowise, LangChain, Langflow, ChromaDB, Ollama, Marimo und MCP-Server. In einem weiteren Microsoft-Kampagnenbericht wird vermutet, dass Gegner exponierte RAGFlow-Instanzen unter Ausnutzung von Schwachstellen wie CVE-2026-45312, CVE-2026-28797, CVE-2026-24770, CVE-2025-68700 und CVE-2025-69286 angreifen, um Persistenz aufzubauen und Anbieterschlüssel für große Sprachmodelle (LLM) sowie zugehörige Metadaten zu stehlen. Microsoft erklärte, die beobachteten Ziele seien über alle Fälle hinweg konsistent gewesen: Sammlung von Anmeldeinformationen, dauerhafte Zugriffsmechanismen und Monetarisierung von Ressourcen, obwohl die Ausführungspfade je nach Produkt unterschiedlich waren. Das Unternehmen empfahl Verteidigern, KI-Workloads entsprechend ihrer Rolle in der Steuerungsebene zu überwachen und nicht nur als isolierte Anwendungen zu betrachten.

Für Website-Betreiber und IT-Teams sind diese Ergänzungen eine Erinnerung daran, dass selbst gehostete Netzwerkgeräte, Entwicklungs-Repositories, Workflow-Engines und KI-Gateways alle exponierte Angriffsflächen darstellen. Organisationen, die SonicWall, Sangoma, JFrog, Starlette, Kestra, LiteLLM oder RAGFlow betreiben, sollten sofort die Sicherheitsseiten der Hersteller prüfen, Updates installieren, Verwaltungsschnittstellen auf vertrauenswürdige Netzwerke beschränken und auf unerwartete ausgehende Verbindungen oder hohe CPU-Last achten. Für Teams, die für öffentlich zugängliche Geräte oder selbst gehostete KI-Werkzeuge verantwortlich sind, bietet AEU-I eine sicherheitsorientierte IT- und Infrastrukturberatung, die dabei helfen kann, Software gepatcht und überwacht zu halten.