CVE-Volumen steigt um 49 %, Validierung von Schwachstellen hat Priorität

Eine Flut neuer Schwachstellen-IDs zwingt Sicherheitsteams dazu, die Validierung von Schwachstellen in den Mittelpunkt ihrer Entscheidung zu stellen, was zuerst behoben wird. In der ersten Hälfte des Jahres 2026 wurden 35.853 CVEs veröffentlicht, etwa 49 % mehr als im Vorjahr, so ein von Picus Security veröffentlichter Sicherheitsartikel auf The Hacker News. Im selben Zeitraum wurden nur 495 dieser CVEs als in freier Wildbahn ausgenutzt katalogisiert, und 116 wurden bereits am Tag der Veröffentlichung ihrer öffentlichen IDs angegriffen. Die von Picus-Security-Forscherin Sila Ozeren Hacioglu vorgestellten Zahlen beschreiben eine wachsende Lücke zwischen Geschwindigkeit und Umfang der Schwachstellenerkennung und der weitaus kleineren Gruppe von Fehlern, die Angreifer tatsächlich nutzen. Die Offenlegungsdaten von Anthropic unterstreichen das Ausmaß des Problems: Seine KI-Modelle der Mythos-Klasse deckten 26.153 Schwachstellenkandidaten in Open-Source-Software auf, während nur 421 dieser Kandidaten Upstream-Patches erhielten.

Das Common Vulnerability Scoring System (CVSS) gibt jedem CVE eine Schweregrad-Basislinie, kann einer Organisation jedoch nicht sagen, was der Fehler in ihrer eigenen Umgebung bedeutet. Derselbe CVE kann auf Hunderten von Assets erscheinen, doch seine Auswirkung ist selten gleich, weil einige Instanzen nicht erreichbar sind, andere hinter Kontrollen liegen, die die Techniken eines Angreifers unterbrechen, und wieder andere auf geschäftskritischen Systemen liegen, wo ein Eindringen schwerwiegend wäre. Deshalb benötigen Verteidiger Beweise aus ihren eigenen Systemen, um drei Dinge zu bestimmen: ob die Exponierung tatsächlich ausnutzbar ist, welche Assets betroffen sind und ob diese Assets erreichbar und für das Unternehmen wichtig sind. Ein hoher oder kritischer CVSS-Score allein ist kein Notfallbefehl. Jede solche Bewertung als dringend zu behandeln, ist nicht nur unmöglich, wenn jährlich Tausende CVEs eintreffen; es ist auch das falsche Modell für die Priorisierung.

Automatisiertes Penetrationstesting, gemeinhin als automatisiertes Pentesting bezeichnet, liefert einige der stärksten verfügbaren Beweise, weil es echte Exploits ausführen, nachweisen kann, dass eine Exponierung in einer Live-Umgebung ausnutzbar ist, und Schwachstellen, Anmeldeinformationen und Fehlkonfigurationen zu Angriffspfaden verketten kann, die zeigen, wie weit ein Angreifer vordringen könnte. Doch seine Abdeckung bleibt in der Praxis begrenzt. Eine Omdia-Studie ergab, dass zwar 95 % der Organisationen Pentesting als Top- oder hohe Priorität einstufen, aber nur 32 % ihrer durchschnittlichen Angriffsfläche jährlich getestet werden. Agentische und automatisierte Ansätze können diese Abdeckung erweitern, beseitigen jedoch nicht jede Einschränkung der Live-Ausnutzung. Für die CVE-basierte Ausnutzung muss ein funktionierender Exploit existieren und das Ziel sicher zu testen sein. Neu offengelegte CVEs haben möglicherweise noch keinen funktionierenden Exploit, während geschäftskritische, eingeschränkte und air-gapped Assets oft gar nicht mit einem Live-Exploit getestet werden können. Diese Exponierungen benötigen dennoch ein Ausnutzbarkeitsurteil, selbst wenn ein automatisiertes Pentest nichts sicher ausführen kann.

Picus argumentiert, dass die Antwort darin besteht, drei Validierungsmethoden zu kombinieren und sie in einen einzigen Entscheidungsprozess einfließen zu lassen. Die Ausnutzbarkeitsvalidierung bestimmt, ob eine Exponierung in Ihrer Umgebung tatsächlich ausnutzbar ist, einschließlich CVEs ohne funktionierenden Exploit und Assets, die durch Live-Ausnutzung nicht sicher erreichbar sind. Die Validierung von Sicherheitskontrollen testet, ob Ihre Präventions- und Erkennungskontrollen den Angriff tatsächlich blockieren, erkennen oder übersehen. Agentisches Pentesting führt sicher echte Exploits aus und verkettet Exponierungen, um zu zeigen, wie weit ein Angreifer in Ihrer spezifischen Umgebung vordringen kann. Diese Methoden beantworten unterschiedliche Fragen unter unterschiedlichen Exponierungsbedingungen, und Picus sagt, dass Mythos-Bereitschaft alle drei Fähigkeiten in einer Plattform erfordert. Das bedeutet nicht, dass jede Exponierung alle drei Methoden durchlaufen muss; das Ziel ist, jede Methode dort anzuwenden, wo sie am besten passt, und die Beweise in denselben Entscheidungsprozess einfließen zu lassen. Wenn die drei Teile als ein Programm arbeiten, kann ein Befund den Validierungsschritt auslösen, den er tatsächlich benötigt, neue Beweise können die Behebungspriorität ändern, und Korrekturen können erneut validiert werden, anstatt in einem geschlossenen Ticket zu verschwinden. Die Gartner-Forschungsnotiz vom Mai weist in dieselbe Richtung: hin zu validierten Angriffspfaden, entscheidungsgetriebener Reaktion und Reduzierung der Exponierung, integriert in operative Arbeitsabläufe.

Für Website-Betreiber und kleinere IT-Teams lautet die praktische Lehre, Schwachstellenwarnungen nicht zu ignorieren, sondern den Schweregrad als Ausgangspunkt und nicht als Notfallbefehl zu behandeln. Ein CVE mit hohem Score in einem Plugin, das Sie nicht verwenden, auf einem Asset, das nicht internetzugewandt ist, sollte nicht dieselbe Reaktion auslösen wie ein Fehler in einer Kernkomponente, der aktiv ausgenutzt wird. Zu prüfen, ob ein funktionierender Exploit existiert, ob Ihr Kontrollstapel den Angriff blockieren würde und ob das betroffene System tatsächlich erreichbar ist, sind alles Validierungsschritte, die vor Notfallwartung durchgeführt werden können. Dies ist besonders relevant für Managed-Hosting-Kunden, die sich oft auf ihren Anbieter verlassen, um zu unterscheiden, welche bekannten Fehler auf ihre Website zutreffen und welche nicht.

Picus wird dieses Arbeitsmodell auf seinem Validation Summit am 14. und 15. Oktober demonstrieren. Die Veranstaltung beginnt mit Mikko Hyppönen, der erklärt, warum dieser Wandel anders ist als frühere. Picus-CTO Volkan Ertürk wird dann darlegen, wie Sicherheitsvalidierung aussehen muss, wenn Angreifer ihre Angriffe mit KI verstärken, und warum Ausnutzbarkeitsvalidierung, Validierung von Sicherheitskontrollen und agentisches Pentesting zusammen besser funktionieren als allein. Das Picus-Team wird einen Live-Validierungsworkflow mit einer neu offengelegten Schwachstelle zeigen: Er beginnt ohne Patch und ohne funktionierenden Exploit, durchläuft die Validierung, bevor ein Proof of Concept existiert, testet den Exploit gegen Live-Kontrollen, sobald er erscheint, und validiert nach der Behebung erneut. Sicherheitsverantwortliche von Chanel, Atlassian und der NFL werden diskutieren, wie reife Sicherheitsteams ihre Validierungsprogramme anpassen, was sie geändert haben und welche Erfolge und Misserfolge sie erlebt haben. Für Teams, die kein vollständiges Validierungsprogramm im Haus betreiben, kann ein sicherheitsorientierter IT- und Beratungspartner wie AEU-I helfen, Sicherheitsprioritäten zu überprüfen und zu entscheiden, welche Exponierungen zuerst Aufmerksamkeit verdienen.