SecBoard
Zurück zur Übersicht
Hoch67 / 100Konfidenz: Hoch
In CISA KEVCVSS8.8EPSS1 %Über Netz erreichbarOhne Anmeldung

Systeme umgehend mit den neuesten Sicherheitspatches aktualisieren und Mitarbeiter für Phishing-E-Mails und verdächtige Links sensibilisieren.

▸Herleitung der Bewertung(5)

Wie der Wert zustande kommt

  • Im CISA-KEV-Katalog: CVE-2026-85046, CVE-2026-87491, CVE-2026-85880+25
  • Hoechster CVSS-Basiswert 8.8+16
  • Hinweis auf verfuegbaren Angriffscode: weaponized+10
  • Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2026-85046, CVSS-Vektor AV:N/PR:N)+10
  • Belegte ATT&CK-Technik zum Erstzugriff+6

Woraus sich die Konfidenz ergibt

  • 3 unabhaengige Herausgeber berichten den Sachverhalt
  • Darunter eine behoerdliche Primaerquelle
  • Strukturierte CVE-Daten aus der NVD vorhanden

Die Konfidenz misst die Belegqualität, nicht die Schwere.

Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik

Chinese Hackers Exploit Chrome-Windows Zero-Day Chain to Deploy CLEANGULP Malware

The Hacker News·
Originalartikel lesen bei The Hacker News

Chinesische Hacker (UTA0565) nutzten Zero-Day-Schwachstellen in Chrome und Windows über gefälschte Websites, um die CLEANGULP-Malware zu verbreiten. Betroffen sind asiatische Regierungsstellen, die mit Phishing-E-Mails getäuscht wurden. Nutzern wird dringend empfohlen, ihre Systeme zu aktualisieren und wachsam bei verdächtigen Links zu sein.

SecBoard-Einordnung

Die Ausnutzung von Zero-Day-Schwachstellen in weit verbreiteter Software wie Chrome und Windows ermöglicht Angreifern, Systeme zu kompromittieren, bevor Patches verfügbar sind. Dies kann zu unbefugtem Zugriff und der Bereitstellung von Malware führen, was die Datensicherheit und Systemintegrität gefährdet.

Realistisch schlimmster Fall: Erfolgreiche Kompromittierung von Regierungsnetzwerken, Datenexfiltration und langfristige Präsenz der CLEANGULP-Malware, die weitere Spionage oder Sabotage ermöglichen könnte.

Im erfassten Bestand

  • ▸CVE-2026-85046 kommt damit in 18 erfassten Meldungen der letzten 90 Tage vor.
  • ▸CVE-2026-85046 stand zum Zeitpunkt dieser Meldung seit 19 Tagen im KEV-Katalog der CISA.

Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.

Key Facts

 

CVE-2026-85046CISA KEV
CVSS
8.8 · HIGH
EPSS
1.5%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
ja
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
im KEV seit
2026-09-04
Patch
unbekannt
Zuweisende CNA
chrome-cve-admin@google.com
CVE-2026-87491CISA KEV
CVSS
8.8 · HIGH
EPSS
1.0%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
ja
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
im KEV seit
2026-09-09
Patch
unbekannt
Zuweisende CNA
chrome-cve-admin@google.com
CVE-2026-85880CISA KEV
CVSS
7.8 · HIGH
EPSS
0.6%
Über das Netz
nein
Anmeldung nötig
ja
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
im KEV seit
2026-09-08
Patch
unbekannt
Zuweisende CNA
secure@microsoft.com

Betroffen

Asiatische Regierungsstellen, die mit Phishing-E-Mails getäuscht wurden.

Hersteller

GoogleMicrosoft

Produkte

Chromium V8WindowsChromeV8Windows 10 1607Windows 10 1809Windows 10 21H2Windows 10 22H2Windows Server 2012Windows Server 2016Windows Server 2019Windows Server 2022
▸ CPE-Rohbezeichner anzeigen (17)
  • cpe:2.3:a:google:chrome:*:*:*:*:*:*:*:*
  • cpe:2.3:a:google:v8:*:*:*:*:*:*:*:*
  • cpe:2.3:o:microsoft:windows_10_1607:*:*:*:*:*:*:x64:*
  • cpe:2.3:o:microsoft:windows_10_1607:*:*:*:*:*:*:x86:*
  • cpe:2.3:o:microsoft:windows_10_1809:*:*:*:*:*:*:x64:*
  • cpe:2.3:o:microsoft:windows_10_1809:*:*:*:*:*:*:x86:*
  • cpe:2.3:o:microsoft:windows_10_21h2:*:*:*:*:*:*:arm64:*
  • cpe:2.3:o:microsoft:windows_10_21h2:*:*:*:*:*:*:x64:*
  • cpe:2.3:o:microsoft:windows_10_21h2:*:*:*:*:*:*:x86:*
  • cpe:2.3:o:microsoft:windows_10_22h2:*:*:*:*:*:*:arm64:*
  • cpe:2.3:o:microsoft:windows_10_22h2:*:*:*:*:*:*:x64:*
  • cpe:2.3:o:microsoft:windows_10_22h2:*:*:*:*:*:*:x86:*
  • cpe:2.3:o:microsoft:windows_server_2012:-:*:*:*:*:*:*:*
  • cpe:2.3:o:microsoft:windows_server_2012:r2:*:*:*:*:*:*:*
  • cpe:2.3:o:microsoft:windows_server_2016:*:*:*:*:*:*:*:*
  • cpe:2.3:o:microsoft:windows_server_2019:*:*:*:*:*:*:*:*
  • cpe:2.3:o:microsoft:windows_server_2022:*:*:*:*:*:*:*:*

Prüfen

3
  • ▸Überprüfen Sie, ob alle Chrome- und Windows-Systeme die neuesten Sicherheitsupdates installiert haben.
  • ▸Führen Sie Phishing-Simulationen durch, um die Wachsamkeit der Mitarbeiter gegenüber verdächtigen E-Mails und Links zu testen.
▸ 1 weitere
  • ▸Implementieren und überprüfen Sie E-Mail-Filterregeln, um Phishing-E-Mails von bekannten bösartigen Absendern oder mit verdächtigen Inhalten zu blockieren.

Offene Punkte

3
▸ anzeigen
  • ▸Die genaue Art der ausgenutzten Zero-Day-Schwachstellen (CVE-IDs) ist im deutschen Artikel nicht spezifiziert.
  • ▸Die spezifischen Funktionen der CLEANGULP-Malware sind nicht detailliert beschrieben.
  • ▸Es ist nicht spezifiziert, welche spezifischen Versionen von Chrome und Windows betroffen sind.

Red-Team-Relevanz

Was heißt das für dein nächstes Assessment?

▸ Einordnung anzeigen
  • Initial Access möglich?Ja
  • Privilege Escalation relevant?Unklar
  • Exploit öffentlich verfügbar?Ja
  • Detection / Logging prüfbar?Ja
  • Für Purple-Team-Szenario geeignet?Ja

Kundenfragen

  • Haben wir Windows extern erreichbar?
  • Können wir Initial Access detektieren?

MITRE ATT&CK(4)

Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.

T1566Phishingzugeordnetabgeleitet

„Betroffen sind asiatische Regierungsstellen, die mit Phishing-E-Mails getäuscht wurden.“

T1068Exploitation for Privilege Escalationzugeordnet

„Zero-Day-Schwachstellen in Chrome und Windows“

T1204User Executionzugeordnet

„Nutzten Zero-Day-Schwachstellen in Chrome und Windows über gefälschte Websites“

T1547Boot or Logon Autostart Executionzugeordnet

„CLEANGULP-Malware zu verbreiten“

Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.

Kill-Chain-Phasen

Wie weit im Ablauf die belegten Techniken liegen — je Technik die früheste Phase.

Auskundschaften

0

›

Bewaffnung

0

›

Zustellung

1

›

Ausnutzung

0

›

Einnistung

0

›

Fernsteuerung

0

›

Zielhandlung

0

Verlauf der Belege

Wann welche Quelle den Vorgang zuerst berichtet hat — nicht der Ablauf des Angriffs selbst.

  1. CERT-FRKontext
    Multiples vulnérabilités dans SPIP (01 septembre 2026)
  2. The Hacker NewsKontext
    Google Releases Chrome Update to Patch Actively Exploited V8 Zero-Day
  3. CISA Current ActivityPrimärbeleg
    CISA Adds One Known Exploited Vulnerability to Catalog

Der Vorgang wird seit 4 Tagen berichtet.

Quellen & Belege· 3 unterschiedliche Quellen

CISA Current ActivityPrimärbelegPUBLICZuverlässigkeit A

Behoerdliche Veroeffentlichung mit Amtspflicht zur Richtigkeit, frei zugaenglich.

The Hacker NewsKontextPUBLICZuverlässigkeit Cdiese Meldung

Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.

CERT-FRKontextUNKNOWN

Quelle nicht eingeordnet.

  • Mindestens eine Quelle ist noch nicht nach Herkunftsklasse eingeordnet.
  • Unabhaengigkeit meint den Herausgeber. Zwei Haeuser, die dieselbe Herstellermeldung nacherzaehlen, gelten hier weiter als zwei Belege.

Verknüpfte Intelligence

Dieselben Entitäten an anderer Stelle auf SecBoard.

ATT&CK-Heatmap

ATT&CK-Heatmap
Vollständigen Artikel lesen bei The Hacker News