Mittel21 / 100Konfidenz: Mittel

EPSS0.6 %

Aktualisieren Sie alle CISA Malcolm-Instanzen umgehend auf die neueste Version (September 2026 oder später).

▸Herleitung der Bewertung(3)

Wie der Wert zustande kommt

Hinweis auf verfuegbaren Angriffscode: public exploit+10
Belegte ATT&CK-Technik zum Erstzugriff+6
Betrifft KRITIS-nahe Branche: energie+5

Woraus sich die Konfidenz ergibt

Nur ein Herausgeber — keine Gegenlesung
Darunter eine behoerdliche Primaerquelle

Die Konfidenz misst die Belegqualität, nicht die Schwere.

Einschränkungen

Fuer 15 erkannte CVE(s) liegt noch kein CVSS-Basiswert vor (NVD-Rueckstau).

Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.· 2026-10-01 12:00 UTCMethodik

Energie & Versorger Web Security

CISA Malcolm

ICS-CERT Advisories·1. Oktober 2026, 12:00

Originalartikel lesen bei ICS-CERT Advisories

Betroffen sind ältere Versionen von CISA Malcolm (vor September 2026) weltweit, insbesondere in kritischen Infrastrukturbereichen wie Energie und IT. Angreifer können durch mehrere Schwachstellen, darunter Cross-Site Scripting und OS Command Injection, unautorisierten Zugriff erlangen, Daten manipulieren oder Systembefehle ausführen. Nutzern wird dringend empfohlen, ihre Malcolm-Instanzen auf die neueste Version (September 2026 oder später) zu aktualisieren, um diese Sicherheitslücken zu schließen.

SecBoard-Einordnung

Diese Schwachstellen können unautorisierten Zugriff ermöglichen, was zu Datenmanipulation oder der Ausführung von Systembefehlen führen kann, wodurch die Integrität und Verfügbarkeit kritischer Systeme gefährdet wird.

Realistisch schlimmster Fall: Angreifer könnten vollständige Kontrolle über betroffene CISA Malcolm-Instanzen erlangen, kritische Infrastruktursysteme kompromittieren und weitreichende Betriebsunterbrechungen oder Datenverluste verursachen.

Key Facts· 12 / 15

Nach Dringlichkeit sortiert: KEV-Eintrag, dann CVSS, dann EPSS. Vollstaendige Liste im Meldungstext.

CVE-2026-90443

CVSS: unbekannt
EPSS: 0.6%
Über das Netz: unbekannt
Anmeldung nötig: unbekannt
Nutzerinteraktion nötig: unbekannt
Angriffskomplexität: unbekannt
Beeinträchtigt: unbekannt
Patch: unbekannt
Zuweisende CNA: ics-cert@hq.dhs.gov

CVE-2026-90449

CVSS: unbekannt
EPSS: 0.5%
Über das Netz: unbekannt
Anmeldung nötig: unbekannt
Nutzerinteraktion nötig: unbekannt
Angriffskomplexität: unbekannt
Beeinträchtigt: unbekannt
Patch: unbekannt
Zuweisende CNA: ics-cert@hq.dhs.gov

CVE-2026-90451

CVSS: unbekannt
EPSS: 0.5%
Über das Netz: unbekannt
Anmeldung nötig: unbekannt
Nutzerinteraktion nötig: unbekannt
Angriffskomplexität: unbekannt
Beeinträchtigt: unbekannt
Patch: unbekannt
Zuweisende CNA: ics-cert@hq.dhs.gov

CVE-2026-90445

CVSS: unbekannt
EPSS: 0.5%
Über das Netz: unbekannt
Anmeldung nötig: unbekannt
Nutzerinteraktion nötig: unbekannt
Angriffskomplexität: unbekannt
Beeinträchtigt: unbekannt
Patch: unbekannt
Zuweisende CNA: ics-cert@hq.dhs.gov

CVE-2026-90447

CVSS: unbekannt
EPSS: 0.5%
Über das Netz: unbekannt
Anmeldung nötig: unbekannt
Nutzerinteraktion nötig: unbekannt
Angriffskomplexität: unbekannt
Beeinträchtigt: unbekannt
Patch: unbekannt
Zuweisende CNA: ics-cert@hq.dhs.gov

CVE-2026-90456

CVSS: unbekannt
EPSS: 0.4%
Über das Netz: unbekannt
Anmeldung nötig: unbekannt
Nutzerinteraktion nötig: unbekannt
Angriffskomplexität: unbekannt
Beeinträchtigt: unbekannt
Patch: unbekannt
Zuweisende CNA: ics-cert@hq.dhs.gov

CVE-2026-90444

CVSS: unbekannt
EPSS: 0.4%
Über das Netz: unbekannt
Anmeldung nötig: unbekannt
Nutzerinteraktion nötig: unbekannt
Angriffskomplexität: unbekannt
Beeinträchtigt: unbekannt
Patch: unbekannt
Zuweisende CNA: ics-cert@hq.dhs.gov

CVE-2026-90453

CVSS: unbekannt
EPSS: 0.4%
Über das Netz: unbekannt
Anmeldung nötig: unbekannt
Nutzerinteraktion nötig: unbekannt
Angriffskomplexität: unbekannt
Beeinträchtigt: unbekannt
Patch: unbekannt
Zuweisende CNA: ics-cert@hq.dhs.gov

CVE-2026-90446

CVSS: unbekannt
EPSS: 0.4%
Über das Netz: unbekannt
Anmeldung nötig: unbekannt
Nutzerinteraktion nötig: unbekannt
Angriffskomplexität: unbekannt
Beeinträchtigt: unbekannt
Patch: unbekannt
Zuweisende CNA: ics-cert@hq.dhs.gov

CVE-2026-90448

CVSS: unbekannt
EPSS: 0.4%
Über das Netz: unbekannt
Anmeldung nötig: unbekannt
Nutzerinteraktion nötig: unbekannt
Angriffskomplexität: unbekannt
Beeinträchtigt: unbekannt
Patch: unbekannt
Zuweisende CNA: ics-cert@hq.dhs.gov

CVE-2026-90450

CVSS: unbekannt
EPSS: 0.4%
Über das Netz: unbekannt
Anmeldung nötig: unbekannt
Nutzerinteraktion nötig: unbekannt
Angriffskomplexität: unbekannt
Beeinträchtigt: unbekannt
Patch: unbekannt
Zuweisende CNA: ics-cert@hq.dhs.gov

CVE-2026-90454

CVSS: unbekannt
EPSS: 0.4%
Über das Netz: unbekannt
Anmeldung nötig: unbekannt
Nutzerinteraktion nötig: unbekannt
Angriffskomplexität: unbekannt
Beeinträchtigt: unbekannt
Patch: unbekannt
Zuweisende CNA: ics-cert@hq.dhs.gov

Betroffen

Organisationen, die ältere Versionen von CISA Malcolm (vor September 2026) verwenden, insbesondere in kritischen Infrastrukturbereichen wie Energie und IT.

Prüfen

▸Überprüfen Sie die Version Ihrer CISA Malcolm-Instanzen, um sicherzustellen, dass sie auf dem neuesten Stand (September 2026 oder später) sind.
▸Scannen Sie Ihre Webanwendungen auf Anzeichen von Cross-Site Scripting (XSS)-Schwachstellen.

▸ 1 weitere

▸Überprüfen Sie Systemprotokolle auf ungewöhnliche Befehlsausführungen oder unautorisierte Zugriffsversuche auf CISA Malcolm-Systeme.

Offene Punkte

▸ anzeigen

▸Es ist nicht spezifiziert, welche spezifischen Versionen vor September 2026 betroffen sind, außer der allgemeinen Angabe 'ältere Versionen'.
▸Der genaue Umfang der Datenmanipulation oder der Art der ausführbaren Systembefehle ist nicht detailliert.
▸Es wird nicht angegeben, ob die Schwachstellen aktiv ausgenutzt werden.

Red-Team-Relevanz

Was heißt das für dein nächstes Assessment?

▸ Einordnung anzeigen

Initial Access möglich?Ja
Privilege Escalation relevant?Unklar
Exploit öffentlich verfügbar?Ja
Detection / Logging prüfbar?Ja
Für Purple-Team-Szenario geeignet?Ja

Kundenfragen

Haben wir VPN extern erreichbar?
Können wir Initial Access detektieren?
Können wir Stealth detektieren?

MITRE ATT&CK(5)

Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.

T1059Command and Scripting Interpreterzugeordnet

„Angreifer können ... Systembefehle ausführen.“

T1136Create Accountzugeordnet

„unautorisierten Zugriff erlangen“

T1565Stolen Datazugeordnet

„Daten manipulieren“

T1566Phishingabgeleitet

T1684Social Engineeringabgeleitet

Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.

Kill-Chain-Phasen

Wie weit im Ablauf die belegten Techniken liegen — je Technik die früheste Phase.

Auskundschaften

›

Bewaffnung

›

Zustellung

›

Ausnutzung

›

Einnistung

›

Fernsteuerung

›

Zielhandlung

1 Techniken ohne Phasenzuordnung (z. B. Verteidigungsumgehung, die quer zu allen Phasen läuft)

Quellen & Belege· 1 Quelle

ICS-CERT AdvisoriesPrimärbelegPUBLICZuverlässigkeit Adiese Meldung

Behoerdliche Veroeffentlichung mit Amtspflicht zur Richtigkeit, frei zugaenglich.

CISA Malcolm

Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.

Verknüpfte Intelligence

Dieselben Entitäten an anderer Stelle auf SecBoard.

CVE-Profile

CVE-2026-90443 CVE-2026-90449 CVE-2026-90451 CVE-2026-90445 CVE-2026-90447 CVE-2026-90456 CVE-2026-90444 CVE-2026-90453 CVE-2026-90446 CVE-2026-90448 CVE-2026-90450 CVE-2026-90454 CVE-2026-90455 CVE-2026-90452 CVE-2026-90457

Branchenlage

Energie & Versorger

ATT&CK-Heatmap

Vollständigen Artikel lesen bei ICS-CERT Advisories

Erwähnte CVEs (12)

CVE-2026-90443NONE

EPSS 0.6%

A web interface reflects a portion of the request URL into a script context and a hyperlink attribute without adequate encoding, and does not require authentication to reach. This allows an unauthenticated network attacker to craft a link that, when visited by a user, executes arbitrary script in the context of the affected application and can redirect the user's browser to an arbitrary external site. Successful exploitation could allow an attacker to act with the compromised user's session privileges within the application.

Details NVD

CVE-2026-90449NONE

EPSS 0.5%

When a particular authentication mode is configured, the reverse proxy forwards requests for a bundled third-party administrative interface directly to that interface without applying the gateway's own authentication requirement first. All access control for this administrative interface, which manages the credential store used to gate every other service in the deployment, is delegated entirely to that third-party interface's own login mechanism. Any authentication weakness in that bundled interface would compromise the credential store protecting the rest of the deployment.

Details NVD

CVE-2026-90451NONE

EPSS 0.5%

An example environment-configuration file ships with a fixed, publicly-known secret value used to sign authentication cookies for a bundled packet-analysis component. A deployment that copies this example file into active configuration without running the setup routine that regenerates the value will use the known default, allowing an attacker aware of the default to forge valid authentication cookies for that component.

Details NVD

CVE-2026-90445NONE

EPSS 0.5%

An interface that accepts file uploads from authenticated users extracts the contents of uploaded archives without validating that extracted file paths remain within the intended destination directory. This allows an authenticated attacker to craft an archive whose entries traverse outside the destination directory, causing the extraction process to write files to arbitrary locations with the privileges of that process. This could allow an attacker to inject fabricated records into the system's stored data or tamper with application configuration.

Details NVD

CVE-2026-90447NONE

EPSS 0.5%

A routing rule selects between two different authentication mechanisms for the same downstream service based on the value of a client-supplied request header, rather than on any property the client cannot control. An authenticated user in possession of a shared service credential can set this header to route around the primary role-based authorization check and reach the alternate path's fixed, elevated role instead. This allows a low-privileged authenticated attacker who knows the shared credential to perform actions reserved for a higher-privileged role.

Details NVD

CVE-2026-90456NONE

EPSS 0.4%

An example environment-configuration file for a bundled inventory-management component ships with a fixed, publicly-known administrative password. A deployment that copies this example file into active configuration without running the setup routine that regenerates credentials will expose that component's administrative interface to anyone aware of the default value.

Details NVD

CVE-2026-90444NONE

EPSS 0.4%

A file-transfer interface that requires valid credentials accepts attacker-controlled filenames without restricting shell metacharacters. An automated process later constructs and runs a system command using the uploaded file's name, allowing an authenticated attacker to embed and execute arbitrary operating system commands with the privileges of that process. This allows an attacker to read and modify ingested log data, and could provide a foothold for further movement within the internal network.

Details NVD

CVE-2026-90453NONE

EPSS 0.4%

A file-upload handler redirects the authenticated client's browser to a URL taken directly from that same request's Referer header, without validating it against the application's own origin. This allows an authenticated attacker to craft a request that causes another user's browser to be redirected to an arbitrary external destination after completing an upload.

Details NVD

CVE-2026-90446NONE

EPSS 0.4%

An application programming interface endpoint accepts a user-supplied value and interpolates it directly into the path of a backend request to the underlying search and analytics data store, without restricting its contents. This allows an authenticated attacker to substitute an arbitrary backend path, causing the application's own elevated service credentials to be used against unintended internal endpoints. This could allow an attacker to enumerate or read internal configuration and administrative data from the backend data store that would otherwise be restricted.

Details NVD

CVE-2026-90448NONE

EPSS 0.4%

A deployment mode intended to expose only read access to stored data proxies a set of application programming interface routes without restricting which request methods are allowed. One such route accepts a request that creates or overwrites a stored record, including an attacker-chosen identifier, using the application's own elevated backend credentials. This allows an authenticated user on a deployment intended to be read-only to forge or overwrite stored records that should not be modifiable in that deployment mode.

Details NVD

CVE-2026-90450NONE

EPSS 0.4%

The application's role-authorization lookup defaults to granting access when a request handler's name is not present in its table of role requirements, rather than defaulting to deny. Any request handler that is not explicitly registered in this table is reachable by any authenticated user regardless of their assigned role, and any newly added handler is fail-open by default until explicitly added to the table.

Details NVD

CVE-2026-90454NONE

EPSS 0.4%

A deployment mode intended to expose only read access to a bundled packet-analysis component's interface denies a list of write-capable routes by pattern, but the pattern omits routes that modify tags attached to stored session records, and the proxy configuration otherwise permits the request method those routes use. This allows an authenticated user on a deployment intended to be read-only to add or remove tags on stored session records.

Details NVD

SecBoard-Einordnung

Key Facts· 12 / 15

Betroffen

Prüfen

Offene Punkte

Red-Team-Relevanz

MITRE ATT&CK(5)

Kill-Chain-Phasen

Quellen & Belege· 1 Quelle

Verknüpfte Intelligence

Verwandte Artikel