SecBoard
Zurück zur Übersicht
Kritisch100 / 100Konfidenz: Mittel
In CISA KEVCVSS10.0EPSS86 %Über Netz erreichbarOhne Anmeldung

Installieren Sie umgehend die von Citrix und Fortinet bereitgestellten Sicherheitsupdates für NetScaler ADC/Gateway und FortiMail.

▸Herleitung der Bewertung(9)

Wie der Wert zustande kommt

  • Im CISA-KEV-Katalog: CVE-2026-88779, CVE-2026-104286, CVE-2026-76504, CVE-2026-102489, CVE-2026-102490, CVE-2026-81963, CVE-2026-82078, CVE-2026-81578+25
  • Hoechster CVSS-Basiswert 10.0+18
  • EPSS 85.6 % Ausnutzungswahrscheinlichkeit binnen 30 Tagen+13
  • Wird laut Meldung tatsaechlich ausgenutzt: actively exploited, active exploitation+12
  • Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2026-88779, CVSS-Vektor AV:N/PR:N)+10
  • Ransomware-Vorfall — Thema: ransomware, ransom, cl0p | Ereignisbeleg: victim, victims+10
  • Belegte ATT&CK-Technik zum Erstzugriff+6
  • 2 zugeordnete(r) Akteur/Malware-Eintrag aus dem MITRE-Katalog+6
  • Belegte Angriffskette ueber 4 Kill-Chain-Phasen+6

Woraus sich die Konfidenz ergibt

  • Nur ein Herausgeber — keine Gegenlesung
  • Strukturierte CVE-Daten aus der NVD vorhanden

Die Konfidenz misst die Belegqualität, nicht die Schwere.

Einschränkungen

  • 6 im Text genannte CVE(s) liegen uns nicht vor und gehen nicht in die Bewertung ein: CVE-2026-54154, CVE-2026-85066, CVE-2026-85065, CVE-2026-73857, CVE-2026-73856, CVE-2026-1868
  • Fuer 29 erkannte CVE(s) liegt noch kein CVSS-Basiswert vor (NVD-Rueckstau).

Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik

Network & Perimeter

⚡ Weekly Recap: NetScaler and FortiMail 0-Days, AI Coding Leaks, Spectre v2 and Ransomware Arrests

The Hacker News·
Originalartikel lesen bei The Hacker News

Aktuell werden kritische Schwachstellen in Citrix NetScaler ADC/Gateway (CVE-2026-88779) und Fortinet FortiMail (CVE-2026-104286) aktiv ausgenutzt. Betroffen sind Kunden, die NetScaler als SAML-Dienst oder FortiMail nutzen, wobei Angreifer unauthentifiziert beliebige Dateien schreiben können. Es wird dringend empfohlen, die von Citrix und Fortinet bereitgestellten Sicherheitsupdates umgehend zu installieren.

SecBoard-Einordnung

Die aktiven Ausnutzungen dieser Zero-Day-Schwachstellen ermöglichen Angreifern unautorisierten Zugriff und potenziell schwerwiegende Systembeeinträchtigungen, was die Integrität und Verfügbarkeit kritischer Netzwerkdienste gefährdet.

Realistisch schlimmster Fall: Im schlimmsten Fall könnten Angreifer durch das Schreiben beliebiger Dateien bei FortiMail die Kontrolle über das System erlangen oder bei NetScaler einen vollständigen Denial-of-Service verursachen, was zu Betriebsunterbrechungen und Datenverlust führen kann.

Im erfassten Bestand

  • ▸93. erfasste Meldung zu ShinyHunters innerhalb von 90 Tagen.
  • ▸CVE-2026-82078 kommt damit in 17 erfassten Meldungen der letzten 90 Tage vor.

Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.

Key Facts· 12 / 139

Nach Dringlichkeit sortiert: KEV-Eintrag, dann CVSS, dann EPSS. Vollstaendige Liste im Meldungstext.

CVE-2026-81578CISA KEV
CVSS
9.8 · CRITICAL
EPSS
85.6%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
im KEV seit
2026-08-31
Patch
unbekannt
CVE-2026-104286CISA KEV
CVSS
9.8 · CRITICAL
EPSS
2.2%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
im KEV seit
2026-10-01
Patch
unbekannt
Zuweisende CNA
psirt@fortinet.com
CVE-2026-76504CISA KEV
CVSS
9.8 · CRITICAL
EPSS
1.8%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
im KEV seit
2026-09-30
Patch
unbekannt
Zuweisende CNA
psirt@cisco.com
CVE-2026-102489CISA KEV
CVSS
9.8 · CRITICAL
EPSS
1.3%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
im KEV seit
2026-10-02
Patch
unbekannt
Zuweisende CNA
csirt@divd.nl
CVE-2026-82078CISA KEV
CVSS
9.1 · CRITICAL
EPSS
63.5%
Über das Netz
ja
Anmeldung nötig
ja
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
im KEV seit
2026-08-31
Patch
unbekannt
CVE-2026-102490CISA KEV
CVSS
7.8 · HIGH
EPSS
0.5%
Über das Netz
nein
Anmeldung nötig
ja
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
im KEV seit
2026-10-02
Patch
unbekannt
Zuweisende CNA
csirt@divd.nl
CVE-2026-81963CISA KEV
CVSS
7.8 · HIGH
EPSS
0.4%
Über das Netz
nein
Anmeldung nötig
ja
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
im KEV seit
2026-09-08
Patch
unbekannt
Zuweisende CNA
secure@microsoft.com
CVE-2026-88779CISA KEV
CVSS
7.5 · HIGH
EPSS
0.6%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Verfügbarkeit
im KEV seit
2026-10-04
Patch
unbekannt
CVE-2026-63688
CVSS
10.0 · CRITICAL
EPSS
0.8%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
Patch
unbekannt
Zuweisende CNA
security_alert@emc.com
CVE-2026-63692
CVSS
10.0 · CRITICAL
EPSS
0.6%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
Patch
unbekannt
Zuweisende CNA
security_alert@emc.com
CVE-2026-90970
CVSS
9.9 · CRITICAL
EPSS
0.9%
Über das Netz
ja
Anmeldung nötig
ja
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
Patch
unbekannt
Zuweisende CNA
cve@gitlab.com
CVE-2026-93577
CVSS
9.9 · CRITICAL
EPSS
0.5%
Über das Netz
ja
Anmeldung nötig
ja
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
Patch
unbekannt
Zuweisende CNA
cve@gitlab.com

Betroffen

Kunden, die Citrix NetScaler ADC oder Gateway als SAML-Dienst oder Identitätsanbieter nutzen, sowie Nutzer von Fortinet FortiMail sind betroffen.

Hersteller

CiscoCitrixDellFortinetGitlabMicrosoftPaperCutZammadZammad GmbH

Produkte

Catalyst SD-WAN ManagerFortiMailNetScalerNG/MFWindowsZammadCatalyst SD Wan ManagerContainer Storage ModulesGitlabNetscaler Application Delivery ControllerNetscaler GatewayPapercut MF+6 weitere
▸ CPE-Rohbezeichner anzeigen (24)
  • cpe:2.3:a:cisco:catalyst_sd-wan_manager:*:*:*:*:*:*:*:*
  • cpe:2.3:a:cisco:catalyst_sd-wan_manager:26.2:*:*:*:*:*:*:*
  • cpe:2.3:a:citrix:netscaler_application_delivery_controller:*:*:*:*:-:*:*:*
  • cpe:2.3:a:citrix:netscaler_application_delivery_controller:*:*:*:*:fips:*:*:*
  • cpe:2.3:a:citrix:netscaler_application_delivery_controller:*:*:*:*:ndcpp:*:*:*
  • cpe:2.3:a:citrix:netscaler_gateway:*:*:*:*:*:*:*:*
  • cpe:2.3:a:dell:container_storage_modules:*:*:*:*:*:*:*:*
  • cpe:2.3:a:fortinet:fortimail:*:*:*:*:*:*:*:*
  • cpe:2.3:a:gitlab:gitlab:*:*:*:*:community:*:*:*
  • cpe:2.3:a:gitlab:gitlab:*:*:*:*:enterprise:*:*:*
  • cpe:2.3:a:gitlab:gitlab:19.4.0:*:*:*:community:*:*:*
  • cpe:2.3:a:gitlab:gitlab:19.4.0:*:*:*:enterprise:*:*:*
  • cpe:2.3:a:papercut:papercut_mf:*:*:*:*:*:*:*:*
  • cpe:2.3:a:papercut:papercut_ng:*:*:*:*:*:*:*:*
  • cpe:2.3:a:zammad:zammad:*:*:*:*:*:*:*:*
  • cpe:2.3:o:microsoft:windows_11_23h2:*:*:*:*:*:*:arm64:*
  • cpe:2.3:o:microsoft:windows_11_23h2:*:*:*:*:*:*:x64:*
  • cpe:2.3:o:microsoft:windows_11_24h2:*:*:*:*:*:*:arm64:*
  • cpe:2.3:o:microsoft:windows_11_24h2:*:*:*:*:*:*:x64:*
  • cpe:2.3:o:microsoft:windows_11_25h2:*:*:*:*:*:*:arm64:*
  • cpe:2.3:o:microsoft:windows_11_25h2:*:*:*:*:*:*:x64:*
  • cpe:2.3:o:microsoft:windows_11_26h1:*:*:*:*:*:*:arm64:*
  • cpe:2.3:o:microsoft:windows_11_26h1:*:*:*:*:*:*:x64:*
  • cpe:2.3:o:microsoft:windows_server_2025:*:*:*:*:*:*:*:*

Prüfen

3
  • ▸Überprüfen Sie, ob Ihre Citrix NetScaler ADC/Gateway-Instanzen als SAML-Dienst oder Identitätsanbieter konfiguriert sind.
  • ▸Stellen Sie sicher, dass alle Fortinet FortiMail-Instanzen auf die neueste, gepatchte Version aktualisiert wurden.
▸ 1 weitere
  • ▸Überwachen Sie Ihre NetScaler- und FortiMail-Systeme auf ungewöhnliche Aktivitäten oder Anzeichen einer Kompromittierung, insbesondere auf unauthentifizierte Dateischreibvorgänge oder Denial-of-Service-Versuche.

Offene Punkte

3
▸ anzeigen
  • ▸Der genaue Umfang der möglichen Auswirkungen über Denial-of-Service und das Schreiben beliebiger Dateien hinaus ist nicht spezifiziert.
  • ▸Es ist nicht spezifiziert, welche spezifischen Versionen der Produkte betroffen sind, außer dass es sich um Zero-Day-Schwachstellen handelt.
  • ▸Es ist nicht spezifiziert, welche spezifischen Angreifergruppen diese Schwachstellen ausnutzen.

Red-Team-Relevanz

Was heißt das für dein nächstes Assessment?

▸ Einordnung anzeigen
  • Initial Access möglich?Ja
  • Privilege Escalation relevant?Ja
  • Exploit öffentlich verfügbar?Ja
  • Detection / Logging prüfbar?Ja
  • Für Purple-Team-Szenario geeignet?Ja

Kundenfragen

  • Haben wir Fortinet extern erreichbar?
  • Haben wir Cisco extern erreichbar?
  • Können wir Initial Access detektieren?
  • Können wir Execution detektieren?

Erwähnte Akteure & Werkzeuge

Bedrohungsakteure
Star BlizzardG1033ShinyHuntersG1057

Abgleich mit dem MITRE-ATT&CK-Katalog

MITRE ATT&CK(9)

Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.

T1190Exploit Public-Facing Applicationzugeordnet

„Aktuell werden kritische Schwachstellen in Citrix NetScaler ADC/Gateway (CVE-2026-88779) und Fortinet FortiMail (CVE-2026-104286) aktiv ausgenutzt.“

T1499Denial of Servicezugeordnet

„NetScaler users configured as SAML service or identity providers are affected, facing potential denial-of-service“

T1547Boot or Logon Autostart Executionzugeordnet

„Angreifer unauthentifiziert beliebige Dateien schreiben können“

T1036Masqueradingabgeleitet
T1053.005Scheduled Task/Job: Scheduled Taskabgeleitet
T1056.001Input Capture: Keyloggingabgeleitet
T1505.003Server Software Component: Web Shellabgeleitet
T1557Adversary-in-the-Middleabgeleitet
T1566Phishingabgeleitet

Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.

Kill-Chain-Phasen

Wie weit im Ablauf die belegten Techniken liegen — je Technik die früheste Phase.

Auskundschaften

0

›

Bewaffnung

0

›

Zustellung

1

›

Ausnutzung

1

›

Einnistung

1

›

Fernsteuerung

0

›

Zielhandlung

2

1 Techniken ohne Phasenzuordnung (z. B. Verteidigungsumgehung, die quer zu allen Phasen läuft)

Quellen & Belege· 1 Quelle

The Hacker NewsKontextPUBLICZuverlässigkeit Cdiese Meldung

Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.

  • Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.

Verknüpfte Intelligence

Dieselben Entitäten an anderer Stelle auf SecBoard.

ATT&CK-Heatmap

ATT&CK-Heatmap
Vollständigen Artikel lesen bei The Hacker News