▸▾Herleitung der Bewertung(5)
Wie der Wert zustande kommt
- Im CISA-KEV-Katalog: CVE-2026-104935, CVE-2026-111357, CVE-2026-118527+25
- Hoechster CVSS-Basiswert 8.6+15
- EPSS 88.9 % Ausnutzungswahrscheinlichkeit binnen 30 Tagen+13
- Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2026-104935, CVSS-Vektor AV:N/PR:N)+10
- Betrifft KRITIS-nahe Branche: transport, energie+5
Woraus sich die Konfidenz ergibt
- Nur ein Herausgeber — keine Gegenlesung
- Strukturierte CVE-Daten aus der NVD vorhanden
Die Konfidenz misst die Belegqualität, nicht die Schwere.
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
OT-ISAC details aviation cybersecurity risks involving passenger reservation systems, airport OT, communications protocols
Das OT-ISAC warnt vor Cybersicherheitsrisiken im asiatisch-pazifischen Luftfahrtsektor, die über Unternehmens-IT hinausgehen und Passagierreservierungssysteme sowie Flughafen-OT betreffen. Es gab unautorisierten Zugriff auf Passagierdaten bei Amadeus PSS, wovon Kunden von Japan Airlines, All Nippon Airways, Cathay Pacific und Singapore Airlines betroffen sind. Fluggesellschaften sollten Service-Konten überprüfen, die Aufsicht über Drittanbieter verbessern und die Konzentration von Daten auf gemeinsamen Plattformen beachten, um sich vor ähnlichen Vorfällen zu schützen.
SecBoard-Einordnung
Der Vorfall zeigt, dass Angreifer sensible Passagierdaten über Drittanbieter-Plattformen kompromittieren können, was zu erheblichen Datenschutzverletzungen und Reputationsschäden führen kann. Die Konzentration von Daten auf gemeinsamen Plattformen erhöht das Risiko einer weitreichenden Offenlegung bei einem einzigen Sicherheitsvorfall.
Realistisch schlimmster Fall: Der schlimmste Fall wäre ein weitreichender, unautorisierter Zugriff auf sensible Passagierdaten, der zu Identitätsdiebstahl, Betrug und erheblichen finanziellen sowie reputativen Schäden für die betroffenen Fluggesellschaften und deren Kunden führt.
Empfehlung: Fluggesellschaften sollten umgehend Service-Konten überprüfen, die Rechteverwaltung anpassen und die Aufsicht über Drittanbieter sowie deren Zugriff auf sensible Systeme und Daten verbessern. Zudem ist die Sensibilisierung für Risiken durch gemeinsame Plattformen entscheidend.
Im erfassten Bestand
- ▸CVE-2026-104935 kommt damit in 26 erfassten Meldungen der letzten 90 Tage vor.
- ▸CVE-2026-104935 stand zum Zeitpunkt dieser Meldung seit 23 Tagen im KEV-Katalog der CISA.
Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.
Key Facts
- CVSS
- 8.6 · HIGH
- EPSS
- 88.9%
- Über das Netz
- ja
- Anmeldung nötig
- nein
- Nutzerinteraktion nötig
- nein
- Angriffskomplexität
- niedrig
- Beeinträchtigt
- Vertraulichkeit, Integrität, Verfügbarkeit
- im KEV seit
- 2026-10-13
- Patch
- unbekannt
- CVSS
- 7.0 · HIGH
- EPSS
- 0.5%
- Über das Netz
- nein
- Anmeldung nötig
- ja
- Nutzerinteraktion nötig
- nein
- Angriffskomplexität
- hoch
- Beeinträchtigt
- Vertraulichkeit, Integrität, Verfügbarkeit
- im KEV seit
- 2026-10-30
- Patch
- unbekannt
- Zuweisende CNA
- cve@mitre.org
- CVSS
- 4.3 · MEDIUM
- EPSS
- 0.8%
- Über das Netz
- ja
- Anmeldung nötig
- ja
- Nutzerinteraktion nötig
- nein
- Angriffskomplexität
- niedrig
- Beeinträchtigt
- Integrität
- im KEV seit
- 2026-10-30
- Patch
- unbekannt
Betroffen
Kunden von Japan Airlines, All Nippon Airways, Cathay Pacific und Singapore Airlines, deren Passagierdaten in Amadeus PSS-Systemen gespeichert waren, sind betroffen. Auch Fluggesellschaften, die Passagierreservierungssysteme und Flughafen-OT nutzen, sind potenziell betroffen.
Hersteller
Produkte
▸ CPE-Rohbezeichner anzeigen▾ CPE-Rohbezeichner ausblenden (7)
- cpe:2.3:a:ivanti:connect_secure:*:*:*:*:*:*:*:*
- cpe:2.3:a:ivanti:connect_secure:22.8:r2.1:*:*:*:*:*:*
- cpe:2.3:a:ivanti:connect_secure:22.8:r2.2:*:*:*:*:*:*
- cpe:2.3:a:ivanti:connect_secure:22.8:r2.3:*:*:*:*:*:*
- cpe:2.3:a:ivanti:connect_secure:22.8:r2.4:*:*:*:*:*:*
- cpe:2.3:a:ivanti:connect_secure:22.8:r2.5:*:*:*:*:*:*
- cpe:2.3:a:ivanti:connect_secure:22.8:r2:*:*:*:*:*:*
Prüfen
3- ▸Überprüfen Sie alle Service-Konten und deren Berechtigungen, insbesondere solche, die Zugriff auf Passagierreservierungssysteme haben.
- ▸Führen Sie regelmäßige Audits der Sicherheitskontrollen von Drittanbietern durch, die Zugang zu kritischen Systemen oder sensiblen Daten haben.
▸ 1 weitere▾ weniger
- ▸Bewerten Sie die Risiken, die mit der Nutzung gemeinsamer Plattformen für die Speicherung sensibler Daten verbunden sind, und implementieren Sie entsprechende Schutzmaßnahmen.
Offene Punkte
4▸ anzeigen▾ ausblenden
- ▸Die genaue Methode des unautorisierten Zugriffs ist nicht spezifiziert.
- ▸Die Identität der Angreifer ist nicht spezifiziert.
- ▸Die geografische Reichweite der betroffenen Kunden außerhalb des asiatisch-pazifischen Raums ist nicht spezifiziert.
- ▸Die spezifischen technischen Schwachstellen, die ausgenutzt wurden, sind nicht spezifiziert.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
▸ Einordnung anzeigen▾ Einordnung ausblenden
- Initial Access möglich?Unklar
- Privilege Escalation relevant?Unklar
- Exploit öffentlich verfügbar?Ja
- Detection / Logging prüfbar?Möglich
- Für Purple-Team-Szenario geeignet?Unklar
Kundenfragen
- Haben wir Ivanti extern erreichbar?
- Haben wir Windows extern erreichbar?
MITRE ATT&CK(3)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„unautorisierten Zugriff auf Passagierdaten bei Amadeus PSS“
„unautorisierten Zugriff auf Passagierdaten bei Amadeus PSS“
„unautorisierten Zugriff auf Passagierdaten bei Amadeus PSS“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Quellen & Belege· 1 Quelle
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
- Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.
Verknüpfte Intelligence
Dieselben Entitäten an anderer Stelle auf SecBoard.
Branchenlage