Wochenlage KW28: Kritische Lücken in Adobe ColdFusion und Microsoft Defender, KI-Risiken in der Supply Chain

Überblick der Woche

Die 28. Kalenderwoche war aus Defendersicht von mehreren kritischen Entwicklungen geprägt. Im Vordergrund standen die aktive Ausnutzung hochpriorer Schwachstellen in weit verbreiteter Software wie Adobe ColdFusion und Microsoft Defender. Die CISA hat ihren Known Exploited Vulnerabilities (KEV) Katalog um weitere vier Einträge ergänzt, was die Dringlichkeit des Patch-Managements unterstreicht. Gleichzeitig gewinnen neue, KI-getriebene Bedrohungsvektoren in der Software-Lieferkette an Bedeutung, die eine Anpassung bestehender Sicherheitsstrategien erfordern.

Wichtigste Vorfälle & Signale

Ein zentrales Ereignis war die Meldung über die aktive Ausnutzung einer kritischen Schwachstelle (CVE-2026-48282, CVSS 10.0) in Adobe ColdFusion, die zu Remote Code Execution (RCE) führen kann. Diese Lücke wurde umgehend in den CISA KEV-Katalog aufgenommen. Ebenso kritisch war die Behebung der "RoguePlanet"-Schwachstelle (CVE-2026-50656) in Microsoft Defender, die eine Privilegienausweitung auf SYSTEM-Ebene ermöglichte und alle Nutzer der Microsoft Malware Protection Engine betraf.

Neben diesen direkten Bedrohungen wurde die Entdeckung der Bedrohungsgruppe "Lurking Lizard" bekannt, die seit August 2022 gefälschte 7-Zip-Installer verbreitet, um Geräte in Residential Proxy Nodes zu verwandeln. Dies unterstreicht die anhaltende Relevanz von Social Engineering und der Überprüfung von Software-Quellen. Eine positive Nachricht war die Zerschlagung des NetNut Proxy-Netzwerks durch Google, wodurch Millionen infizierter Android-Geräte vom Netzwerk getrennt wurden.

Ein aufkommender Trend ist die zunehmende Relevanz von KI in der Software-Lieferkette. Neue Bedrohungen wie "Phantom Squatting" nutzen KI-Modelle, um plausible, aber nicht existierende Webdomains zu halluzinieren, die von Angreifern für Supply-Chain-Angriffe genutzt werden könnten. Die Integration von KI in den Code-Erstellungsprozess birgt zudem neue Risiken, die über traditionelle Open-Source-Prüfungen hinausgehen.

Kritische Schwachstellen (KEV / High)

Die CISA hat vier weitere aktiv ausgenutzte Schwachstellen in ihren KEV-Katalog aufgenommen, was für betroffene Organisationen höchste Priorität bedeutet:

• CVE-2026-48282 (Adobe ColdFusion): CVSS 10.0, Path Traversal, führt zu RCE. Aktiv ausgenutzt. Dringend patchen.
• CVE-2026-48908 (Joomla SP Page Builder): RCE durch unauthentifizierten Datei-Upload. Aktiv ausgenutzt.
• CVE-2026-55255 (Langflow): IDOR-Schwachstelle, die zu RCE führen kann. Aktiv ausgenutzt.
• CVE-2025-32463 (Sudo): Lokale Privilegienausweitung auf Root-Ebene. Aktiv ausgenutzt.

Zusätzlich zu den KEV-Einträgen ist die bereits erwähnte CVE-2026-50656 (Microsoft Defender) mit einem CVSS von 7.8 hervorzuheben, die eine Privilegienausweitung ermöglicht und umgehend gepatcht werden sollte. Weitere kritische, wenn auch noch nicht im KEV-Katalog gelistete, Schwachstellen mit CVSS 10.0 umfassen Lücken in Traefik (CVE-2026-54763), CoreWCF (CVE-2026-54782) und verschiedenen LLM-Frameworks wie Langroid (CVE-2026-54769) und PraisonAI (CVE-2026-61447), die RCE ermöglichen können.

Betroffene Branchen & Technologien

Die Breite der betroffenen Schwachstellen und Bedrohungen zeigt, dass nahezu alle Branchen – von Behörden über Finanzen und Energie bis hin zu Telekommunikation und Versicherungen – potenziell betroffen sind. Technologisch stehen insbesondere Endpoint Security (Microsoft Defender), Webanwendungen (Adobe ColdFusion, Joomla), Entwicklungsumgebungen und die gesamte Software-Lieferkette im Fokus. Die aufkommenden KI-Risiken betreffen alle Unternehmen, die KI-Modelle in ihren Entwicklungsprozessen oder Produkten einsetzen.

Priorisierung für die kommende Woche

Für die kommende Woche sollten Security-Teams folgende Prioritäten setzen:

1. Dringendes Patch-Management: Umgehende Überprüfung und Patching aller Systeme, die von den CISA KEV-Einträgen (insbesondere Adobe ColdFusion CVE-2026-48282) und der Microsoft Defender-Schwachstelle (CVE-2026-50656) betroffen sind.
2. Supply Chain Security erweitern: Bewertung und Anpassung der Strategien zur Sicherung der Software-Lieferkette, insbesondere im Hinblick auf die Integration von KI-generiertem Code und die Abwehr von "Phantom Squatting"-Angriffen.
3. Sensibilisierung und Überprüfung: Schulung der Nutzer bezüglich gefälschter Software-Installer (z.B. 7-Zip) und Stärkung der Prozesse zur Verifizierung von Software-Quellen.
4. Monitoring und Detection: Implementierung oder Verfeinerung von Detection-Regeln für bekannte Exploits der KEV-Schwachstellen und für ungewöhnliche Netzwerkaktivitäten, die auf Proxy-Netzwerk-Infektionen hindeuten könnten.
5. LLM-Sicherheit: Für Entwickler und Security-Forscher, die mit LLMs arbeiten: Prüfung der Sicherheit von LLM-Frameworks und -Anwendungen, insbesondere im Hinblick auf RCE-Risiken (z.B. Langroid, PraisonAI).

Quellenhinweise

• SecurityWeek: Microsoft Patches Defender ‘RoguePlanet’ Vulnerability
• The Hacker News: Microsoft Patches RoguePlanet Defender Flaw That Can Grant SYSTEM Privileges
• The Hacker News: Fake 7-Zip Installers Turn Devices Into Residential Proxy Nodes
• The Hacker News: CISA Adds 4 Actively Exploited Adobe, Joomla, and Langflow Flaws to KEV
• SecurityWeek: Critical Adobe ColdFusion Vulnerability Exploited in Attacks
• The Hacker News: What Changes When Your Software Supply Chain Includes AI Writing Your Code?
• BleepingComputer: NetNut proxy network disrupted, 2 million infected devices cut off
• Dark Reading: 'Phantom Squatting': An Emerging AI-Driven Supply Chain Threat