Wochenlage KW35: Breite Update-Welle für Endpunkte und Server-Infrastruktur

Überblick der Woche

Die Kalenderwoche 35 war aus Sicht der Cyber-Sicherheit von einer breiten Welle an notwendigen Updates für Endgeräte und zentrale Infrastrukturkomponenten geprägt. Mit 579 Meldungen und 16 CVEs, von denen 6 im CISA Known Exploited Vulnerabilities (KEV) Katalog gelistet sind, zeigt sich ein anhaltend hoher Druck auf Security-Teams. Der Fokus lag auf der Behebung von Schwachstellen, die von Denial of Service über Privilegienerhöhung bis hin zu Remote Code Execution reichen. Eine proaktive Patch-Strategie ist angesichts der Breite der betroffenen Systeme unerlässlich.

Wichtigste Vorfälle & Signale

Die CERT-Bund-Meldungen dieser Woche weisen auf eine signifikante Anzahl von Updates für weit verbreitete Software hin:

• Browser-Sicherheit: Google Chrome und Microsoft Edge waren erneut Ziel mehrerer hochkritischer Schwachstellen (WID-SEC-2026-0612, WID-SEC-2026-0481), die Codeausführung und Sandbox-Ausbrüche ermöglichen. Dies unterstreicht die Notwendigkeit schneller Browser-Updates in allen Organisationen.
• Server-Infrastruktur: IBM WebSphere Application Server Liberty (WID-SEC-2026-0845, WID-SEC-2026-0518) und der Linux Kernel (WID-SEC-2026-2970, WID-SEC-2026-0754) erforderten ebenfalls dringende Patches. Hier ging es primär um Privilegienerhöhung und das Umgehen von Sicherheitsvorkehrungen, was direkte Auswirkungen auf die Integrität und Verfügbarkeit von Backend-Systemen haben kann.
• Endpunkt-Software: GIMP (WID-SEC-2026-2204, WID-SEC-2026-2187) und Nvidia-Treiber (WID-SEC-2026-0235, WID-SEC-2025-1638) zeigten Schwachstellen, die lokale Codeausführung und Privilegienerhöhung ermöglichen. Dies betrifft insbesondere Workstations und Entwicklersysteme.

Kritische Schwachstellen (KEV / High)

Besondere Aufmerksamkeit verdienen die folgenden CVEs, die im KEV-Katalog gelistet sind und somit aktiv ausgenutzt werden:

• CVE-2026-73570 (CVSS 8.9, EPSS 21%): Eine Remote Code Execution (RCE) Schwachstelle in Zimbra Collaboration (ZCS) vor Version 10.1.20, wenn das optionale zimbra-snmp Paket installiert und SNMP-Benachrichtigungen aktiviert sind. Dies ist kritisch für Organisationen, die Zimbra als Kommunikationsplattform nutzen.
• CVE-2026-21962 (CVSS 10.0, EPSS 42%): Eine Schwachstelle im Oracle HTTP Server und Oracle Weblogic Server Proxy Plug-in. Mit einem CVSS von 10.0 und hoher EPSS-Rate ist dies ein extrem hohes Risiko für betroffene Web-Infrastrukturen.
• CVE-2026-60004 (CVSS 9.8, EPSS 85%): RCE in Gitea vor 1.27.1 via der diffpatch API durch Git Hook Installation. Die extrem hohe EPSS-Rate von 85% signalisiert eine hohe Wahrscheinlichkeit der Ausnutzung.
• CVE-2023-49105 (CVSS 9.8, EPSS 43%): Eine Schwachstelle in ownCloud owncloud/core vor 10.13.1, die unauthentifizierten Zugriff, Modifikation oder Löschung von Dateien ermöglicht, wenn der Benutzername eines Opfers bekannt ist und dieses keine 2FA nutzt. Dies ist ein erhebliches Risiko für Datenintegrität und -vertraulichkeit.
• CVE-2026-53362 (CVSS 7.8, EPSS 1%): Eine Linux Kernel Schwachstelle im IPv6-Stack, die behoben wurde. Obwohl der CVSS-Score niedriger ist, ist die Relevanz für alle Linux-basierten Systeme hoch.
• CVE-2026-66384 (CVSS 5.3, EPSS 1%): Eine Schwachstelle in Docker, die es einem authentifizierten Benutzer ermöglicht, Daten außerhalb des vorgesehenen Docker-Cache-Pfads zu schreiben. Dies kann zu Datenmanipulation führen.

Zusätzlich wurden mehrere CVEs mit CVSS 10.0 gemeldet, die Command Injection, SSRF und Session Validation Bypass in verschiedenen Netzwerkgeräten (EFM ipTIME, TOTOLINK N600R, UniFi Protect/Talk) und Anwendungen (Adobe Campaign Classic, ToolUniverse) betreffen. Obwohl diese noch nicht im KEV-Katalog sind, signalisiert der hohe CVSS-Score ein erhebliches potenzielles Risiko.

Betroffene Branchen & Technologien

Die Breite der gemeldeten Schwachstellen betrifft nahezu alle Branchen, insbesondere solche, die auf eine robuste IT-Infrastruktur angewiesen sind. Dazu gehören:

• Behörden und Finanzen: Aufgrund der Nutzung von Standard-Server-Software (Linux Kernel, IBM WebSphere) und Kommunikationsplattformen (Zimbra).
• Telekommunikation und Energie: Durch den Einsatz von Netzwerkgeräten (UniFi, Router) und Linux-basierten Systemen in kritischen Infrastrukturen.
• Healthcare: Ebenfalls betroffen durch die allgemeine Nutzung von Endgeräten (Browser, GIMP) und Server-Infrastruktur.

Technologisch sind insbesondere Web-Browser, Linux-basierte Systeme, Application Server (IBM WebSphere, Oracle HTTP Server), Versionskontrollsysteme (Gitea) und Dateisynchronisationslösungen (ownCloud) im Fokus.

Priorisierung für die kommende Woche

Für die kommende Woche sollten Security-Teams folgende Prioritäten setzen:

1. KEV-Patches: Umgehende Implementierung der Patches für CVE-2026-73570 (Zimbra), CVE-2026-21962 (Oracle HTTP Server), CVE-2026-60004 (Gitea) und CVE-2023-49105 (ownCloud). Diese sind aktiv ausgenutzt und stellen ein unmittelbares Risiko dar.
2. Browser-Updates: Sicherstellen, dass alle Endgeräte auf die neuesten Versionen von Google Chrome und Microsoft Edge aktualisiert werden, um RCE-Risiken zu minimieren.
3. Server-Patching: Priorisiertes Patching von IBM WebSphere Application Server Liberty und Linux Kernel-Systemen, insbesondere jenen, die öffentlich erreichbar sind oder kritische Dienste hosten.
4. Endpunkt-Sicherheit: Aktualisierung von GIMP und Nvidia-Treibern auf Workstations, um lokale Codeausführung und Privilegienerhöhung zu verhindern.
5. Netzwerkgeräte: Prüfung und Patching von Netzwerkgeräten (z.B. UniFi, EFM ipTIME, TOTOLINK) auf die gemeldeten Command Injection und Session Bypass Schwachstellen.

Quellenhinweise

• CERT-Bund WID-SEC-2026-2204
• CERT-Bund WID-SEC-2026-2187
• CERT-Bund WID-SEC-2026-0845
• CERT-Bund WID-SEC-2026-0518
• CERT-Bund WID-SEC-2026-0612
• CERT-Bund WID-SEC-2026-0481
• CERT-Bund WID-SEC-2026-2970
• CERT-Bund WID-SEC-2026-0754
• CERT-Bund WID-SEC-2026-0235
• CERT-Bund WID-SEC-2025-1638