Wochenlage KW43: Kritische Schwachstellen in Infrastruktur- und Web-Komponenten

Überblick der Woche

Die 43. Kalenderwoche war aus Sicht der Cyber-Sicherheit von einer hohen Dichte an kritischen Schwachstellen in zentralen Infrastruktur- und Web-Komponenten geprägt. Auffällig ist die schnelle Verfügbarkeit von Proof-of-Concept-Exploits und Detection Rules für einige der gemeldeten Lücken, was die Notwendigkeit einer zügigen Reaktion unterstreicht. Insbesondere PHP-Anwendungen, Linux-Systeme und Netzwerkgeräte stehen im Fokus.

Wichtigste Vorfälle & Signale

Ein zentrales Signal dieser Woche sind die Pre-Authentication Remote Code Execution (RCE) Schwachstellen CVE-2026-109618 und CVE-2026-109619 in PHP-Installationen, die session.upload_progress in mod_php betreffen. Für diese Lücken sind bereits umfassende Forschungstools (php2shell) und PoCs (php2shell-poc) auf GitHub verfügbar, die fünf RCE-Ketten sowie Detection Rules für Suricata, Sigma und ModSecurity bereitstellen. SecBoard BEOBACHTET, dass CVE-2026-109618 und CVE-2026-109619 über das Netz ohne Anmeldung ausnutzbar sind. Obwohl eine Ausnutzung in den nächsten 30 Tagen als sehr unwahrscheinlich EINGESCHÄTZT wird, deutet die öffentliche Verfügbarkeit von Exploits auf ein erhöhtes Risiko hin.

Zusätzlich wurden multiple kritische Schwachstellen in Produkten von Cisco, HPE Aruba Networking, Red Hat und Splunk gemeldet. Diese reichen von Remote Code Execution über Privilegienerhöhung bis hin zu Denial-of-Service-Angriffen, was die breite Angriffsfläche in Unternehmensnetzwerken unterstreicht.

Kritische Schwachstellen (KEV / High)

Mehrere Schwachstellen mit hoher Kritikalität wurden diese Woche hervorgehoben:

• PHP (CVE-2026-109618, CVE-2026-109619): Pre-Authentication RCEs mit CVSS 9.8 und 8.1. Wie oben erwähnt, sind PoCs und Detection Rules öffentlich verfügbar. SecBoard BEOBACHTET, dass diese über das Netz ohne Anmeldung ausnutzbar sind.
• FortiManager (CVE-2024-47575): Eine fehlende Authentifizierung für kritische Funktionen mit CVSS 9.8 und einer EPSS von 95%. Diese Schwachstelle ist im KEV-Katalog gelistet.
• Palo Alto Networks PAN-OS (CVE-2026-0257): Authentifizierungs-Bypass-Schwachstellen im GlobalProtect Portal und Gateway mit CVSS 9.1. Ebenfalls im KEV-Katalog gelistet.
• Siemens Software Center (CVE-2026-110936): Eine DLL-Hijacking-Schwachstelle (CVSS 6.7), die im KEV-Katalog benannt ist und aktiv ausgenutzt wird (SecBoard BEOBACHTET).
• Collabora Online Built-in CODE Server (CVE-2026-110447): Remote Code Execution, die im KEV-Katalog gelistet ist und aktiv ausgenutzt wird.
• Oracle Produkte (diverse CVEs mit CVSS 10.0): Mehrere kritische Lücken in Oracle E-Business Suite, Oracle Access Manager und Oracle SOA Suite, die leicht ausnutzbar sind.
• Apache Traffic Server (diverse CVEs mit CVSS 10.0): Mehrere Schwachstellen, die unauthentifizierte Kontrolle über ImageMagick-Argumente, erzwungenes Signieren von AWS-Headern oder TLS-Session-Hijacking ermöglichen.
• Fortinet FortiSIEM (CVE-2026-106173): Path Traversal mit CVSS 9.8, die zur Ausführung von unautorisiertem Code führen kann.

Zusätzlich wurden zahlreiche Schwachstellen im Linux Kernel gemeldet, die lokale Denial-of-Service-Angriffe, Datenmanipulation oder Privilegienerhöhung ermöglichen. Auch Red Hat Quay und Red Hat Enterprise Linux sind von mehreren Schwachstellen betroffen, die DoS oder Sicherheitsumgehungen erlauben.

Betroffene Branchen & Technologien

Die gemeldeten Schwachstellen betreffen eine breite Palette von Technologien, die in nahezu allen Branchen zum Einsatz kommen:

• Web-Anwendungen und Server: PHP, Apache Traffic Server, Next.js, WordPress (WP Mailster).
• Betriebssysteme und Container: Linux Kernel, Red Hat Enterprise Linux, Red Hat Quay.
• Netzwerk- und Sicherheitsinfrastruktur: Cisco-Produkte, HPE Aruba Networking, FortiManager, Palo Alto Networks PAN-OS, FortiSIEM.
• Enterprise-Software: Splunk, Oracle E-Business Suite, Oracle Fusion Middleware, JD Edwards EnterpriseOne.

Es gibt keine spezifischen Branchen, die diese Woche überproportional betroffen waren; die Breite der betroffenen Technologien deutet auf ein allgemeines Risiko für alle Organisationen hin, die diese Produkte einsetzen.

Priorisierung für die kommende Woche

Für die kommende Woche sollten Security-Teams folgende Prioritäten setzen:

1. PHP-Anwendungen: Dringende Prüfung und Patching von PHP-Installationen, insbesondere wenn session.upload_progress in mod_php verwendet wird. Implementierung der bereitgestellten Detection Rules für CVE-2026-109618 und CVE-2026-109619.
2. KEV-Katalog: Umgehende Adressierung aller Schwachstellen, die im KEV-Katalog gelistet sind und aktiv ausgenutzt werden (z.B. FortiManager, Palo Alto Networks PAN-OS, Siemens Software Center, Collabora Online).
3. Infrastruktur-Patching: Priorisiertes Patching von Cisco, HPE Aruba Networking, Red Hat und Splunk-Produkten gemäß den Herstellerempfehlungen, insbesondere bei Lücken, die RCE oder Privilegienerhöhung ermöglichen.
4. Linux-Systeme: Aktualisierung des Linux Kernels und relevanter Red Hat Komponenten, um lokale Angriffsvektoren zu minimieren.
5. Oracle-Produkte: Prüfung und Patching von Oracle E-Business Suite, Fusion Middleware und JD Edwards EnterpriseOne, da hier mehrere kritische, leicht ausnutzbare Lücken bestehen.

Quellenhinweise

• CERT-FR: Multiples vulnérabilités dans les produits Red Hat (23 octobre 2026)
• CERT-FR: Multiples vulnérabilités dans les produits HPE Aruba Networking (23 octobre 2026)
• GitHub Trending: php2shell — PHP2Shell: version-aware research toolkit for CVE-2026-109618 / CVE-2026-109619 — pre-auth RCE in PHP session.upload_progress (mod_php). Build profiles, labs, heap calibration and detection guidance for authorized security testing.
• GitHub Trending: php2shell-poc — CVE-2026-109618/109619 — 5 RCE chains + detection rules (Suricata, Sigma, ModSecurity). PHP session.upload_progress pre-auth exploit research.
• CERT-FR: Multiples vulnérabilités dans les produits Splunk (22 octobre 2026)
• CERT-FR: Multiples vulnérabilités dans les produits Cisco (22 octobre 2026)
• CERT-Bund: [UPDATE] [mittel] Linux Kernel: Mehrere Schwachstellen
• CERT-Bund: [NEU] [mittel] Red Hat Quay und Enterprise Linux (pypdf, urllib3, URI): Mehrere Schwachstellen
• CERT-Bund: [NEU] [mittel] Linux Kernel: Mehrere Schwachstellen
• CERT-Bund: [UPDATE] [mittel] Red Hat Enterprise Linux (cifs-utils): Schwachstelle ermöglicht Ausführen von beliebigem Programmcode mit Administratorrechten