Wochenlage KW44: Ivanti, PHP und Palo Alto im Fokus der Angreifer

Überblick der Woche

Die 44. Kalenderwoche war geprägt von einer Reihe kritischer Schwachstellen, die in weit verbreiteten Produkten entdeckt und teilweise aktiv ausgenutzt wurden. Besonders hervorzuheben sind die Entwicklungen rund um Ivanti Connect Secure, PHP und Palo Alto Networks PAN-OS. Die Aufnahme mehrerer dieser Lücken in den CISA KEV-Katalog unterstreicht die hohe Relevanz für Verteidiger. Das Lagebild zeigt eine Konzentration auf Perimeter-Geräte und Web-Anwendungen, die oft als erste Angriffsvektoren dienen.

Wichtigste Vorfälle & Signale

Angreifer haben drei Schwachstellen in Ivanti Connect Secure (ICS) kombiniert, um unauthentifizierten Root-Zugriff zu erlangen. Zwei dieser Ivanti-Lücken (CVE-2026-111357 und CVE-2026-118527) wurden von CISA in den Katalog der aktiv ausgenutzten Schwachstellen (KEV) aufgenommen. Dies deutet auf eine hohe Bedrohung für betroffene Systeme hin. Ebenfalls kritisch sind die multiplen Schwachstellen in Palo Alto Networks PAN-OS, von denen einige Remote Code Execution (RCE) ermöglichen und bereits aktiv ausgenutzt werden. Auch PHP-Systeme sind durch zwei kritische Lücken (CVE-2026-109618 und CVE-2026-109619) betroffen, die ebenfalls im KEV-Katalog gelistet sind und über das Netz ohne Anmeldung ausnutzbar sind. Eine Ausnutzung dieser PHP-Lücken in den nächsten 30 Tagen ist so gut wie sicher.

Kritische Schwachstellen (KEV / High)

Die Woche brachte eine signifikante Anzahl an KEV-Einträgen und Schwachstellen mit hohem CVSS-Score:

• Ivanti Connect Secure (CVE-2026-111357, CVE-2026-118527): Zwei Lücken, die in Kombination unauthentifizierten Root-Zugriff ermöglichen und aktiv ausgenutzt werden. CVE-2026-111357 mishandelt die Vertrauensstellung von Konfigurationsdaten, was zu einer Privilegienerhöhung auf Root führt.
• PHP (CVE-2026-109618, CVE-2026-109619): Zwei kritische Schwachstellen, die beide im KEV-Katalog gelistet sind und über das Netz ohne Anmeldung ausnutzbar sind. CVE-2026-109618 betrifft die Handhabung von Out-of-Memory-Fehlern, während CVE-2026-109619 Probleme beim Zurücksetzen des globalen Zustands aufweist. Eine Ausnutzung in den nächsten 30 Tagen ist so gut wie sicher.
• Palo Alto Networks PAN-OS: Mehrere kritische Schwachstellen, die Remote Code Execution ermöglichen. Einige Versionen sind bereits aktiv ausgenutzt.
• Google Brotli (CVE-2026-111497): Eine Pufferüberlauf-Schwachstelle, die aktiv ausgenutzt wird und ein im KEV-Katalog benanntes Produkt betrifft. Eine Ausnutzung in den nächsten 30 Tagen ist unwahrscheinlich.
• Apple Produkte (CVE-2026-86950): Eine Out-of-Bounds-Write-Schwachstelle, die mit verbesserter Bereichsprüfung behoben wurde und im KEV-Katalog steht.
• Adobe Commerce (CVE-2026-48356): Eine Schwachstelle für uneingeschränkten Dateiupload mit gefährlichem Typ, die zu beliebiger Codeausführung führen kann und im KEV-Katalog gelistet ist.
• Oracle PeopleSoft (CVE-2026-35273): Eine leicht ausnutzbare Schwachstelle in PeopleTools, die im KEV-Katalog steht.
• Cisco Catalyst SD-WAN (CVE-2026-20127): Eine Schwachstelle in der Peering-Authentifizierung, die im KEV-Katalog steht.
• Cisco Secure Firewall ASA/FTD (CVE-2026-76418): Eine Schwachstelle im Remote Access SSL VPN-Dienst, die über das Netz ohne Anmeldung ausnutzbar ist und im KEV-Katalog steht.

Zusätzlich wurden kritische Schwachstellen in IBM-Produkten, Google Chrome, SUSE Linux-Kernel, Tenable-Produkten und Microsoft .NET gemeldet, die ebenfalls zeitnahe Patches erfordern.

Betroffene Branchen & Technologien

Die gemeldeten Schwachstellen betreffen eine breite Palette von Branchen, darunter Finanzen, Behörden, Energie, Healthcare und Telekommunikation, da die betroffenen Technologien in diesen Sektoren weit verbreitet sind. Technologisch stehen insbesondere Netzwerk-Perimeter-Geräte (Ivanti, Palo Alto, Cisco), Web-Anwendungen (PHP, Adobe Commerce, Oracle PeopleSoft) und Betriebssysteme (SUSE Linux, Apple macOS/iOS) im Fokus. Auch Entwicklungsumgebungen (Apple Xcode) und Security-Produkte (Tenable) sind betroffen.

Priorisierung für die kommende Woche

Die hohe Anzahl an aktiv ausgenutzten Schwachstellen in kritischen Infrastrukturkomponenten erfordert eine sofortige Reaktion. Die Priorität liegt auf dem schnellen Patchen der im KEV-Katalog gelisteten Schwachstellen, insbesondere in Ivanti Connect Secure und PHP. Da eine Ausnutzung der PHP-Lücken als so gut wie sicher eingeschätzt wird, ist hier höchste Dringlichkeit geboten. Auch die Schwachstellen in Palo Alto Networks PAN-OS sollten umgehend adressiert werden, da sie RCE ermöglichen und bereits ausgenutzt werden. Ein proaktives Patch-Management und die Überwachung von Perimeter-Geräten sind entscheidend.

Quellenhinweise

• The Hacker News: Attackers Chain Three Ivanti Connect Secure Flaws to Gain Unauthenticated Root Access
• CISA Current Activity: CISA Adds Two Known Exploited Vulnerabilities to Catalog
• CERT-FR: Multiples vulnérabilités dans les produits IBM (30 octobre 2026)
• CERT-FR: Multiples vulnérabilités dans les produits Apple (30 octobre 2026)
• CERT-FR: Multiples vulnérabilités dans Google Chrome (30 octobre 2026)
• CERT-FR: Multiples vulnérabilités dans le noyau Linux de SUSE (30 octobre 2026)
• CERT-FR: Multiples vulnérabilités dans Palo Alto Networks PAN-OS (28 octobre 2026)
• CISA Current Activity: CISA Adds Two Known Exploited Vulnerabilities to Catalog
• CERT-FR: Multiples vulnérabilités dans les produits Tenable (26 octobre 2026)
• CERT-FR: Multiples vulnérabilités dans Microsoft .Net (26 octobre 2026)