Wochenlage KW45: Ivanti Zero-Days, Linux Kernel und Microsoft Patches dominieren

Überblick der Woche

Die vergangene Woche war von einer hohen Dichte an kritischen Schwachstellen und deren aktiver Ausnutzung geprägt. Insbesondere die anhaltenden Angriffe auf Ivanti Connect Secure VPN-Produkte, die Entdeckung zahlreicher Lücken im Linux-Kernel und ein umfangreicher Patch-Day von Microsoft erforderten erhöhte Aufmerksamkeit. Die Signale deuten auf eine fortgesetzte Bedrohung durch die Ausnutzung von Edge-Geräten und weit verbreiteter Infrastruktur hin.

Wichtigste Vorfälle & Signale

Ein zentrales Thema war die erneute Kompromittierung von Ivanti Connect Secure (ICS) VPN-Produkten. Angreifer kombinierten drei Schwachstellen, darunter die Zero-Days CVE-2026-111357 und CVE-2026-118527, um unauthentifizierten Root-Zugriff zu erlangen. Die bereits bekannte CVE-2026-104935, die ebenfalls aktiv ausgenutzt wird und eine Authentifizierungs-Bypass-Schwachstelle darstellt, war Teil dieser Angriffskette. SecBoard beobachtet, dass CVE-2026-104935 und CVE-2026-111357 aktiv ausgenutzt werden und Produkte betreffen, die im KEV-Katalog benannt sind. Diese Vorfälle unterstreichen die anhaltende Relevanz der Absicherung von VPN-Gateways als kritische Angriffsfläche.

Parallel dazu wurden mehrere Schwachstellen im Linux-Kernel für verschiedene Distributionen wie SUSE und Ubuntu gemeldet. Diese Lücken ermöglichen lokalen Angreifern Privilegienerweiterungen, Denial-of-Service, Offenlegung vertraulicher Informationen oder unspezifische Angriffe. Die weite Verbreitung von Linux-Systemen macht diese Meldungen besonders relevant für eine breite Palette von Organisationen.

Microsoft schloss im Oktober eine Rekordzahl von 1.413 Sicherheitslücken, darunter eine aktiv ausgenutzte Zero-Day-Schwachstelle in Windows (CVE-2026-96951), die eine Umgehung der "Mark of the Web"-Sicherheitsfunktion ermöglichte. Dies unterstreicht die Notwendigkeit eines kontinuierlichen und zeitnahen Patch-Managements für Windows-Umgebungen.

Im Bereich der Offensive Security Tools wurde lonkero auf GitHub Trending gesichtet, ein modularer Scanner für Penetrationstests, der in Rust geschrieben ist. Dies zeigt die fortlaufende Entwicklung und Verfügbarkeit von Tools, die Angreifern und Red Teams gleichermaßen zur Verfügung stehen.

Kritische Schwachstellen (KEV / High)

Die Woche war geprägt von mehreren kritischen Schwachstellen, die im KEV-Katalog gelistet sind oder ein hohes Risiko aufweisen:

• Ivanti Connect Secure Zero-Days (CVE-2026-104935, CVE-2026-111357, CVE-2026-118527): Diese Schwachstellen ermöglichen in Kombination unauthentifizierten Root-Zugriff und werden aktiv ausgenutzt. CVE-2026-104935 (CVSS 8.6, EPSS 89%) ist ein Authentifizierungs-Bypass, CVE-2026-111357 (CVSS 7.0, EPSS 1%) führt zu Privilegienerhöhung zu Root, und CVE-2026-118527 (CVSS 4.3, EPSS 1%) erlaubt das Hochladen von Dateien an bekannte Orte. SecBoard beobachtet, dass CVE-2026-104935 und CVE-2026-111357 aktiv ausgenutzt werden und im KEV-Katalog benannte Produkte betreffen.
• Windows Zero-Day (CVE-2026-96951): Eine Command Injection in Windows Shell (CVSS 8.8, EPSS 10%) ermöglicht die Umgehung einer Sicherheitsfunktion über das Netzwerk und wurde aktiv ausgenutzt.
• Linux Kernel Schwachstellen: Mehrere Lücken, die Privilegienerweiterung, DoS oder Informationslecks ermöglichen, wurden in SUSE und Ubuntu Linux-Kerneln gemeldet. Obwohl keine spezifischen CVEs mit KEV-Status in den Rohdaten genannt wurden, ist die hohe Anzahl und die weite Verbreitung des Kernels von kritischer Bedeutung.
• GitLab RCE (CVE-2026-97229): Eine kritische Schwachstelle in GitLab CE/EE (CVSS 10.0, EPSS 65%) ermöglicht unter bestimmten Bedingungen unauthentifizierte Remote Code Execution.
• WordPress Core RCE (CVE-2026-119977): Eine Remote Code Execution (CVSS 8.1, EPSS 1%) in WordPress Core-Versionen 4.7 bis 7.1.3, die durch vorhersagbare Staging-Pfade während Upgrades entsteht. SecBoard beobachtet, dass diese Schwachstelle über das Netz ohne Anmeldung ausnutzbar ist und aktiv ausgenutzt wird.

Betroffene Branchen & Technologien

Die gemeldeten Schwachstellen betreffen primär Netzwerk-Perimeter-Geräte (Ivanti Connect Secure VPNs) und Linux-basierte Infrastrukturen (Linux Kernel in SUSE, Ubuntu, Amazon, Dell, Google). Auch Windows-Systeme sind durch die Microsoft-Patches und die aktiv ausgenutzte Zero-Day-Lücke betroffen. Die weite Verbreitung dieser Technologien bedeutet, dass potenziell alle Branchen betroffen sind, die diese Produkte einsetzen. Insbesondere Organisationen mit exponierten VPN-Gateways und umfangreichen Linux-Serverlandschaften sollten höchste Wachsamkeit walten lassen.

Priorisierung für die kommende Woche

Die Priorisierung für die kommende Woche sollte sich auf die schnelle Behebung der kritischen Schwachstellen konzentrieren, insbesondere jener, die aktiv ausgenutzt werden und im KEV-Katalog gelistet sind. Die Absicherung von Edge-Geräten wie VPN-Gateways bleibt eine Top-Priorität. Ein proaktives Patch-Management und die Überwachung von Systemen auf Anzeichen von Kompromittierung sind unerlässlich.

Quellenhinweise

• CERT-Bund: [UPDATE] [mittel] Linux Kernel: Mehrere Schwachstellen
• CERT-FR: Multiples vulnérabilités dans le noyau Linux de SUSE (06 novembre 2026)
• CERT-FR: Multiples vulnérabilités dans le noyau Linux d'Ubuntu (06 novembre 2026)
• CERT-Bund: [UPDATE] [mittel] Linux Kernel: Mehrere Schwachstellen ermöglichen nicht spezifizierten Angriff
• CrowdStrike: CrowdStrike to Acquire Dreadnode to Bring Automated AI Security Testing to the Falcon Platform
• GitHub Trending: lonkero — Lonkero - Wraps around your attack surface. Professional-grade scanner for real penetration testing. Fast. Modular. Rust.
• SecurityWeek: Ivanti Patches Two More Zero-Days Exploited in Connect Secure Attack Chain
• CERT-FR: Multiples vulnérabilités dans Ivanti Connect Secure (02 novembre 2026)
• The Hacker News: Attackers Chain Three Ivanti Connect Secure Flaws to Gain Unauthenticated Root Access
• SecurityWeek: Microsoft Patches Record 1,413 Vulnerabilities, Including Exploited Windows Zero-Day