Cisa warnt vor Angriffen auf diverse Software

Aktuelle Bedrohungslage durch gezielte Cyberangriffe

Die US-amerikanische IT-Sicherheitsbehörde CISA hat eine dringende Warnung herausgegeben, die eine Vielzahl von Software-Produkten betrifft. Den Berichten zufolge wurden in den vergangenen Tagen vermehrt aktive Angriffsversuche auf bekannte Schwachstellen in unterschiedlichen IT-Infrastrukturen beobachtet. Die Liste der betroffenen Systeme ist lang und umfasst unter anderem Red Hat, Microsoft SQL Server, Ajax.NET, Linux-Distributionen, Citrix NetScaler sowie das Versionsverwaltungssystem Gitea. Die Behörde stuft die Situation als ernst ein, da Angreifer gezielt versuchen, diese Sicherheitslücken auszunutzen, um Schadcode einzuschleusen oder unbefugten Zugriff auf sensible IT-Umgebungen zu erlangen. Die Warnung richtet sich primär an IT-Administratoren weltweit, die dazu aufgefordert werden, ihre Systeme umgehend auf die neuesten Versionen zu aktualisieren und auf mögliche Anzeichen einer Kompromittierung zu prüfen. Besonders kritisch ist dabei der Umstand, dass einige der attackierten Lücken bereits seit vielen Jahren bekannt sind, was die Dringlichkeit der Sicherheitsupdates unterstreicht. Die CISA hat diese Schwachstellen offiziell in ihren Katalog der aktiv ausgenutzten Sicherheitslücken, den sogenannten „Known Exploited Vulnerabilities“-Katalog, aufgenommen, um die Aufmerksamkeit auf die akute Gefahr zu lenken.

Details zu den betroffenen Systemen und Schwachstellen

Die technischen Details zu den Angriffen zeichnen ein besorgniserregendes Bild. Besonders im Fokus steht das Versionsverwaltungssystem Gitea, bei dem eine Sicherheitslücke in der „diffpatch“-API (CVE-2026-60004) mit einem CVSS-Wert von 9,8 als kritisch eingestuft wurde. Diese Schwachstelle ermöglicht es Angreifern aus dem Internet, ohne vorherige Authentifizierung Schadcode einzuschleusen und auszuführen. Ein weiteres prominentes Ziel ist Citrix NetScaler ADC und Gateway. Hier wird eine Schwachstelle (CVE-2026-8452, CVSS 8,8) ausgenutzt, die es ermöglicht, Webshells mit Dateinamen wie „x.php“ oder „z.php“ auf verwundbare Instanzen zu schubsen und dort Befehle zur Ausforschung der Systeme auszuführen. Berichte von Sicherheitsforschern wie Previdian und DefusedCyber bestätigen, dass diese Angriffsversuche bereits in der Praxis beobachtet wurden. Darüber hinaus stehen veraltete Installationen im Fokus: So wird eine Sicherheitslücke im Linux-Kernel (CVE-2022-0995) aus dem Jahr 2022 ebenso attackiert wie eine kritische Lücke in Ajax.NET (CVE-2021-23758) und eine Schwachstelle in Microsoft-SQL-Servern (CVE-2019-1068). Besonders bemerkenswert ist der Angriff auf sehr alte Schwachstellen in Red Hat Linux, namentlich im Automatic Bug Reporting Tool (CVE-2015-5287) und in Libuser (CVE-2015-3246), die teilweise über ein Jahrzehnt alt sind.

Hintergrund zur Entstehung der Sicherheitslage

Die aktuelle Warnung der CISA ist das Ergebnis einer kontinuierlichen Überwachung der globalen Bedrohungslage. Dass Angreifer vermehrt auf derart alte Schwachstellen zurückgreifen, deutet auf eine Strategie hin, bei der gezielt nach Systemen gesucht wird, deren Wartungszyklen vernachlässigt wurden. Viele der genannten Sicherheitslücken existieren bereits seit Jahren, manche sogar seit über zehn Jahren, was sie in Fachkreisen teilweise als „museumsreif“ bezeichnet. Dennoch sind diese Systeme in vielen Unternehmensnetzwerken weiterhin im Einsatz, oft ohne dass die notwendigen Patches eingespielt wurden. Die Entwicklung begann bereits in der Nacht zum Mittwoch, als die CISA erstmals vor den Angriffen auf Gitea warnte. In der darauffolgenden Nacht zum Donnerstag wurde die Warnung um einen umfangreichen Katalog weiterer Schwachstellen erweitert. Diese Eskalation zeigt, dass Angreifer ihre Taktik ständig anpassen und versuchen, die Lücke zwischen der Veröffentlichung eines Patches und dessen tatsächlicher Installation durch die Administratoren auszunutzen. Die Tatsache, dass nun auch sehr alte Schwachstellen in Red Hat Linux wieder in den Fokus geraten, verdeutlicht, dass veraltete Softwareinstallationen ein dauerhaftes und hohes Risiko für die IT-Sicherheit darstellen, da sie oft als Einfallstor für tiefergehende Angriffe dienen.

Die beteiligten Akteure und Institutionen

Die zentrale Rolle in dieser Angelegenheit nimmt die US-amerikanische IT-Sicherheitsbehörde CISA ein, die als koordinierende Instanz die Warnungen herausgibt und den „Known Exploited Vulnerabilities“-Katalog pflegt. Auf der Seite der Sicherheitsforschung sind Unternehmen wie Previdian und Organisationen wie DefusedCyber maßgeblich an der Identifizierung und Dokumentation der Angriffsversuche beteiligt. Diese Akteure nutzen Plattformen wie LinkedIn oder X, um ihre Beobachtungen zu teilen und die Fachwelt vor den konkreten Angriffsmustern zu warnen. Auf der anderen Seite stehen die IT-Verantwortlichen und Administratoren in Unternehmen und Organisationen, die nun vor der Herausforderung stehen, ihre Systeme zu prüfen und abzusichern. Die betroffenen Software-Hersteller, darunter Red Hat, Microsoft und die Entwickler von Gitea sowie Citrix, sind indirekt beteiligt, da sie die notwendigen Sicherheitsupdates bereitstellen müssen. Die CISA selbst fungiert hierbei als Sprachrohr und mahnende Instanz, die keine eigenen Details zu den spezifischen Urhebern oder dem genauen Umfang der erzielten Erfolge der Angreifer preisgibt, sondern sich auf die Warnung vor der bloßen Existenz und Ausnutzung der Schwachstellen konzentriert.

Einordnung der Sicherheitsbedrohung

Einzuordnen ist das Geschehen als ein massives Warnsignal für die Notwendigkeit einer konsequenten „Cyber-Hygiene“. Dass Angreifer auch Schwachstellen aus dem Jahr 2015 attackieren, zeigt, dass das Alter einer Sicherheitslücke kein Schutz vor Ausnutzung ist. Den Berichten zufolge sollten IT-Verantwortliche bei allen Instanzen, die aus dem Internet erreichbar sind, grundsätzlich von einer erfolgten Kompromittierung ausgehen, sofern die entsprechenden Updates nicht zeitnah installiert wurden. Die Schwachstellen, die teilweise CVSS-Werte von 9,8 erreichen, sind als kritisch einzustufen, da sie häufig keine komplexe Authentifizierung erfordern. Die Strategie der Angreifer, Webshells zu platzieren, deutet darauf hin, dass sie dauerhaften Zugriff auf die betroffenen Server anstreben, um diese für weitere Aktivitäten wie Datendiebstahl oder Spionage zu nutzen. Die Einordnung der CISA, diese Lücken in den Katalog der aktiv ausgenutzten Schwachstellen aufzunehmen, unterstreicht, dass es sich nicht um theoretische Risiken handelt, sondern um eine reale Gefahr, die bereits zu Angriffen geführt hat. Unternehmen, die ihre Systeme nicht auf Einbruchsspuren untersuchen, riskieren, dass Angreifer unbemerkt in ihren Netzwerken agieren können.

Offene Fragen und verbleibende Lücken

Trotz der detaillierten Warnungen der CISA bleiben einige zentrale Fragen unbeantwortet. So macht die Behörde keinerlei Angaben dazu, wie viele Systeme weltweit tatsächlich bereits erfolgreich kompromittiert wurden. Es fehlen Informationen über die Identität oder die Herkunft der Angreifer, die hinter dieser konzertierten Aktion stehen. Ebenso bleibt unklar, ob es sich um eine koordinierte Kampagne einer einzelnen Gruppe handelt oder ob verschiedene Akteure unabhängig voneinander dieselben Schwachstellen für ihre Zwecke nutzen. Der Quelltext enthält keine Informationen darüber, welche spezifischen Branchen oder geografischen Regionen am stärksten von den Angriffen betroffen sind. Zudem wird nicht spezifiziert, welche weiteren Befehle über die genannten Beispiele „id“ und „echo“ hinaus von den Angreifern auf den kompromittierten Systemen ausgeführt wurden. Die CISA nennt keine konkreten Zeitpläne für weitere Sicherheitsupdates, die über die bereits existierenden Patches hinausgehen könnten. Auch bleibt offen, wie hoch der tatsächliche Schaden ist, der durch die bereits erfolgten Angriffe entstanden ist, da die Behörde keine Details zu Art und Umfang der Cyberangriffe ausführt und sich auf die Warnfunktion beschränkt.