CISA listet fünf aktiv ausgenutzte Sicherheitslücken in KEV-Katalog auf

Die US-Behörde für Cybersicherheit und Infrastruktursicherheit (CISA) hat fünf Sicherheitslücken in JFrog Artifactory, ConnectWise ScreenConnect und MikroTik RouterOS in ihren Katalog bekannter ausgenutzter Schwachstellen aufgenommen. Diese Maßnahme erfolgte nach Berichten über aktive Ausnutzung in der Praxis.

Angreifer haben zwei Lücken in Artifactory zusammen mit der Schwachstelle CVE-2026-82329, die einen Schweregrad von 9,8 aufweist, kombiniert, um zwischen dem 15. August und dem 8. September 2026 die Administratorsteuerung selbst gehosteter Server zu übernehmen und Hintertüren zu installieren. Die Firma Wiz, die zu Google gehört, erklärte, dass die Angreifer diese Schwachstellen nutzen, um Authentifizierung zu umgehen, Berechtigungen zu erweitern und die Kontrolle über anfällige Instanzen zu erlangen. Beobachtete Aktivitäten umfassen die Erstellung dauerhafter Administratorkonten, die Bereitstellung bösartiger Groovy-Plugins zur Codeausführung und die Installation von Rust-basierten Hintertüren zur Sicherung des Zugangs.

Die Ausnutzung der Lücke CVE-2026-84869 in ScreenConnect wurde mit drei unabhängigen Vorfällen in Verbindung gebracht, die von Huntress dokumentiert wurden. Dabei missbrauchten Bedrohungsakteure ScreenConnect, um bösartige Visual Basic Script-Lasten an neu verbundene Systeme zu verteilen. ConnectWise beschrieb die Lücke als einen Zustand im Client, der unter bestimmten Umständen die Übertragung und Ausführung von Dateien über eine aktive Fernsitzung ohne Genehmigung oder Bestätigung des Hosts ermöglichen kann. Das Problem betrifft die ScreenConnect-Server nicht. Huntress riet Organisationen, auf die Version 26.6.5 zu aktualisieren.

Die Aufnahme der Lücken CVE-2026-67277 und CVE-2026-86060 in MikroTik RouterOS folgt einem Bericht von CERT Polska, der letzte Woche beobachtete, wie unbekannte Bedrohungsakteure zwei Schwachstellen nutzten, um die Kontrolle über anfällige Geräte ohne Authentifizierung zu übernehmen. Die Behörde bezeichnete diese Ausnutzungssequenz als MikroTrick.

Behörden des zivilen Exekutivzweigs der Bundesregierung sind verpflichtet, die RouterOS-Lücken bis zum 13. September 2026, die ScreenConnect-Lücke bis zum 14. September 2026 und die Artifactory-Lücken bis zum 25. September 2026 zu beheben.