Top 5 Cybersicherheit News Stories vom 31. Juli 2026
Die fünf Meldungen in dieser Woche Cybersicherheit News Stories vom 31. Juli 2026 beschreiben jeweils ein anderes Versagen auf derselben architektonischen Ebene: nicht die Anwendungsschicht, nicht die Endgeräte, nicht einmal den Netzwerkperimeter im klassischen Sinne — sondern die grundlegende Infrastruktur, von der Perimeter, Anwendungen und Endgeräte für ihre Funktion abhängig sind. Die Angreifer haben kein Unternehmens-IT-Netz eines Wasserwerks kompromittiert, um die Minnesota-Anlagen zu stören, die am 26. und 27. Juli angegriffen wurden. Sie haben die OT-Controller erreicht, die physikalische Sicherheitsprozesse in mehr als dreißig kommunalen Wasserversorgungsanlagen steuern, indem sie eine seit fünf Jahren dokumentierte, praktisch nicht patchbare Schwachstelle in Rockwell Automation-Steuerungen ausnutzten. JetBrains veröffentlichte eine kritische, nicht authentifizierte Remote-Code-Execution-Schwachstelle mit CVSS 9.8 in TeamCity On-Premises — der CI/CD-Build-Automatisierungsplattform, über die Software in Produktionsumgebungen gelangt — die weder Zugangsdaten, noch Nutzerinteraktion, noch bestehenden Zugriff erfordert. Ein am 24. Juli veröffentlichter Proof-of-Concept zeigte, dass ein normaler, niedrig privilegierter Active-Directory-Domänenbenutzer eine Fallback-Funktion in Active Directory Certificate Services ausnutzen kann, um sich als Domänencontroller auszugeben, die Basis-Zugangsdaten der gesamten AD-Vertrauensstruktur zu extrahieren und vollständige Domänenkompromittierung zu erzielen — ohne eine einzige Schadsoftware auszuführen oder Administratorrechte zu benötigen. NGINX, der Reverse Proxy und Webserver vor einem erheblichen Teil der weltweit internetfähigen Anwendungen, enthält einen fünfzehn Jahre alten Heap-Buffer-Overflow, der in Kombination mit einem Informationsleck eine Pre-Authentifizierungs-Exploit-Kette erzeugt, die ASLR umgeht und Code auf dem Server ausführt. Und Ciscos Secure Firewall Management Center — die Verwaltungsplattform für die Konfiguration der Cisco-Firewall-Infrastruktur einer Organisation — wurde am 29. Juli in den CISA-Katalog bekannter ausgenutzter Schwachstellen aufgenommen, weil Angreifer sich mit einem fest einkodierten, integrierten Zugangsdatensatz von außen authentifizieren, den kein Administrator entfernen kann. Keine dieser Schwachstellen betrifft die Anwendungsschicht. Alle betreffen die Schicht darunter: den Sicherheitscontroller, die Build-Pipeline, die Vertrauensinfrastruktur, die Auslieferungsschicht, das Policy-Management-System.
1) Koordinierter Cyberangriff schaltet OT-Systeme in Minnesota-Wasserwerken ab — über 30 Anlagen betroffen, CVE-2021-22681 im Einsatz
Am 26. und 27. Juli 2026 traf ein koordinierter Cyberangriff mehr als dreißig kommunale Wasser- und Abwasserversorgungsanlagen in Minnesota und zwang mehrere Einrichtungen zur Umstellung von automatisiertem auf manuellen Betrieb, wobei mindestens ein Klärwerk vollständig abgeschaltet wurde. Die Wasserqualität in den betroffenen Gemeinden war nicht gefährdet, und keine Kommune musste Einschränkungen für den Wasserverbrauch anordnen. Die operative Auswirkung — Betriebspersonal managt sicherheitskritische Aufbereitungsprozesse manuell statt über automatisierte Steuerungssysteme — war jedoch die direkte Folge kompromittierter OT-Controller. Die Zuschreibung ist noch Gegenstand laufender Ermittlungen; keine US-Behörde hat die Minnesota-Angriffe zum Zeitpunkt dieser Veröffentlichung offiziell einem konkreten Akteur zugeordnet. Das Threat-Intelligence-Team von Tenable bewertet das Angriffsmuster als konsistent mit CyberAv3ngers, dem iranisch verknüpften Bedrohungsakteur, der in früheren CISA-Advisories für Angriffe auf US-Wasserinfrastruktur benannt wurde — darunter Advisory AA26-097A, das vier Tage vor Beginn der Minnesota-Angriffe veröffentlicht worden war.
Der technische Angriffsmechanismus ist CVE-2021-22681, eine kritische Schwachstelle in Rockwell Automations Studio 5000 Logix Designer, die einem Angreifer mit Netzwerkzugang ermöglicht, Authentifizierungsnachweise für die SPS zu fälschen, die Signaturüberprüfung zum Schutz der Projektintegrität zu umgehen und die programmierten Steuerungsparameter für Prozessabläufe zu modifizieren. Diese Schwachstelle ist seit 2021 öffentlich dokumentiert. Sie wurde in der großen Mehrheit der betroffenen Anlagen nicht gepatcht — weil die Patch-Beschränkung in OT-Umgebungen nicht technischer Natur ist, sondern betrieblicher. Eine industrielle Steuerung in einem laufenden Wasserwerk für ein Software-Update abzuschalten erfordert die Planung von Wartungsfenstern innerhalb der Aufbereitungszyklen, technische Freigaben und in manchen Bundesländern die Koordination mit Regulierungsbehörden. CISA veröffentlichte am 22. Juli — vier Tage vor Beginn der Minnesota-Angriffe — das Advisory AA26-097A, das explizit vor iranischen Akteuren warnte, die OT-Systeme mit Rockwell Automation, Schneider Electric und Siemens-Plattformen angreifen. Das Advisory benannte die relevanten Angriffsvektoren und spezifizierte Gegenmaßnahmen. Die Angriffe begannen vier Tage nach der Warnung.
Für Betreiber von Wasserversorgungsinfrastruktur, Versorgungsunternehmen oder Industrieanlagen im DACH-Raum mit Rockwell Automation-, Siemens- oder Schneider Electric-Steuerungen, auf die von internetverbundenen Engineering-Workstations aus zugegriffen werden kann, ist der Minnesota-Vorfall kein US-spezifisches Szenario. Das zugehörige Advisory benennt explizit die OT-Plattformen, die in der europäischen kritischen Infrastruktur dominant sind.
Am 26.–27. Juli 2026 zwangen Angreifer, die CVE-2021-22681 ausnutzten, mehr als 30 Wasserwerke in Minnesota zum manuellen Betrieb — die OT-Controller, nicht das Unternehmens-IT-Netz, waren das Angriffsziel.
Mehr dazu: The Hacker News · SecurityWeek · BleepingComputer
2) JetBrains TeamCity CVE-2026-63077 — CVSS 9.8 nicht authentifizierte RCE in der Plattform, die Ihre Software baut, Ihre Deployment-Pipelines verwaltet und alle dafür benötigten Zugangsdaten speichert
Am 27. Juli 2026 veröffentlichte JetBrains ein Security-Advisory für CVE-2026-63077, eine kritische, nicht authentifizierte Remote-Code-Execution-Schwachstelle, die alle Versionen von TeamCity On-Premises betrifft. Die Schwachstelle liegt im Agent-Polling-Protokoll von TeamCity — dem Kommunikationskanal, über den Build-Agents Arbeitsaufträge vom zentralen TeamCity-Server empfangen. Durch präparierte Anfragen, die dieses Protokoll missbrauchen, kann ein nicht authentifizierter Angreifer mit HTTP- oder HTTPS-Zugang zum TeamCity-Server Authentifizierungsprüfungen umgehen und beliebige Betriebssystembefehle mit den Privilegien des TeamCity-Serverprozesses ausführen. Die Schwachstelle ist in den Versionen 2025.11.7 und 2026.1.3 behoben; für Versionen ab 2017.1 steht ein Sicherheits-Patch-Plugin zur Verfügung. JetBrains erklärte zum Zeitpunkt der Veröffentlichung, keine aktive Ausnutzung bekannt zu haben.
Die strategische Bedeutung von CVE-2026-63077 ergibt sich nicht aus dem technischen Exploit-Pfad, sondern daraus, was TeamCity On-Premises enthält. Eine CI/CD-Plattform ist die Build-Infrastruktur — das System, das Quellcode kompiliert, Tests ausführt, Release-Pipelines verwaltet und Software in Produktionsumgebungen überträgt. In den meisten Deployments hält TeamCity gespeicherte Zugangsdaten für jedes System, mit dem die Build-Pipeline interagiert: Source-Code-Repositories, Container-Registries, Cloud-Plattformen, Produktionsserver, Code-Signing-Schlüssel und Secrets-Management-Dienste. Ein nicht authentifizierter Angreifer mit Codeausführung auf dem TeamCity-Server erhält keinen Zugriff auf eine Anwendung — sondern auf die Zugangsdaten und Deployment-Material für jedes System in der Pipeline.
Der historische Präzedenzfall ist direkt relevant: CVE-2024-27198, ein kritischer Authentication-Bypass in derselben Plattform aus dem März 2024, wurde innerhalb von Tagen nach der Veröffentlichung von Ransomware-Betreibern, nationalstaatlichen Gruppen und Initial-Access-Brokern ausgenutzt. Die 2026er-Variante derselben Schwachstellenklasse, in derselben Plattform, trägt denselben CVSS-Score und dasselbe Ausnutzungsfenster.
CVE-2026-63077 (CVSS 9.8): Nicht authentifizierte RCE auf TeamCity On-Premises verschafft Angreifern Zugriff auf alle in der CI/CD-Pipeline gespeicherten Zugangsdaten — dieselbe Schwachstellenklasse, die 2024 innerhalb von Tagen nach der Veröffentlichung ausgenutzt wurde.
Mehr dazu: The Hacker News · Rapid7 · JetBrains Security Blog
3) Certighost CVE-2026-54121 — Ein Standard-Domänenbenutzer wird zum Domänencontroller, Active Directory Certificate Services stellt das Zertifikat aus, und die gesamte Active-Directory-Umgebung folgt
CVE-2026-54121, von den Entdeckern als Certighost bezeichnet, ist eine Improper-Authorization-Schwachstelle in Active Directory Certificate Services — der Windows-Server-Rolle, die die Public-Key-Infrastruktur für die meisten Unternehmens-Active-Directory-Umgebungen betreibt und Zertifikate für Authentifizierung, Code-Signing, Verschlüsselung und sichere Kommunikation ausstellt. Die Forscher H0j3n und Aniq Fakhrul meldeten die Schwachstelle am 14. Mai 2026 an Microsoft; der Patch wurde im Patch Tuesday vom 14. Juli 2026 veröffentlicht. Am 24. Juli publizierten die Forscher vollständige technische Details und ein funktionsfähiges Proof-of-Concept-Exploit-Tool.
Certighost nutzt ein Fallback-Verhalten im AD-CS-Zertifikatregistrierungsprozess aus — konkret den „Chase“-Mechanismus, der bei der Verzeichnisobjektauflösung ausgelöst wird, wenn die Certification Authority die Identität eines Antragstellers auf dem primären Weg nicht auflösen kann. Durch die Angabe spezifischer Request-Attribute einschließlich eines Subject Alternative Name, der auf einen angreiferkontrollierten Host verweist, kann ein normaler, niedrig privilegierter Domänenbenutzer die CA dazu bringen, Identitätsdaten vom angreiferkontrollierten Host abzufragen und diese Daten zur Ausstellung eines Zertifikats zu verwenden, das den Angreifer als Domänencontroller authentifiziert. Ein Zertifikat, das als Domänencontroller authentifiziert, ermöglicht PKINIT-Kerberos-Authentifizierung, die wiederum eine DCSync-Operation ermöglicht — die Technik, mit der der krbtgt-Account-Credential extrahiert wird, der Hauptschlüssel, der alle Kerberos-Tickets in der Domäne signiert. Mit dem krbtgt-Hash kann ein Angreifer Golden Tickets fälschen, die dauerhaften, stillen Zugriff auf alle Ressourcen in der Umgebung gewähren.
Der Angriff erfordert keine Administratorinteraktion, keine Nutzeraktion und keine Schadsoftware. Er erfordert ein Domänenbenutzerkonto und Netzwerkzugang zum CA-Enrollment-Interface. Der am 24. Juli veröffentlichte PoC macht die Dringlichkeit operativ konkret: Für Unternehmen im DACH-Raum, die den Juli-Patch-Tuesday-Update noch nicht vollständig ausgerollt haben — was für viele Organisationen mit mehrwöchigen Patch-Deployment-Zyklen gilt — gibt es jetzt einen öffentlichen, funktionierenden, schrittweisen Exploit-Pfad vom Standard-Domänenbenutzer zur vollständigen Domänenkompromittierung. Die AD-CS-Komponente sollte als Auslöser für ein Notfall-Out-of-Band-Patch-Deployment behandelt werden.
Certighost (CVE-2026-54121): Ein normaler Domänenbenutzer nutzt den AD-CS-Enrollment-Fallback, um ein Zertifikat als Domänencontroller zu erhalten — ermöglicht DCSync und vollständige Domänenkompromittierung, ohne Schadsoftware und ohne Administratorrechte.
Mehr dazu: BleepingComputer · Help Net Security
4) NGINX CVE-2026-42533 — Fünfzehn Jahre alter Heap-Overflow erzeugt Pre-Authentifizierungs-RCE-Kette im Reverse Proxy vor Ihren Anwendungen
CVE-2026-42533 ist ein Heap-Buffer-Overflow in der Verarbeitung der map-Direktive durch NGINX, wenn Regex-Matching PCRE-Capture-Variablen durch NGINXs zweistufige Script-Evaluierungsmaschine referenziert. Die Schwachstelle existiert in NGINX-Versionen ab 0.9.6, die 2011 eingeführt wurde, bis einschließlich 1.30.3 stable und 1.31.2 mainline. Behobene Versionen sind 1.30.4 und 1.31.3. Am 28. Juli 2026 wurde ein öffentlicher Proof-of-Concept-Exploit veröffentlicht.
Der Exploit kombiniert zwei Primitives: einen angreiferkontrollierten Heap-Buffer-Overflow, ausgelöst durch präparierten HTTP-Request-Inhalt — URI, Header oder Body — und ein begleitendes Heap-Pointer-Informationsleck über denselben Request-Pfad, das ASLR aushebelt. Kombiniert erzeugen die beiden Primitives eine Pre-Authentifizierungs-Remote-Code-Execution-Kette, die der Forscher mit einer berichteten Erfolgsrate von zehn von zehn gegen Ubuntu 24.04 mit glibc 2.39 und aktiviertem ASLR demonstrierte. Die für die Ausnutzung erforderliche Konfigurationsbedingung — die map-Direktive mit PCRE-Regex-Capture-Variablen — ist ein in Produktions-NGINX-Deployments verbreitetes Muster in Load-Balancern, API-Gateways und TLS-terminierenden Reverse-Proxys. F5s NGINX Ingress Controller — das kommerziell unterstützte Produkt in vielen Enterprise-Kubernetes-Umgebungen — ist ebenfalls betroffen und verfügt über eigene behobene Versionen: 5.5.3 im Standard-Track und 2026-lts-r4 im LTS-Track. Das upstream Community-Projekt Kubernetes ingress-nginx ist separat betroffen; Orca Security weist darauf hin, dass dieses Projekt NGINX direkt als nicht austauschbare Abhängigkeit in sein Binary kompiliert und dass vom upstream-Projekt selbst kein Patch zu erwarten ist — Cluster, die darauf laufen, sind auf manuelle Maßnahmen auf Cluster-Ebene angewiesen.
Zum Zeitpunkt der Veröffentlichung wurde keine bestätigte aktive Ausnutzung gemeldet. Die Kombination aus Pre-Authentifizierungs-Exploit-Kette mit ASLR-Bypass, einem öffentlichen funktionierenden PoC und NGINXs Einsatzskala als eine der weltweit am weitesten verbreiteten Web-Infrastrukturkomponenten schafft jedoch die Voraussetzungen für eine kurze Ausnutzungsfrist nach der Veröffentlichung. Das Exposure-Profil von CVE-2026-42533 ist besonders dadurch geprägt, dass NGINX häufig als stabile, wartungsarme Infrastruktur behandelt wird, die nur bei CVE-Meldungen aktualisiert wird — was ein fünfzehn Jahre langes Zeitfenster der Schwachstelle in Produktion hinterlässt.
CVE-2026-42533: Ein seit 2011 in NGINX vorhandener Heap-Buffer-Overflow, kombiniert mit einem Heap-Pointer-Leak zur ASLR-Umgehung, ermöglicht Pre-Authentifizierungs-Remote-Code-Execution auf NGINX-Reverse-Proxy- und Ingress-Deployments.
Mehr dazu: The Hacker News · Orca Security · The CyberSec Guru
5) Cisco Secure Firewall Management Center CVE-2026-20316 — CISA fügt fest einkodierten Zugangsdatensatz am 29. Juli zum KEV-Katalog hinzu, und der CVSS-Score sagte Medium-Risiko
CVE-2026-20316 ist eine Use-of-Hard-Coded-Password-Schwachstelle in Cisco Secure Firewall Management Center — der Verwaltungsplattform für die Administration, Überwachung und Konfiguration von Cisco Secure Firewall Appliances und Firepower-Geräten. CISA nahm CVE-2026-20316 am 29. Juli 2026 in den Known-Exploited-Vulnerabilities-Katalog auf. Die Schwachstelle ermöglicht einem nicht authentifizierten Remote-Angreifer, sich mit einem integrierten, niedrig privilegierten Account zu authentifizieren, dessen Zugangsdaten fest in der Software eingekodiert sind und vom Administrator weder geändert noch deaktiviert werden können.
Der Zugang über den fest einkodierten Zugangsdatensatz ermöglicht den Zugriff auf sensible Informationen im FMC-System, einschließlich Firewall-Policy-Details, Netzwerktopologiedaten und Gerätekonfigurationen. Cisco weist CVE-2026-20316 einen CVSS-Basisscore von 5.3 zu — eine Medium-Einstufung, die unter Standard-Vulnerability-Management-Priorisierungsverfahren typischerweise hinter höher bewerteten Einträgen gereiht und möglicherweise außerhalb der meisten organisatorischen Notfall-Patch-Kriterien platziert wird. Ciscos eigenes Advisory bewertet das tatsächliche Risiko als High und verweist explizit darauf, dass der via fest einkodierten Zugangsdaten erlangte Zugang mit anderen FMC-Schwachstellen kombiniert werden kann, um vollständige Systemkompromittierung zu erzielen. Die CISA-KEV-Aufnahme bestätigt, dass dies kein theoretisches Verkettungsrisiko ist — aktive Ausnutzung in der Praxis ist bestätigt.
Die Divergenz zwischen CVSS 5.3 und bestätigter aktiver Ausnutzung in einer CISA-gelisteten Schwachstelle hat eine direkte operative Implikation: Jedes Security-Programm, das den CVSS-Score als primären oder alleinigen Triage-Mechanismus für die Patch-Priorisierung verwendet, wird systematisch ausgenutzte Schwachstellen unterpriorisieren, deren Schweregrad wesentlich durch Kontext und Verkettungspotenzial bestimmt wird, nicht durch das Basis-Scoring-Modell allein. Cisco FMC ist die Plattform, über die Security-Policies an die Firewalls übertragen werden, die Netzwerksegmentierung und Bedrohungsabwehr in der gesamten Sicherheitsinfrastruktur durchsetzen. Es gibt keine Workarounds — nur Hotfixes für FMC-Versionen 7.0, 7.2, 7.4, 7.6, 7.7 und 10.0.
CVE-2026-20316 — CVSS 5.3, aktiv ausgenutzt, seit 29. Juli 2026 im CISA-KEV-Katalog: Der fest einkodierte Zugangsdatensatz in Cisco FMC kann durch keine Administrator-Konfiguration entfernt werden. Der CVSS-Score spiegelt das tatsächliche Risiko nicht wider.
Mehr dazu: BleepingComputer · The Hacker News · CISA
Was uns diese Woche Cybersicherheit News Stories vom 31. Juli 2026 zeigt:
Die fünf Meldungen in dieser Woche Cybersicherheit News Stories vom 31. Juli 2026 beschreiben jeweils eine kompromittierte oder ausgenutzte Komponente, die eine grundlegende Position in der Technologieinfrastruktur einnimmt statt eine periphere oder Anwendungsposition. Die Rockwell-Automation-SPS-Schwachstelle im Minnesota-Wasserwerk-Angriff ist seit 2021 dokumentiert, war Gegenstand von CISA-Advisories und wurde vier Tage vor den Angriffen in einem aktualisierten Advisory explizit benannt. Sie war in den mehr als dreißig Anlagen im Vier-Tage-Fenster zwischen Warnung und Angriff nicht gepatcht — nicht weil die Betreiber keine Kenntnis oder keine Absicht hatten, sondern weil der Patch-Zyklus für sicherheitskritische OT-Ausrüstung strukturell inkompatibel mit dem Zeitfenster ist, in dem ein Angreifer operiert. TeamCity On-Premises hält die Zugangsdaten und Deployment-Materialien für die gesamte Software-Supply-Chain, und ein nicht authentifizierter CVSS-9.8-Exploit für dieselbe Plattform wurde 2024 aggressiv ausgenutzt. Die 2026er-Variante derselben Schwachstellenklasse trägt denselben Score. Certighost zeigt, dass Active Directory Certificate Services — die Infrastrukturkomponente, die in der Domäne zertifiziert, wer wer ist — von einem Standard-Domänenbenutzer genutzt werden kann, um sich als Domänencontroller zu zertifizieren, die gesamte Authentifizierungsstruktur von innen zu kollabieren. NGINX hat seit 2011 Pre-Authentifizierungs-Anfragen entgegengenommen mit einem Heap-Overflow in seinem Regex-Map-Handling, den ein Forscher mit einem ASLR-Bypass kombiniert hat, um eine zuverlässige Code-Execution zu erzeugen. Und Cisco FMC erhielt einen CVSS 5.3 für einen fest einkodierten Zugangsdatensatz, den CISA bestätigt hat, der aktiv ausgenutzt wird.
Das strukturelle Muster dieser Woche ist kein Versagen des Perimeters. Jede der fünf angegriffenen Komponenten ist dafür positioniert, den Perimeter von innen heraus zu unterstützen, zu regieren oder durchzusetzen: die Sicherheitssteuerung, die sicherstellt, dass industrielle Ausrüstung in sicheren Parametern betrieben wird; die Pipeline, die die Software produziert, die auf dem Perimeter läuft; die Zertifizierungsstelle, die Perimeter-Identitäten validiert; der Proxy, der Perimeter-Traffic empfängt, bevor irgendeine Anwendung ihn verarbeitet; und die Verwaltungskonsole, die konfiguriert, was der Perimeter blockiert. Das Security-Programm, das auf Anwendungs- und Endgeräteschicht gut instrumentiert ist und CVEs nach CVSS-Score behebt, kann innerhalb des Modells, das es definiert hat, korrekt funktionieren — während die tatsächliche Angriffsfläche eine Schicht tiefer in die Infrastruktur gewandert ist, von der das Modell abhängt.
Für weitere Informationen kontaktieren Sie uns jetzt!
