Top 5 Cybersicherheit-News

Diese Ausgabe der Top 5 Cybersicherheit-News zeigt immer wieder dasselbe unangenehme Muster: Angegriffen werden nicht die Systeme, die Unternehmen genau im Blick haben, sondern jene, denen sie standardmäßig vertrauen. Identitätsplattformen, Remote-Support-Tools, Entwickler-Infrastruktur und mobile Geräte existieren genau deshalb, damit legitime Arbeit schneller und reibungsloser ablaufen kann. Diese Woche wurden alle vier zur Angriffsfläche, und eine neue EU-Meldepflicht sorgt dafür, dass das keine private, rein technische Entscheidung mehr bleibt.

1) Ciscos Identitäts-Rückgrat bekommt einen Zero-Day, den es nicht ignorieren kann

Cisco hat CVE-2026-76460 gepatcht, eine Schwachstelle mit maximalem Schweregrad, die eine Authentifizierungsumgehung im Identity Services Engine (ISE) und seinem Passive Identity Connector ermöglicht, nachdem bestätigt wurde, dass Angreifer sie bereits gegen ungepatchte Systeme in freier Wildbahn ausnutzten. Der Fehler sitzt in einem API-Endpunkt, den unauthentifizierte Angreifer direkt erreichen konnten; bei erfolgreicher Ausnutzung verschaffte er ihnen Zugriff auf die Management-Oberfläche und, in einigen Fällen, die Möglichkeit, Befehle mit Root-Rechten auszuführen — volle administrative Kontrolle über die Plattform, erreicht ohne jemals gültige Zugangsdaten vorzuweisen.

ISE ist kein Randwerkzeug. Es ist die Ebene, auf der viele Unternehmen in Echtzeit entscheiden, welche Geräte und Nutzer überhaupt Netzwerkzugriff erhalten, der Mechanismus hinter Network Access Control und Identitätsdurchsetzung über kabelgebundene, drahtlose und VPN-Verbindungen hinweg. Eine Umgehung auf dieser Ebene legt nicht nur ein System offen: Sie stellt jede Zugriffsentscheidung infrage, die ISE getroffen hat, seit die Schwachstelle ausnutzbar war, denn es gibt keine verlässliche Möglichkeit mehr, ein legitimes Gerät von einem zu unterscheiden, das ein Angreifer über die Umgehung registriert hat. Die CISA setzte US-Bundesbehörden eine Frist bis zum 19. September zum Patchen; für alle anderen ist es sinnvoll, jede aus dem Internet erreichbare ISE-Management-Oberfläche bis zum Beweis des Gegenteils als kompromittiert zu behandeln, wobei administrative Zugriffsprotokolle gezielt auf Authentifizierungsereignisse geprüft werden sollten, die zu keinem bekannten Konto passen.

Die Lehre reicht über dieses eine Produkt hinaus. Identitäts- und Zugriffskontrollplattformen sind per Definition darauf ausgelegt, vertraut zu werden, das ist ihre Aufgabe, was sie zu außerordentlich wertvollen und im Tagesgeschäft außerordentlich wenig geprüften Zielen macht. Anzunehmen, die eigene Sicherheitslage einer Identitätsplattform sei von selbst solide, statt sie derselben Patch-Disziplin, Protokollprüfung und Expositionskontrolle zu unterziehen wie jedes andere aus dem Internet erreichbare System, ist genau die Annahme, die diese Schwachstellenklasse ausnutzt.

CVE-2026-76460 ist eine Schwachstelle mit CVSS 10.0, die eine Authentifizierungsumgehung im Cisco Identity Services Engine (ISE) und ISE Passive Identity Connector ermöglicht und bereits aktiv ausgenutzt wird; die CISA nahm sie am 16. September 2026 mit einer Frist bis zum 19. September in ihren Known-Exploited-Vulnerabilities-Katalog auf.

2) Wenn das Remote-Support-Tool zum Werkzeug des Angreifers wird

Die CISA hat CVE-2026-84869, eine kritische Schwachstelle in ConnectWise ScreenConnect, in ihren Known-Exploited-Vulnerabilities-Katalog aufgenommen, nachdem Huntress mehrere Vorfälle dokumentiert hatte, bei denen Angreifer aktive Remote-Support-Sitzungen missbrauchten, um bösartige Skripte auf neu verbundene Endgeräte zu übertragen. Der zugrunde liegende Fehler, eine Autorisierungslücke bei der Dateiübertragung zwischen der Konsole eines Technikers und einem verbundenen Rechner, ist für sich genommen eine eher gewöhnliche Fehlerklasse.

Gefährlich wird es durch den Kontext, in dem er auftritt. ScreenConnect existiert genau deshalb, damit IT-Personal und Managed-Service-Provider mit bereits zwischen den Parteien etabliertem Vertrauen auf entfernte Rechner zugreifen können; Angreifer, die diesen Fehler ausnutzen, müssen dieses Vertrauensverhältnis nicht von außen brechen, sie fahren auf einem Kanal mit, den das Unternehmen selbst für legitimen Fernzugriff geschaffen hat. Genau deshalb fügt sich die resultierende Aktivität so leicht in normale Support-Arbeit ein und entgeht einer Erkennung, die Remote-Support-Datenverkehr grundsätzlich als unbedenklich einstuft. Wer ScreenConnect betreibt, insbesondere MSPs, die darüber viele Kundenumgebungen verwalten, sollte dies ebenso als Sitzungs-Audit-Problem wie als reine Patching-Frage behandeln: aktuelle Dateiübertragungs- und Sitzungsprotokolle auf Auffälligkeiten prüfen, nicht nur das Update einspielen.

Das breitere Muster zieht sich auch durch die anderen Geschichten dieser Woche: Angreifer bevorzugen zunehmend, innerhalb von Kanälen zu operieren, denen ein Unternehmen bereits vertraut, statt sich gewaltsam durch aktiv verteidigte Kanäle zu kämpfen. Ein Remote-Support-Tool ist, per Design, eine Hintertür mit Erlaubnis, und genau das macht es notwendig, es ebenso sorgfältig zu schützen wie jede Perimeter-Kontrolle, nicht weniger.

CVE-2026-84869 ist eine kritische Schwachstelle in ConnectWise ScreenConnect, die es Angreifern erlaubt, aktive Remote-Support-Sitzungen zu missbrauchen, um ohne Autorisierung Dateien zu übertragen und auszuführen; die CISA nahm sie am 11. September 2026 in ihren Known-Exploited-Vulnerabilities-Katalog auf.

3) GitLabs zweite Schwachstelle mit maximalem Schweregrad in sechs Wochen legt die Entwickler-Pipeline offen

GitLab hat Notfall-Patches für CVE-2026-85706 veröffentlicht, eine Path-Traversal-Schwachstelle mit maximalem Schweregrad in der Repository-Commits-API selbstverwalteter Community- und Enterprise-Edition-Instanzen, die Konfigurationsdateien, Anwendungsprotokolle, Zugangsdaten und andere Geheimnisse einem Angreifer offenlegen kann, der nie gültigen Repository-Zugriff benötigte. Weltweites Scanning nach verwundbaren Instanzen begann innerhalb weniger Stunden nach der öffentlichen Offenlegung, und die CISA nahm die Schwachstelle wenige Tage später in ihren Exploited-Vulnerabilities-Katalog auf, was bestätigte, dass sie bereits gegen reale Ziele eingesetzt wurde und nicht nur in Labors getestet wurde.

Dies ist GitLabs zweite aktiv ausgenutzte Schwachstelle mit maximalem Schweregrad innerhalb von sechs Wochen, nach CVE-2026-19478 Ende August, ein Muster, das aus einem scheinbaren Einzelfall ein Signal macht: Selbstgehostete Entwicklerplattformen sind inzwischen ein dauerhaftes, wiederkehrendes Ziel und kein gelegentliches. Da hier Zugangsdaten und Geheimnisse offengelegt werden und nicht nur Codeausführung möglich ist, reicht das Patchen der Software allein möglicherweise nicht aus: Jede Instanz, die vor dem Patch aus dem Internet erreichbar war, braucht eine Rotation aller Zugangsdaten, die durch die offengelegten Konfigurationsdateien und Protokolle sichtbar geworden sein könnten, in der Annahme, dass alles Lesbare auch gelesen wurde.

Die weitergehende Lehre ist, dass Entwickler-Infrastruktur inzwischen dasselbe operative Gewicht trägt wie Produktivinfrastruktur und entsprechend verteidigt werden muss. Eine Repository-Plattform ist nicht nur ein Ort, an dem Code liegt; es ist ein Ort, an dem sich mit der Zeit Zugangsdaten, Geheimnisse und die Schlüssel zu einer viel größeren Umgebung ansammeln, oft ohne dass irgendjemand bewusst entschieden hätte, sie dort abzulegen.

CVE-2026-85706 ist eine Path-Traversal-Schwachstelle mit maximalem Schweregrad in der Repository-Commits-API von GitLab, die Konfigurationsdateien, Logs und Zugangsdaten aus selbstverwalteten Instanzen offenlegen kann; GitLab veröffentlichte am 10. September 2026 Notfall-Patches, und die CISA nahm die Schwachstelle wenige Tage später in ihren Exploited-Vulnerabilities-Katalog auf.

4) Europas Cyber Resilience Act: Die Meldepflicht-Uhr läuft jetzt

Am 11. September begannen die verpflichtenden Meldepflichten für Vorfälle und Schwachstellen nach dem EU Cyber Resilience Act. Hersteller von Produkten mit digitalen Elementen müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle nun innerhalb von 24 Stunden nach Kenntnisnahme über die neue Single Reporting Platform der ENISA melden; Deutschlands BSI und das CERT-Bund übernehmen für deutsche Hersteller im neuen Regime zentrale koordinierende Rollen.

Operativ verändert das, was „eine Schwachstelle finden“ für jedes Unternehmen bedeutet, das vernetzte Produkte in den EU-Markt liefert. Die technischen Geschichten an anderer Stelle in dieser Liste, Cisco ISE, ScreenConnect, GitLab und weiter unten ein Pixel-Modem-Fehler, sind genau die Kategorie aktiv ausgenutzter, hochkritischer Funde, die der CRA nun formell und fristgebunden gemeldet sehen will, statt sie still zu patchen, im eigenen Tempo des Herstellers offenzulegen oder intern undokumentiert zu lassen. Der Umgang mit Schwachstellen hat gerade eine Compliance-Frist bekommen, die unabhängig von der technischen Behebung selbst durchgesetzt wird.

Die strategische Lehre ist, dass Schwachstellenmanagement keine rein interne, technische Entscheidung mehr ist, die ein Sicherheitsteam nach eigenem Zeitplan lösen kann. Es ist nun eine Governance-Pflicht mit rechtlichen Konsequenzen bei Fristversäumnis, was bedeutet, dass der Prozess zur Erkennung, Bewertung und Eskalation einer Schwachstelle schnell und gut genug dokumentiert sein muss, um einer späteren Prüfung durch eine Aufsichtsbehörde standzuhalten, nicht nur schnell genug, um einen Patch herauszubringen.

Am 11. September 2026 begannen die verpflichtenden Meldepflichten für Vorfälle und Schwachstellen nach dem EU Cyber Resilience Act; Hersteller von Produkten mit digitalen Elementen müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle nun innerhalb von 24 Stunden über die neue Single Reporting Platform der ENISA melden.

5) Ein Modem-Fehler macht Pixel-Telefone zu einem gezielten Überwachungsvektor

Googles September-Update für Pixel-Geräte behob 110 Schwachstellen, darunter CVE-2026-58704, einen Fehler in der Modem-Komponente des Geräts, der laut Google Anzeichen begrenzter, gezielter Ausnutzung zeigt statt breiter krimineller Nutzung. Die CISA nahm ihn am 16. September mit einer Frist zum 19. September in ihren Known-Exploited-Vulnerabilities-Katalog auf. Der Fehler erlaubt eine Rechteausweitung aus einem benachbarten Netzwerk ohne jegliche Nutzerinteraktion: kein Klick, kein Download, kein sichtbares Zeichen, dass etwas passiert ist.

Diese Kombination, keine Interaktion nötig und Hinweise auf eine eng begrenzte, gezielte Nutzung statt Massenausnutzung, ist die Signatur überwachungsorientierter Werkzeuge und nicht opportunistischer Cyberkriminalität. Das macht diese Geschichte zugleich zum nützlichen Ausreißer dieser Liste: Alles andere hier betrifft Infrastruktur, die IT-Teams direkt verwalten und überwachen, während dies ein persönliches Gerät betrifft, das Führungskräfte, Journalisten und Administratoren in der Tasche tragen, oft mit weit weniger Sicherheitsaufsicht und Update-Disziplin, als ein verwalteter Server oder Laptop je erhält.

Die Lehre betrifft die Frage, wo Aufsicht tatsächlich endet. Unternehmen investieren erheblichen Aufwand in die Absicherung der Infrastruktur, die sie direkt kontrollieren, und vergleichsweise wenig darin, zu prüfen, ob die mobilen Geräte der Personen mit dem sensibelsten Zugriff gepatcht, überwacht und als Teil desselben Bedrohungsmodells behandelt werden, obwohl für eine kleine Zahl hochwertiger Ziele genau das Telefon in ihrer Tasche der weichste Einstiegspunkt in alles Übrige sein kann.

CVE-2026-58704 ist ein Fehler in der Modem-Komponente von Google-Pixel-Geräten, der laut Google Anzeichen begrenzter, gezielter Ausnutzung zeigt; die CISA nahm ihn am 16. September 2026 mit einer Frist bis zum 19. September in ihren Known-Exploited-Vulnerabilities-Katalog auf.

Wenn diese Woche uns etwas sagt, dann dies:

Fünf Geschichten, fünf verschiedene Ebenen, eine gemeinsame Form: Angreifer brechen nicht durch die Vordertür, sie gehen durch die Seiteneingänge, die Unternehmen sich selbst aus Bequemlichkeit geschaffen haben — eine Identitätsplattform, die Zugriff durchsetzen soll, ein Remote-Support-Tool, das ihn ermöglichen soll, eine Entwicklerplattform, die ihn beschleunigen soll, und ein mobiles Gerät, das ihn überallhin ausdehnen soll. Keines dieser Systeme versagte, weil niemand hinsah, sondern weil ihnen standardmäßig vertraut wurde, und genau dieses Standardvertrauen ist es, was Angreifer inzwischen zuerst angreifen.

Die regulatorische Antwort, die parallel zu diesen Vorfällen eintrifft, die neue Meldepflicht-Uhr des EU Cyber Resilience Act, ist selbst ein Signal: Die Annahme, der Umgang mit Schwachstellen sei eine private, rein technische Angelegenheit, hält weder in Brüssel noch in Bonn mehr stand. Unternehmen, die die fünf Geschichten dieser Woche als isolierte Patches behandeln, beheben fünf Fehler. Unternehmen, die sie als ein Muster erkennen — vertrauenswürdige Infrastruktur braucht dieselbe Prüfung wie nicht vertrauenswürdige — beheben das eigentliche Problem.

Wenn eine dieser fünf Geschichten Fragen zu Ihrer eigenen Umgebung aufwirft, nehmen Sie Kontakt mit DIESEC auf.