Die US-Cybersecurity-Behörde CISA hat am Montag acht neue Sicherheitslücken in ihre KEV-Liste aufgenommen – einem Katalog, der aktiv ausgebeutete Schwachstellen dokumentiert. Drei dieser Anfälligkeiten wurden zuvor noch nicht als exploitiert gemeldet, fünf Lücken waren hingegen bereits bekannt.
Die neueste Hinzufügung ist CVE-2026-20133, eine kritische Informationspreisgabe-Lücke im Cisco Catalyst SD-WAN Manager, die im Februar gepatcht wurde. Die unzureichenden Dateisystem-Zugriffsbeschränkungen ermöglichen es Angreifern, auf die API betroffener Systeme zuzugreifen und Informationen des zugrundeliegenden Betriebssystems auszulesen. Zusammen mit zwei weiteren SD-WAN-Schwachstellen (CVE-2026-20122 und CVE-2026-20128) wurde auch diese Lücke nun von CISA auf die KEV-Liste gesetzt.
Kritische RCE-Anfälligkeiten in Unternehmensanwendungen
Besonders alarmierend sind zwei Sicherheitsmängel aus dem Vorjahr, die zu Remote Code Execution führen. CVE-2025-2749 betrifft Kentico Xperience – ein CMS-System, das in zahlreichen deutschen Unternehmen eingesetzt wird. Die Anfälligkeit ist eine Kombination aus Path-Traversal und beliebiger Datei-Upload-Funktion, über die Angreifer Code auf dem Server ausführen können. Anfällig sind Versionen 13.0.178 und älter, wobei eine Authentifizierung erforderlich ist.
Zimbra Collaboration Suite (ZCS) – eine weit verbreitete E-Mail- und Kollaborationslösung – ist durch CVE-2025-48700 gefährdet. Diese Schwachstelle ist ein Cross-Site-Scripting-Bug (XSS) in der klassischen Benutzeroberfläche, der es Angreifern ermöglicht, JavaScript-Code in der Sitzung eines Benutzers auszuführen. Der Fehler entsteht durch unzureichende Sanitierung von HTML-Inhalten und wird ausgelöst, wenn ein Benutzer eine manipulierte Nachricht öffnet.
Weitere hinzugefügte Lücken umfassen CVE-2025-32975 (Quest KACE), CVE-2024-27199 (JetBrains TeamCity – seit über zwei Jahren exploitiert) und CVE-2023-27351 (PaperCut – seit April 2023 ausgenutzt).
Dringende Patch-Fristen gesetzt
CISA fordert US-Bundesbehörden zur sofortigen Behebung der Cisco- und Zimbra-Lücken bis zum 23. April auf. Für die übrigen vier Schwachstellen gilt die Frist 4. Mai. Obwohl diese Vorgaben nicht direkt für deutsche Organisationen gelten, sollten diese als Maßstab ernst genommen werden. Besonders Unternehmen und Behörden, die diese Systeme einsetzen, sollten ihre Patch-Management-Prozesse aktivieren und Risikobewertungen durchführen.