Die Cybersicherheitsbehörde CISA hat vier Sicherheitslücken neu in ihren KEV-Katalog (Known Exploited Vulnerabilities) eingetragen und begründet dies mit Belegen für eine aktive Ausnutzung. Die Schwachstellen betreffen die Fernwartungssoftware SimpleHelp, den Samsung MagicINFO 9 Server sowie Router der Reihe D-Link DIR-823X.
Bei den beiden SimpleHelp-Schwachstellen steht der KEV-Indikator zur Frage, ob sie in Ransomware-Kampagnen eingesetzt werden, auf „Unbekannt". Gleichwohl belegen Berichte der Sicherheitsunternehmen Field Effect und Sophos, dass die Lücken bereits Anfang vergangenen Jahres als Einstiegspunkt für Ransomware-Angriffe dienten. Eine dieser Kampagnen führten die Forscher auf die Ransomware-Operation DragonForce zurück.
Die Schwachstelle CVE-2024-7399 im Samsung MagicINFO 9 Server wurde in der Vergangenheit mit Aktivitäten in Verbindung gebracht, bei denen das Mirai-Botnetz ausgebracht wurde.
Die Lücke CVE-2025-29635 in den D-Link-Routern steht ebenfalls im Zusammenhang mit Mirai: Das Sicherheitsunternehmen Akamai berichtete in dieser Woche, dass es Angriffsversuche gegen D-Link-Geräte aufgezeichnet hat, die eine Mirai-Variante namens „tuxnokill" einschleusen sollten.
Um den akuten Bedrohungen zu begegnen, sollen die Behörden der US-Bundesverwaltung (FCEB) die verfügbaren Korrekturen einspielen. Im Fall von CVE-2025-29635 empfiehlt CISA, das betroffene Gerät stattdessen außer Betrieb zu nehmen. Als Frist für beide Vorgehensweisen nennt die Behörde den 8. Mai 2026.