Besonders gravierend ist die Lage bei CVE-2026-9198 in IBM Langflow. Die Schwachstelle ermöglicht es einem nicht authentifizierten Angreifer, auf Standardbereitstellungen zwei API-Endpunkte zu verketten, um die Anmeldung zu umgehen und Code auszuführen. Ende Juli tauchten dazu mehrere vollständig funktionsfähige Proof-of-Concept-Exploits öffentlich auf, jeweils mit vollständigen Anleitungen zur Ausnutzung.
Bereits zwei Wochen zuvor hatte CISA vor einer weiteren kritischen Langflow-Schwachstelle gewarnt, CVE-2026-0770. Diese werde in Angriffen ausgenutzt, um Remotecodeausführung mit Root-Rechten zu erlangen.
Die zweite nun von CISA hervorgehobene Lücke betrifft N-ables Remote-Monitoring- und Management-Plattform N-central. CVE-2026-18576 erlaubt es Angreifern, Administratorkonten ohne Authentifizierung zu kapern. Die Schwachstelle wurde mit hohem Schweregrad bewertet und vom Hersteller zunächst gepatcht. Dieser Fix erwies sich jedoch als unzureichend, woraufhin Bedrohungsakteure einen neuen Weg zur Ausnutzung fanden.
N-able warnte seine Kunden am 1. August, dass Angreifer die neue Schwachstelle aktiv ausnutzen. Am Sonntag veröffentlichte das Unternehmen einen Notfall-Hotfix und forderte Kunden zur Installation auf. Betroffen seien alle N-central-Versionen vor 2026.3.
Die dritte Schwachstelle, CVE-2026-34486 in Apache Tomcat, hat einen Schweregrad von 7,5. Sie geht auf eine unvollständige Behebung von CVE-2026-29146 zurück, einer kritischen Schwachstelle mit 9,8 Punkten, die als fehlende Verschlüsselung sensibler Daten beschrieben wird.
Am 30. Juli berichteten Forscher von Palo Alto Networks Unit 42, ein chinesischsprachiger Bedrohungsakteur habe versucht, CVE-2026-34486 in einer manuellen Kampagne auszunutzen, um Reverse Shells auf neun Apache-Tomcat-Servern zu platzieren.
CISA bestätigte, dass Bedrohungsakteure alle drei Schwachstellen in Angriffen einsetzen, und nahm sie in den KEV-Katalog auf. Welche konkreten Angriffsszenarien dabei genutzt werden, legte die Behörde nicht offen. Laut CISA ist zudem unbekannt, ob die Lücken in Ransomware-Kampagnen verwendet werden.
Für US-Bundesbehörden gilt nun eine kurze Frist: Sie sollen die verfügbaren Abhilfemaßnahmen für die drei betroffenen Produkte bis zum Ende des Freitags, 7. Juli, umsetzen.