Rapid7: KI-getriebener Schwachstellenanstieg überfordert klassische Patch-Zyklen

Rapid7 beschreibt die aktuelle Lage als „Kompressionsära“: Die verfügbare Zeit, um Schwachstellen per Patch in den Griff zu bekommen, schrumpft. Nach Darstellung des Unternehmens sind traditionelle Patch-Zyklen durch die schiere Menge neuer Meldungen sowie durch Tempo und Präzision der Angreifer überfordert. Beek sagte SecurityWeek, der Druck hinter diesem Belastungstest sei Künstliche Intelligenz.

Die Zahlen aus der Analyse stützen diese Einschätzung. Die Zahl der offengelegten hoch- und kritisch eingestuften Schwachstellen verdoppelte sich binnen Jahresfrist von 4.268 auf 8.539. Gleichzeitig stieg die Zahl neu ausgenutzter Schwachstellen nur auf 40. Beek betont, dass daraus kein Widerspruch folgt: KI könne sowohl bei der Entdeckung als auch bei der Ausnutzung helfen, doch ein Exploit sei nur dann nutzbar, wenn das Ziel nicht durch mehrere Firewalls und andere Schutzmechanismen abgeschirmt sei.

Dass die Zahl gefundener Schwachstellen wieder sinkt, hält Rapid7 für unwahrscheinlich. Beek verweist darauf, dass fortlaufend neue Anwendungen erscheinen und damit auch neue Fehler. Hinzu komme der zunehmende Einsatz von „Vibe Coding“. Nach seinen Angaben zeigte Forschung zu so entwickelten Finanzanwendungen, dass sie durchgängig dieselben Schwachstellen enthielten. Das deute darauf hin, dass KI alte Vorlagen für neuen Code nutze und dabei alte Fehler übernehme. So würden neue Schwachstellen in neuen Code gelangen, die anschließend durch neue KI-Scans auffindbar seien.

Für Verteidiger verschärft sich das Problem laut Rapid7 zusätzlich durch die bekannte Asymmetrie zwischen Angriff und Abwehr. Angreifer bräuchten nur einen Schwachpunkt, während Verteidiger Laptops, Computer, Server und Firewalls zugleich absichern müssten. Zugleich verändere sich die Landschaft durch Interaktionen über APIs und die Lieferkette. Die starke Abhängigkeit von unterschiedlichen Anbietern erschwere die Sichtbarkeit für Verteidiger deutlich stärker als für Angreifer. Der Bericht spricht deshalb von einer wachsenden Lücke zwischen dem, was offengelegt wird, und dem, was Teams realistisch priorisieren können.

Besonders hebt Rapid7 sogenannte „Holy Grail“-Schwachstellen hervor. Damit meint das Unternehmen eigene zufolge Lücken, die weder Zugangsdaten noch Benutzerinteraktion erfordern. Ihr Anteil unter den 40 ausgenutzten Schwachstellen im zweiten Quartal 2026 lag bei 25; gegenüber dem Vorjahr entspricht das einem Anstieg um 9 Punkte. Für Angreifer seien solche Fehler besonders wertvoll, weil sie eine Ausführung nahe am Gerät oder Produkt ohne jede Authentifizierung ermöglichten, so Beek.

Der Bericht verweist außerdem auf anhaltende Aktivitäten staatlicher Akteure aus China, Russland, Iran und Nordkorea. Russland agiere vor allem in der Ukraine und gegen Unterstützer der Ukraine, Iran richte sich gegen die USA und ihre Verbündeten, China sei gegen Taiwan aktiv, und Nordkorea greife Ziele an, aus denen sich Geld machen lasse. Beek betont dabei, dass staatliche APT-Gruppen nicht zwingend fortschrittlicher seien als finanziell motivierte kriminelle Gruppen; Unterschiede lägen vor allem bei Motivation und Ressourcen. Staaten setzten überwiegend auf langfristige Spionage und zu einem kleinen Teil auf mögliche Sabotage, während Cyberkriminelle vor allem Zugang benötigten, der sich auch einkaufen lasse.

Als wichtiges Monetarisierungsmodell nennt Rapid7 weiterhin Ransomware. Die USA bleiben laut Bericht mit großem Abstand Hauptziel: Im zweiten Quartal 2026 verzeichnete Rapid7 dort 881 Opfer, in Deutschland 91. Die aktivsten Gruppen waren in dieser Reihenfolge Qilin, The Gentlemen, DragonForce, Akira und LockBit. Besonders häufig betroffen waren Business Services mit 23,5 Prozent, das Gesundheitswesen mit 22,0 Prozent, die Fertigungsindustrie mit 21,0 Prozent, der Technologiesektor mit 16,9 Prozent und das Baugewerbe mit 16,6 Prozent.

Die zentrale Konsequenz aus all dem formuliert Beek deutlich: Die Zeit, Schwachstellen nach CVE- oder CVSS-Werten in monatlichen Routinen abzuarbeiten, sei vorbei. Statt auf Schweregrade zu schauen, müssten Verteidiger die Exponiertheit bewerten: Wo befindet sich ein System im eigenen Netzwerk, und welche Folgen hätte eine Kompromittierung durch einen Exploit? Nach Rapid7 ist heute nicht mehr der CVSS-Wert entscheidend, sondern die tatsächliche Angriffsfläche.