Im Mittelpunkt der neuen CISA-Warnung stehen zwei Microsoft-Schwachstellen. CVE-2026-33824 mit einem CVSS-Wert von 9,8 betrifft einen Double-Free-Fehler in der Windows Internet Key Exchange (IKE) Service Extension. Microsoft hatte die Lücke bereits im April geschlossen. Laut Beschreibung erlaubt sie es nicht authentifizierten Angreifern aus der Ferne, über speziell präparierte Pakete beliebigen Code auszuführen.
Ende Juli meldete Palo Alto Networks, dass die Schwachstelle von einem chinesischsprachigen Bedrohungsakteur in einer autonomen, KI-gestützten Hacking-Kampagne ausgenutzt wurde. Nach Angaben des Unternehmens umfasste die Kampagne auch manuelle Ausnutzung.
Die zweite Microsoft-Lücke, CVE-2026-55040 mit einem CVSS-Wert von 9,1, ist ein Fehler durch schwache Authentifizierung in SharePoint. Microsoft behob die Authentifizierungsumgehung im Rahmen des Patch Tuesday im Juli 2026. In diesem Monat begannen Bedrohungsakteure laut dem Bericht mit Angriffen auf die Schwachstelle, nachdem ein Proof-of-Concept-Exploit veröffentlicht worden war.
Ebenfalls in den KEV-Katalog aufgenommen wurde die VMware-vCenter-Schwachstelle CVE-2026-59310 mit einem CVSS-Wert von 9,8. VMware stellte den Patch am 29. Juli bereit. Bereits am 3. August begannen Bedrohungsakteure laut Quelle, die Lücke für Codeausführung zu missbrauchen, um ein Open-Source-Framework für eine SSH-Reverse-Shell abzulegen.
Hinzu kommt CVE-2026-65400 in macOS Screen Sharing mit einem CVSS-Wert von 7,5. Apple veröffentlichte am 6. August ein Update und warnte, dass die Schwachstelle es Angreifern ermöglichen könne, die Authentifizierung zu umgehen und sich ohne gültige Zugangsdaten auf verwundbaren Geräten anzumelden.
Weniger als eine Woche später wurde eine Ausnutzung unter realen Bedingungen beobachtet. Dabei missbrauchten Bedrohungsakteure die Lücke, um Root-Zugriff zu erlangen und einen Monero-Miner zu installieren.
Mit der Aufnahme aller vier Schwachstellen in den KEV-Katalog unterstreicht CISA, dass es sich nicht nur um theoretische Risiken handelt. Die Behörde fordert Bundesbehörden auf, die verfügbaren Updates bis zum 21. August einzuspielen. Grundlage dafür sind die Vorgaben aus BOD 26-04.