Die aktivste der neu gelisteten Lücken ist offenbar CVE-2026-8452 in Citrix NetScaler ADC und NetScaler Gateway. Sowohl Defused Cyber als auch Previdian, das frühere KEVIntel, warnten vor laufenden Ausnutzungsversuchen. „Die Angreifer legten eine Web-Shell mit den Namen ‚x.php’ und ‚z.php’ ab und führten Erkundungsbefehle wie ‚id’ und ‚echo’ aus", schrieb Previdian in einem Beitrag auf LinkedIn.
Die Telemetriedaten zeichnen ein klares Bild der Aktivität: 36 Ausnutzungsversuche innerhalb der vergangenen zwölf Tage, ausgehend von zwölf verschiedenen Angreifer-IP-Adressen. Diese verteilen sich auf die Schweiz, Deutschland, Hongkong, Japan, die Niederlande, Russland, Singapur, die Türkei, die USA und Vietnam.
Hinter der Aufnahme von CVE-2022-0995, CVE-2015-5287, CVE-2015-3246 und CVE-2021-23758 steht ein Bericht von Cisco Talos. Die Forscher beschreiben darin eine chinesische Cybercrime-Gruppe mit der Bezeichnung UAT-10147, die weltweit Windows- und Linux-Webserver ins Visier nimmt – betroffen sind Ziele aus den Bereichen Bildung, Medien, Technologie und Gaming.
Zu CVE-2019-1068 liegen dagegen keine öffentlichen Informationen darüber vor, wie die Schwachstelle in freier Wildbahn ausgenutzt wird. Für die US-Bundesbehörden der Federal Civilian Executive Branch gelten dennoch enge Fristen: CVE-2019-1068 und CVE-2026-8452 sind bis zum 29. August 2026 zu beheben, die übrigen vier Einträge bis zum 9. September 2026.
Zeitgleich mit den KEV-Ergänzungen veröffentlichte die CISA eine Schwachstellen-Auswertung, die sich mit den Ursachen unsicherer Software und den praktischen Schritten zu deren Behebung befasst. Grundlage ist eine Analyse der CVE-Einträge aus den Jahren 2024 und 2025.
Als dominierende Kategorie identifizierte die Behörde dabei Injection-Schwächen: 7.701 CVEs im Jahr 2024 und 21.019 CVEs im Jahr 2025 entfielen auf diesen Bereich. Die CISA betont zudem, dass Angreifer bevorzugt einfache, längst bekannte Schwachstellen ausnutzen, die in exponierten Systemen fortbestehen – und dass künstliche Intelligenz eingesetzt wird, um Angriffe zu automatisieren.
„In den Haushaltsjahren 2024 und 2025 treten Schwächen bei der Speichersicherheit und der unzureichenden Eingabevalidierung im KEV-Katalog überproportional häufig auf, verglichen mit der Gesamtheit aller CVEs", schreibt die Behörde.
Daraus leitet die CISA eine Empfehlung an Softwarehersteller ab: „Für Softwareanbieter unterstreicht dieser Befund, wie wichtig es ist, die zugrunde liegenden Schwächen anzugehen, die sich oft unmittelbar in reale Ausnutzung übersetzen. Indem Anbieter diese Ursachen bereits während der Softwareentwicklung reduzieren, können sie Schwachstellen verhindern, die mit höherer Wahrscheinlichkeit von Bedrohungsakteuren angegriffen werden."