Die CISA hat fünf weitere Schwachstellen in ihren KEV-Katalog aufgenommen, nachdem Berichte über eine laufende Ausnutzung vorlagen. Betroffen sind JFrog Artifactory, ConnectWise ScreenConnect und MikroTik RouterOS.
Im Fall von Artifactory beobachteten Fachleute, wie Angreifer zwei Fehler gemeinsam mit CVE-2026-82329 (CVSS-Wert 9.8) verketteten, um zwischen dem 15. August und dem 8. September 2026 die Administratorkontrolle über selbst gehostete Server zu erlangen und Hintertüren einzurichten. CVE-2026-82329 war bereits in diesem Monat in den KEV-Katalog aufgenommen worden.
“Angreifer verketten diese Schwachstellen, um die Authentifizierung zu umgehen, Privilegien auszuweiten und administrative Kontrolle über verwundbare Artifactory-Instanzen zu erlangen”, erklärte das zu Google gehörende Unternehmen Wiz. Zur beobachteten Aktivität nach der Ausnutzung zählten demnach das Anlegen dauerhafter Administratorkonten, der Einsatz bösartiger Groovy-Plugins zur Codeausführung sowie die Installation von in Rust geschriebenen Hintertüren, um sich dauerhaft festzusetzen.
Die Ausnutzung von CVE-2026-84869 steht dagegen im Zusammenhang mit drei nicht miteinander verbundenen Vorfällen, die Huntress dokumentiert hat. Dabei missbrauchten Angreifer ScreenConnect, um ein bösartiges VBScript an neu verbundene Systeme auszuliefern.
ConnectWise beschreibt die Schwachstelle als einen “Zustand” im ScreenConnect-Client, der es unter bestimmten Umständen erlauben könne, Dateien über eine aktive Fernsitzung ohne Autorisierung oder Bestätigung durch den Host zu übertragen und auszuführen. ScreenConnect-Server sind nach Herstellerangaben nicht betroffen.
“Unter bestimmten Umständen könnte dies dazu führen, dass Dateien auf das Host-Clientsystem übertragen und dort ausgeführt werden, auch über Aktionen mit erhöhten Rechten”, schrieb Huntress in einer Aktualisierung. Das Unternehmen fordert Organisationen auf, auf ScreenConnect in der Version 26.6.5 zu aktualisieren.
Die Aufnahme von CVE-2026-67277 und CVE-2026-86060 geht auf einen kürzlich veröffentlichten Bericht von CERT Polska zurück. Die polnische Behörde hatte beobachtet, wie unbekannte Angreifer zwei Fehler in MikroTik RouterOS ausnutzten, um verwundbare Geräte ohne Authentifizierung zu übernehmen. CERT Polska bezeichnet die Angriffskette als MikroTrick.
Für die Behörden der Federal Civilian Executive Branch gelten je nach Produkt unterschiedliche Fristen: Die RouterOS-Schwachstellen sind bis zum 13. September 2026 zu beheben, die ScreenConnect-Lücke bis zum 14. September 2026 und die Artifactory-Fehler bis zum 25. September 2026.