Das Gedankenexperiment beginnt morgens mit einer Meldung über eine nicht authentifizierte Remote-Code-Execution ohne Patch. Ein Versionsabgleich liefert zwanzig betroffene Systeme – und damit lediglich das Etikett „betroffen", keine Antwort. Patchen ist mangels Patch ausgeschlossen, das Abschalten der Dienste scheitert am Geschäftsbetrieb. Auch der Griff zum automatisierten Pentesting-Werkzeug läuft ins Leere: Ohne öffentlichen Proof-of-Concept fehlt die Munition.
Der von Picus beschriebene Ausweg setzt an der Struktur eines Angriffs an. Ein Exploit sei nicht bloß ein Payload, sondern eine Kette: Zustellung, Ausführung, Rechteausweitung, Prozess-Injektion und Zugriff auf Zugangsdaten. Jeder dieser Schritte ist eine bekannte Technik – und Techniken lassen sich gefahrlos gegen die eigenen Kontrollen simulieren, lange bevor jemand den eigentlichen Payload geschrieben hat. Die CVE wird also auf die Techniken abgebildet, die sie durchlaufen müsste, und diese werden gegen den produktiven Stack aus NGFW, WAF, Endpunkt-Härtung, EDR und SIEM gefahren – pro System.
Im Szenario fällt das Ergebnis ernüchternd aus: Die NGFW übersieht die Zustellung, die WAF erkennt, blockiert aber nicht, die Endpunkt-Härtung schlägt bei der Ausführung an, EDR und SIEM melden nichts. Aus zwei offenen Fragen werden damit benannte Lücken mit Zuständigkeiten: eine Erkennungsregel für die NGFW, eine Präventionsregel für die WAF, GPO-Härtung für die Endpunkte, eine IOA-Regel für das EDR, eine Erkennungsregel für das SIEM. Beim zweiten Durchlauf lautet die Bilanz: erkannt, blockiert, blockiert, alarmiert, alarmiert – ohne einen einzigen Patch.
Am Mittag kommt Bedrohungsinformation hinzu: Eine iranische Gruppe führt eine Kampagne, die die Schwachstelle waffenfähig macht. Noch immer existiert kein öffentlicher Exploit, doch die Angriffe laufen. Aus einer Schwachstelle wird ein Gegner, und die Frage verschiebt sich auf die vollständige Angriffskette aus Erstzugang, lateraler Bewegung, Persistenz und Datenabfluss. In der Simulation halten Erstzugang und Exfiltration, die laterale Bewegung wird erkannt – die Persistenz dagegen nicht. Ein Befund, den eine rein CVE-zentrierte Prüfung nie zutage gefördert hätte, weil er mit der Schwachstelle nichts zu tun hat.
Erst als ein funktionierender Exploit veröffentlicht wird, kann live getestet werden – mit zwei Einschränkungen. Interne Richtlinien verbieten häufig, echte Exploits gegen Produktiv- oder kritische Systeme zu feuern, und genau dort stehen Druckserver, Domänencontroller und OT-Systeme. Zudem erreicht ein Pentest sicher vielleicht fünf der zwanzig Systeme; für die übrigen fünfzehn bleibt nur die simulierte Bewertung. Drei der fünf erweisen sich als nicht ausnutzbar – die gehärteten Kontrollen halten dem echten Angriff stand. Zwei sind verwundbar; ihre Patch-Tickets werden mit Proof-of-Concept und Belegen als kritisch hochgestuft und die Systeme hinter die WAF-Präventionsregel mit auf vertrauenswürdige IP-Adressen beschränktem Webzugriff gestellt.
Picus leitet daraus drei Fähigkeiten ab, die ineinandergreifen müssen: Ausnutzbarkeitsvalidierung ohne Live-Exploit, Validierung der Sicherheitskontrollen sowie agentenbasiertes Pentesting dort, wo ein echter Exploit gefahrlos eingesetzt werden kann. Als drei getrennte Werkzeuge auf drei Zeitplänen betrieben, dauere dieser Tag sechs Wochen statt zehn Stunden.
Das Szenario will der Anbieter am 14. Oktober um 13 Uhr ET und am 15. Oktober um 11 Uhr BST live im Produkt auf dem Validation Summit ‘26 vorführen. Mikko Hyppönen eröffnet mit einem Vortrag darüber, was sich nach Mythos geändert hat, CTO Volkan Erturk zeigt die Validierung in Maschinengeschwindigkeit, Sicherheitsverantwortliche von Chanel, Atlassian und Kraft Heinz berichten über ihre Vorbereitungen, Ron Eddings von Hacker Valley moderiert.