KW 35/2026: KEV-Katalog wächst: Ausgenutzte Lücken in NetScaler, WebLogic und ownCloud

Überblick und Einordnung der Woche

Die Woche fällt unruhiger aus als die vorangegangene: Auffällig ist vor allem die Zahl neu als aktiv ausgenutzt eingestufter Schwachstellen, die den Weg in den KEV-Katalog der US-Behörde CISA gefunden haben. Das Spektrum reicht von aktueller Netzwerk- und Applikationsinfrastruktur wie Citrix NetScaler, Oracle WebLogic und Gitea bis zu deutlich älteren Lücken in Microsoft SQL Server, im Linux-Kernel und in Werkzeugen aus dem Red-Hat-Umfeld. Diese Mischung ist charakteristisch: Angreifer arbeiten weiterhin bevorzugt mit dem, was in Unternehmensnetzen tatsächlich vorhanden und häufig unzureichend gepflegt ist — Randsysteme, Applikationsserver und Kollaborationsplattformen.

Parallel dazu bleibt die Ransomware-Lage aktiv. Mehrere Gruppen veröffentlichten kontinuierlich Einträge auf ihren Leak-Seiten, wobei sich das Bild über Branchen und Regionen breit verteilt. Auch Einrichtungen im deutschsprachigen Raum waren betroffen, was zeigt, dass die Angriffswellen keineswegs an regionalen Grenzen haltmachen. Der rote Faden zwischen beiden Themenkomplexen liegt auf der Hand: Viele der als ausgenutzt markierten Schwachstellen betreffen genau jene Zugangswege, über die Erpressergruppen typischerweise in Netze gelangen.

Schwachstellen und ausgenutzte Sicherheitslücken

Im Zentrum der Woche steht die Aufnahme gleich mehrerer Schwachstellen in den Katalog bekannter ausgenutzter Sicherheitslücken. Besonders relevant für exponierte Netzwerkperipherie ist CVE-2026-8452 in Citrix NetScaler ADC und NetScaler Gateway: Die fehlerhafte Beschränkung von Speicheroperationen betrifft Systeme, die per Definition am Netzwerkrand stehen und damit unmittelbar aus dem Internet erreichbar sind. Für US-Behörden wurde dazu eine verbindliche Umsetzungsfrist gesetzt — ein deutliches Signal, das auch außerhalb der USA als Priorisierungshinweis verstanden werden sollte. NetScaler-Appliances sind seit Jahren ein bevorzugtes Ziel, weil ein erfolgreicher Zugriff häufig direkt Sitzungsdaten oder Zugangsmöglichkeiten in interne Segmente eröffnet.

Ebenfalls im Fokus steht CVE-2026-21962 im Oracle HTTP Server und im Oracle-WebLogic-Server-Proxy-Plug-in. Die unzureichende Zugriffskontrolle betrifft eine Komponente, die typischerweise als vorgelagerter Proxy vor Applikationsservern arbeitet — also an einer Stelle, an der Schutzmechanismen eigentlich greifen sollten. WebLogic-Umgebungen gelten seit Langem als lohnendes Ziel, weil sie oft geschäftskritische Anwendungen tragen und Patch-Zyklen in solchen Umgebungen aus Verfügbarkeitsgründen träge sind.

Mit CVE-2026-60004 kommt eine Code-Injection-Schwachstelle in Gitea hinzu, die von Konten mit Schreibrechten auf ein Repository ausgenutzt werden kann. Entwicklungs- und Quellcodeplattformen sind ein besonders sensibler Angriffspunkt, weil sie das Bindeglied zwischen Entwicklung und Auslieferung bilden; eine Kompromittierung an dieser Stelle kann sich in nachgelagerte Systeme und Build-Prozesse fortpflanzen.

Bemerkenswert ist der hohe Anteil älterer Schwachstellen, die nun als aktiv ausgenutzt geführt werden. Dazu zählen CVE-2019-1068 im Microsoft SQL Server, das Remote Code Execution ermöglicht, sowie CVE-2021-23758 in Ajax.NET Professional, wo die Deserialisierung nicht vertrauenswürdiger Daten zur Codeausführung führen kann. Auf der Seite der lokalen Rechteausweitung stehen CVE-2022-0995 im Linux-Kernel mit einem Schreibzugriff außerhalb der vorgesehenen Speichergrenzen und CVE-2015-5287 im Red Hat Automatic Bug Reporting Tool. Solche Lücken sind selten der Einstiegspunkt, dafür umso wichtiger für die zweite Angriffsphase: Wer bereits Fuß gefasst hat, nutzt sie, um zu Systemrechten zu gelangen und sich dauerhaft festzusetzen.

Hinzu kommt CVE-2023-49105 in ownCloud, eine Schwachstelle bei der Authentifizierung, die den Zugriff auf, die Änderung oder das Löschen beliebiger Dateien erlaubt. Dass diese Lücke nach wie vor in produktiven Umgebungen erreichbar ist, verweist auf ein strukturelles Problem: Datei- und Kollaborationsplattformen werden häufig ohne klare Verantwortlichkeit betrieben und fallen aus regulären Patch-Prozessen heraus.

Die Lehre der Woche ist damit weniger eine einzelne spektakuläre Lücke als vielmehr die Bandbreite: Wer sein Patch-Management ausschließlich an aktuellen Meldungen ausrichtet, übersieht die seit Jahren bekannten Einfallstore, die Angreifer offenkundig weiterhin erfolgreich nutzen. Ein Abgleich der eigenen Bestandsliste gegen den KEV-Katalog ist hier deutlich zielführender als eine reine Orientierung an Schweregrad-Bewertungen.

Ransomware-Lage

Die Ransomware-Aktivität bleibt auf hohem Niveau und wird von mehreren Gruppen getragen. Zu den auffälligsten Akteuren dieser Woche zählen unter anderem Qilin, TheGentlemen, ZaWoo, Krybit, Akira, die Silent Ransom Group sowie Aktivitäten aus dem Storm-Umfeld. Diese Auswahl bildet nicht das gesamte Feld ab, markiert aber die Gruppen, die am sichtbarsten in Erscheinung getreten sind.

Qilin und Akira gehören dabei zu den etablierten Namen, die seit geraumer Zeit mit hoher Frequenz Opfer auf ihren Leak-Seiten listen und dabei erkennbar auf breit gestreute Kampagnen setzen, statt sich auf eine einzelne Branche zu konzentrieren. Beide Gruppen sind in der Vergangenheit wiederholt über exponierte Fernzugangs- und Netzwerksysteme in Unternehmensnetze gelangt — ein Muster, das die diese Woche im KEV-Katalog gelisteten Schwachstellen in Netzwerkperipherie besonders brisant macht.

Daneben treten mit ZaWoo, Krybit und TheGentlemen Akteure in Erscheinung, die für die kontinuierliche Fluktuation im Ökosystem stehen: Neue oder umbenannte Marken tauchen auf, übernehmen Werkzeuge und Affiliate-Strukturen und verschwinden ebenso schnell wieder. Für Verteidiger bedeutet das, dass die Konzentration auf einzelne Gruppennamen wenig trägt — entscheidend sind die wiederkehrenden Vorgehensweisen: Zugriff über verwundbare Randsysteme oder gestohlene Zugangsdaten, anschließende Rechteausweitung, Datenabfluss vor der Verschlüsselung und Druckaufbau über Veröffentlichungsdrohungen.

Die Silent Ransom Group steht exemplarisch für eine Variante, die zunehmend an Bedeutung gewinnt: Erpressung allein über den Diebstahl von Daten, ohne dass Systeme verschlüsselt werden. Für Betroffene entfällt dabei der offensichtliche Betriebsausfall als Warnsignal — die Kompromittierung fällt entsprechend spät auf. Wirksam sind hier weniger Backup-Strategien als vielmehr die Überwachung ungewöhnlicher Datenabflüsse und eine konsequente Begrenzung von Zugriffsrechten auf Dateiablagen.

Dass auch Organisationen im deutschsprachigen Raum unter den Betroffenen sind, unterstreicht, dass sich weder Größe noch geografische Lage als Schutzfaktor eignen. Die Verteilung über Branchen hinweg — von produzierenden Betrieben über Dienstleister bis zu öffentlichen Einrichtungen — folgt weiterhin primär der Opportunität: Angegriffen wird, wo eine erreichbare Schwachstelle gefunden wird.

Bemerkenswerte Vorfälle und Themen der Woche

Dominierendes Thema der Berichterstattung war die Erweiterung des KEV-Katalogs. In mehreren Schritten wurden ausgenutzte Schwachstellen aufgenommen, darunter die Lücken in NetScaler, im Linux-Kernel und im Microsoft SQL Server sowie separat die kritische Oracle-WebLogic-Schwachstelle CVE-2026-21962. Für Citrix NetScaler wurde zusätzlich eine verbindliche Umsetzungsfrist für US-Bundesbehörden gesetzt — ein Vorgehen, das in der Praxis auch für europäische Betreiber als Dringlichkeitsindikator taugt, weil es signalisiert, dass belastbare Hinweise auf laufende Ausnutzung vorliegen.

Der konkreteste Vorfall der Woche betrifft die ownCloud-Schwachstelle CVE-2023-49105: Über die Lücke wurden Daten bei einer nuklearen Forschungsbehörde auf den Philippinen entwendet. Der Fall ist in zweierlei Hinsicht instruktiv. Zum einen zeigt er, dass eine seit Längerem bekannte und behobene Schwachstelle weiterhin praktisch ausgenutzt wird, wenn Systeme nicht nachgezogen werden. Zum anderen verdeutlicht er, dass Kollaborations- und Dateiplattformen im Forschungs- und Behördenumfeld regelmäßig hochsensible Inhalte tragen, ohne entsprechend abgesichert oder überwacht zu werden. Genau solche Plattformen sind zudem ein bevorzugtes Ziel jener Gruppen, die auf reine Datenerpressung setzen.

In der Zusammenschau ergibt sich eine klare Prioritätenliste für die kommenden Tage: Abgleich der eigenen Systeme mit den neu aufgenommenen KEV-Einträgen, vorrangige Behandlung der aus dem Internet erreichbaren Komponenten — insbesondere NetScaler-Systeme und Oracle-Proxy-Installationen —, Überprüfung von Gitea-Instanzen auf die Vergabe von Schreibrechten sowie eine Bestandsaufnahme aller Datei- und Kollaborationsdienste, die außerhalb der regulären Patch-Prozesse betrieben werden. Ergänzend lohnt der Blick auf die lokalen Rechteausweitungslücken, da sie in kombinierten Angriffsketten den entscheidenden Schritt vom ersten Zugriff zur vollständigen Kompromittierung liefern.