KW 36/2026: Zero-Days in Chrome, SonicWall und PaperCut prägen die Woche

Überblick und Einordnung der Woche

Das Lagebild dieser Woche wirkt beim Blick auf neu bekannt gewordene, aktiv ausgenutzte Schwachstellen etwas ruhiger als zuletzt — von Entspannung kann dennoch keine Rede sein. Die Qualität der gemeldeten Lücken wiegt schwerer als ihre Menge: Betroffen sind ausgerechnet jene Komponenten, die entweder an jedem Arbeitsplatz laufen oder direkt am Netzwerkrand stehen. Der Browser als universelles Einfallstor, Fernzugriffs-Appliances als klassisches Sprungbrett ins interne Netz und Druckmanagement-Server als unterschätzte, häufig hochprivilegierte Systeme in Behörden, Hochschulen und Kliniken — diese drei Kategorien bilden den roten Faden der Woche.

Parallel dazu setzt sich die Ransomware-Aktivität ohne erkennbare Verschnaufpause fort. Mehrere Gruppen veröffentlichen weiterhin regelmäßig neue Einträge auf ihren Leak-Seiten, wobei sich das Feld erneut aus einer Mischung aus etablierten Marken und jüngeren, teils rasch skalierenden Akteuren zusammensetzt. Auch Einrichtungen im deutschsprachigen Raum befinden sich unter den Betroffenen, was den Eindruck bestätigt, dass die Auswahl der Ziele weniger geografisch als vielmehr nach Angreifbarkeit und vermuteter Zahlungsbereitschaft erfolgt.

Auffällig ist zudem, wie eng die beiden Stränge inzwischen zusammenhängen: Die in dieser Woche diskutierten Lücken in Fernzugriffs- und Dokumenten-Infrastruktur sind exakt jene Klasse von Einstiegspunkten, die anschließend in Erpressungskampagnen münden. Wer die Patch-Lage bei randständigen Systemen vernachlässigt, verschiebt das Problem lediglich vom Schwachstellenmanagement in die Incident Response.

Schwachstellen und ausgenutzte Sicherheitslücken

Am breitesten wirkt die Typenverwechslung in der V8-Engine von Google Chromium (CVE-2026-85046). Der Fehler erlaubt es, aus der Ferne beliebigen Code innerhalb der Rendering-Umgebung auszuführen — der klassische erste Schritt einer Angriffskette, die typischerweise mit einem Ausbruch aus der Sandbox fortgesetzt wird. Da V8 nicht nur in Chrome, sondern in der gesamten Chromium-Familie steckt, betrifft der Patchbedarf faktisch den kompletten Browser-Bestand einer Organisation, inklusive der oft vergessenen eingebetteten Browserkomponenten in Desktop-Anwendungen und Kiosksystemen.

Deutlich gezielter, dafür mit unmittelbarer Netzwerkwirkung, präsentieren sich die Probleme in den SMA1000-Appliances von SonicWall. Die Server-Side-Request-Forgery-Schwachstelle (CVE-2026-83548) erlaubt es einem nicht authentifizierten Angreifer aus der Ferne, das Gerät zu Anfragen in eigentlich abgeschottete Netzsegmente zu bewegen. Da solche Appliances konstruktionsbedingt an der Schnittstelle zwischen Internet und Innennetz stehen, ist der Hebel enorm — und die Kombination mehrerer Schwächen zu einer durchgängigen Kette macht aus einem theoretischen Risiko einen praktikablen Angriffsweg.

Gleich zweifach fällt PaperCut NG/MF auf. Die unsichere Reflection (CVE-2026-82078) erlaubt die Manipulation von Systemkonfigurationsparametern samt Codeausführung, während die fehlende Authentifizierung für eine kritische Funktion (CVE-2026-81578) einem nicht authentifizierten Angreifer aus der Ferne Änderungen an der Anwendung gestattet. Druckmanagement-Server sind ein lohnendes Ziel, weil sie in vielen Umgebungen mit Verzeichnisdiensten verbunden sind, Nutzerdaten und Abrechnungsinformationen vorhalten und selten im Fokus des Patch-Managements stehen.

Daneben verdienen mehrere Lücken in Backend- und Entwicklungsinfrastruktur Beachtung. In Kestra OSS ermöglicht eine OS-Command-Injection (CVE-2026-49869) einem nicht authentifizierten Angreifer aus der Ferne die Ausführung von Systembefehlen — in einer Workflow-Orchestrierung ist das gleichbedeutend mit weitreichender Kontrolle über automatisierte Prozesse. JFrog Artifactory ist von einer fehlerhaften Authentifizierung betroffen (CVE-2026-82329), die bereits in der Standardkonfiguration greift; in einem Artefakt-Repository eröffnet das den Weg zu Supply-Chain-Manipulationen, weil kompromittierte Pakete anschließend regulär in Builds und Deployments fließen.

Zwei weitere Einträge runden das Bild ab: Eine SQL-Injection in Sangoma Switchvox (CVE-2026-9586) erlaubt nicht authentifizierten Angreifern das Absetzen beliebiger SQL-Anweisungen und rückt damit Telefonie-Infrastruktur ins Visier, die in Netzplänen häufig als unkritisch geführt wird. Und in BerriAI LiteLLM (CVE-2026-59822) findet sich eine fehlerhafte Authentifizierung am MCP-Streamable-HTTP-Endpunkt — ein Hinweis darauf, dass die schnell wachsende Schicht aus KI-Gateways und Modell-Proxys inzwischen zum regulären Bestandteil der Angriffsfläche geworden ist und denselben Prüfmaßstäben unterliegen muss wie klassische API-Dienste.

Die gemeinsame Klammer dieser Lücken: Ein erheblicher Teil setzt keinerlei Authentifizierung voraus. Damit entfällt die Vorstufe des Zugangsdiebstahls, und die Zeitspanne zwischen Veröffentlichung und Massenscans schrumpft auf ein Minimum.

Ransomware-Lage

Das Feld der aktiven Erpressergruppen bleibt breit besetzt. Zu den auffälligsten Akteuren dieser Woche zählen unter anderem Settra, Qilin, Krybit, INC Ransom, Akira, The Gentlemen und LockBit5. Die Zusammensetzung ist charakteristisch für die derzeitige Marktstruktur: Neben Namen, die seit längerem konstant hohe Schlagzahlen fahren, stehen jüngere Marken, die sich über schnelle Veröffentlichungsfrequenz und aggressive Selbstdarstellung Sichtbarkeit verschaffen.

Qilin und Akira arbeiten weiterhin nach dem bekannten Muster affiliate-getriebener Operationen mit klarer Arbeitsteilung zwischen Zugangsbeschaffung, Ausbreitung im Netzwerk und Verhandlungsführung. Die Einstiegswege decken sich dabei erfahrungsgemäß genau mit den in dieser Woche diskutierten Schwachstellenklassen: exponierte Fernzugriffslösungen, ungepatchte Serveranwendungen und gestohlene Zugangsdaten ohne wirksame Mehrfaktor-Absicherung. INC Ransom und Krybit setzen ihre Veröffentlichungstätigkeit ebenfalls fort, während Settra und The Gentlemen zeigen, wie schnell neue Marken in diesem Ökosystem Fuß fassen können — häufig getragen von erfahrenen Beteiligten, die zwischen Programmen wechseln.

Bemerkenswert ist die Wiederkehr der LockBit-Marke in einer fortgeführten Version. Sie belegt, dass Strafverfolgungserfolge und Reputationsschäden zwar Infrastruktur zerschlagen, die dahinterstehenden Netzwerke aber nicht dauerhaft ausschalten. Für Verteidiger bedeutet das: Markennamen taugen nur begrenzt als Planungsgrundlage, entscheidend sind die immer wieder ähnlichen technischen Muster — Missbrauch legitimer Administrationswerkzeuge, Deaktivierung von Sicherheitssoftware, Datenabfluss vor der Verschlüsselung und Angriffe auf Backup-Systeme.

Der Doppelerpressungsansatz bleibt Standard. Selbst dort, wo eine Wiederherstellung aus Sicherungen gelingt, bleibt der Druck durch angedrohte Veröffentlichung sensibler Daten bestehen. Betroffen sind erneut Organisationen quer durch alle Größenklassen und Branchen, darunter auch Einrichtungen im deutschsprachigen Raum — mittelständische Unternehmen und öffentliche Träger sind dabei besonders exponiert, weil ihnen häufig durchgängige Netzsegmentierung und rund um die Uhr besetzte Detektion fehlen.

Bemerkenswerte Vorfälle und Themen der Woche

Die Berichterstattung dominierte der Chrome-Zero-Day in der V8-Engine, den Google außerhalb des regulären Zyklus schließen musste, weil die Lücke bereits aktiv ausgenutzt wurde. Dass es sich um einen weiteren Fall in einer ganzen Reihe von Browser-Zero-Days innerhalb desselben Jahres handelt, ist der eigentlich beunruhigende Befund: Die JavaScript-Engine bleibt eines der ergiebigsten Ziele überhaupt, und die Kadenz erfolgreicher Angriffe deutet darauf hin, dass gut ausgestattete Akteure dort dauerhaft und systematisch nach verwertbaren Fehlern suchen. Für Organisationen heißt das, dass Browser-Updates keine Nebensache des Endpoint-Managements sind, sondern eine überwachte, erzwungene und zeitnah kontrollierte Routine sein müssen.

Ebenfalls stark beachtet wurde die Ausnutzung gleich zweier Zero-Days in den SMA1000-Appliances von SonicWall, die zu einer funktionierenden Angriffskette verknüpft wurden. Solche Ketten sind besonders gefährlich, weil einzelne Bausteine für sich genommen oft als moderat eingestuft werden und in der Priorisierung untergehen. Erst die Kombination erzeugt den vollständigen Zugriff. Organisationen mit betroffenen Geräten sollten daher nicht allein auf das Einspielen von Updates setzen, sondern gezielt nach Spuren vorangegangener Zugriffe suchen — Appliances am Netzrand liefern selten von sich aus aussagekräftige Alarme.

Der dritte große Themenkomplex betrifft die Ausnutzung der PaperCut-Zero-Days für Datendiebstahl. Der Vorgang lenkt den Blick auf eine Gerätekategorie, die in Sicherheitsbetrachtungen häufig hinten ansteht, in der Praxis aber tief in die Nutzerverwaltung integriert ist. Dass Angreifer diese Systeme gezielt zur Datenexfiltration nutzen, statt sie nur als Sprungbrett zu behandeln, unterstreicht ihren eigenständigen Wert für die Täterseite.

In der Summe ergibt sich ein konsistentes Bild: Die Angriffe zielen auf allgegenwärtige Software und auf randständige, schlecht überwachte Serverdienste. Wirksam bleiben die unspektakulären Maßnahmen — konsequentes, priorisiertes Patchen exponierter Systeme, Reduzierung der aus dem Internet erreichbaren Angriffsfläche, Mehrfaktor-Authentifizierung ohne Ausnahmen und die Fähigkeit, verdächtige Aktivität auf Appliances und Anwendungsservern überhaupt zu bemerken.