KW 38/2026: Cisco-Zero-Day, Kernel-Lücken und breite Ransomware-Aktivität
Eine aktiv ausgenutzte Lücke im Cisco Secure Email Gateway, mehrere Schwachstellen im Linux-Kernel und Warnungen zu ScreenConnect und GitLab prägen die Woche, begleitet von anhaltender Aktivität zahlreicher Ransomware-Gruppen.
Überblick und Einordnung der Woche
Die Woche fällt bei den neu bekannt gewordenen, aktiv ausgenutzten Schwachstellen etwas ruhiger aus als die Vorwoche — von Entspannung kann dennoch keine Rede sein. Der thematische Schwerpunkt verschiebt sich diesmal deutlich in Richtung zentraler Unternehmens- und Infrastrukturkomponenten: Netzwerkzugangskontrolle und E-Mail-Sicherheit bei Cisco, Fernwartung über ScreenConnect, Entwicklungs- und Artefakt-Infrastruktur mit GitLab und JFrog Artifactory sowie eine ganze Reihe von Schwachstellen im Linux-Kernel. Das sind durchweg Systeme, die entweder am Netzwerkrand stehen, weitreichende Berechtigungen besitzen oder tief in Software-Lieferketten eingebettet sind — und damit Angreifern überdurchschnittlichen Hebel verschaffen.
Parallel dazu bleibt die Ransomware-Lage unverändert angespannt. Eine breite Auswahl aktiver Gruppen meldet weiterhin regelmäßig Opfer über ihre Leak-Seiten, darunter sowohl etablierte, seit Längerem beobachtete Akteure als auch weniger bekannte Namen. Auch Einrichtungen im deutschsprachigen Raum sind betroffen, was zeigt, dass die aktuelle Angriffswelle keineswegs an Sprach- oder Ländergrenzen haltmacht. Insgesamt ergibt sich das inzwischen vertraute Bild: Die Zahl spektakulärer neuer Exploits schwankt von Woche zu Woche, der Grundpegel an Kompromittierungen und Erpressungsfällen bleibt jedoch konstant hoch.
Schwachstellen und ausgenutzte Sicherheitslücken
Im Zentrum steht diese Woche Cisco gleich doppelt. Die Cisco Identity Services Engine und der zugehörige Passive Identity Connector sind von einer Schwachstelle betroffen, die auf einer fehlerhaften Verwendung privilegierter Funktionen beruht (CVE-2026-76460). Da die ISE als zentrale Instanz für Netzwerkzugriff, Authentifizierung und Policy-Durchsetzung dient, ist eine Kompromittierung dieser Komponente besonders folgenreich: Wer hier Fuß fasst, kann potenziell Zugriffsentscheidungen im gesamten Netz beeinflussen. Ebenfalls bei Cisco betrifft eine SQL-Injection in der AsyncOS-Software des Secure Email Gateway (CVE-2026-76461) ein System, das per Definition an der Außengrenze steht und von unbekannten Absendern kontinuierlich mit Daten versorgt wird. Beide Produktlinien sollten daher mit Vorrang gepatcht und auf ungewöhnliche administrative Aktivitäten geprüft werden.
Auffällig ist außerdem die Häufung von Kernel-Themen. Im Linux-Kernel wurde eine unzureichende Behandlung ungewöhnlicher oder außergewöhnlicher Bedingungen im TLS-Empfangspfad korrigiert (CVE-2025-39682) — eine Codestelle, die bei praktisch jedem verschlüsselten Datenstrom durchlaufen wird und deshalb von außen gut erreichbar ist. Hinzu kommt ein Out-of-Bounds-Write im SNAT-Target von ebtables (CVE-2026-53266), bei dem über die Hardware-Adresse eines ARP-Absenders über die vorgesehenen Grenzen hinaus geschrieben werden kann; betroffen sind vor allem bridgende Systeme, Virtualisierungs-Hosts und Appliances. Eine Race Condition rundet das Bild ab: Gleichzeitige Schreibzugriffe auf denselben AF_ALG-Socket können zu Datenkorruption führen (CVE-2025-39964). Solche Lücken liefern selten den Erstzugang, sind aber wertvolle Bausteine für Rechteausweitung nach einer erfolgreichen Kompromittierung.
Jenseits von Server- und Netzwerktechnik betrifft eine unzureichende Autorisierungsprüfung im Mobilfunk-Modem von Google-Pixel-Geräten (CVE-2026-58704) mobile Endgeräte. Ein Logikfehler auf Modem-Ebene ist deshalb heikel, weil diese Komponente unterhalb des Betriebssystems arbeitet und für klassische Endpoint-Schutzlösungen weitgehend unsichtbar bleibt. Für Organisationen, die Pixel-Geräte dienstlich einsetzen, gehört das zeitnahe Einspielen der Firmware-Updates deshalb zur Pflicht. Ergänzend fällt eine Schwachstelle durch unsichere Standardberechtigungen im Acronis-Backup-Plugin für cPanel & WHM sowie in der Plesk-Erweiterung auf (CVE-2026-87886). Backup-Komponenten auf Hosting-Panels sind ein besonders attraktives Ziel: Sie laufen typischerweise hochprivilegiert und haben Zugriff auf sämtliche Kundendaten eines Servers — ein einzelner falsch gesetzter Zugriffsrechtssatz kann so die Mandantentrennung im Shared Hosting aushebeln.
Ransomware-Lage
Bei den Ransomware-Gruppen zeigt sich weiterhin ein fragmentiertes, aber sehr aktives Feld. Zu den in dieser Woche auffälligen Akteuren zählen unter anderem thegentlemen, qilin, AuditTeam, N0n, akira, Panzer und safepay — eine Auswahl, die das Spektrum gut abbildet, aber keineswegs vollständig ist. Mit qilin und akira sind dabei zwei Namen vertreten, die seit geraumer Zeit zu den Konstanten der Szene gehören und über etablierte Affiliate-Strukturen verfügen. safepay hat sich ebenfalls als regelmäßig meldender Akteur etabliert. Daneben stehen mit thegentlemen, AuditTeam, N0n und Panzer Gruppen, deren Profile weniger klar konturiert sind und die teils erst seit kürzerer Zeit eigene Leak-Seiten betreiben.
Dieses Nebeneinander ist typisch für die aktuelle Entwicklung: Nach der Zerschlagung oder dem Rückzug größerer Marken verteilen sich erfahrene Affiliates auf mehrere kleinere Betriebe oder gründen eigene. Für Verteidiger bedeutet das weniger, dass die Bedrohung insgesamt abnimmt, sondern vor allem, dass die Zuordnung schwieriger wird und die Vorgehensweisen heterogener ausfallen. Die technischen Grundmuster bleiben hingegen bemerkenswert stabil: Einstieg über exponierte Fernzugänge und Verwaltungsschnittstellen, Missbrauch legitimer Fernwartungswerkzeuge, Ausweitung der Rechte im Active Directory, Abfluss großer Datenmengen vor der eigentlichen Verschlüsselung und anschließend doppelte Erpressung.
Betroffen sind branchenübergreifend produzierende Unternehmen, Dienstleister, Handelsbetriebe sowie Einrichtungen aus dem Bildungs- und Gesundheitsumfeld — vielfach mittelständische Organisationen, bei denen Fernzugänge und Backup-Infrastruktur historisch gewachsen und nicht durchgängig segmentiert sind. Dass auch Einrichtungen im deutschsprachigen Raum unter den gemeldeten Fällen sind, unterstreicht, dass die Auswahl der Ziele in aller Regel opportunistisch erfolgt: Entscheidend ist die Erreichbarkeit verwundbarer Systeme, nicht die Bekanntheit oder Größe des Opfers. Wirksame Gegenmittel bleiben unspektakulär, aber konsequent umgesetzt hochwirksam: Multifaktor-Authentifizierung auf allen extern erreichbaren Zugängen, streng getrennte und offline gehaltene Backups, Netzsegmentierung sowie kurze Reaktionszeiten bei Patches für Randsysteme.
Bemerkenswerte Vorfälle und Themen der Woche
Die Berichterstattung wurde von der Meldung eines aktiv ausgenutzten Zero-Days im Cisco Secure Email Gateway dominiert. Dass eine Lücke in einem E-Mail-Gateway nicht theoretisch, sondern bereits praktisch ausgenutzt wird, hebt den Fall über gewöhnliche Patch-Meldungen hinaus: Solche Systeme verarbeiten sämtliche eingehende Kommunikation und stehen naturgemäß offen im Netz — ein erfolgreicher Angriff liefert nicht nur Zugang, sondern potenziell auch Einblick in die gesamte Mailkommunikation eines Unternehmens.
Parallel warnte die CISA vor der aktiven Ausnutzung einer kritischen Lücke in ScreenConnect. Fernwartungssoftware ist seit Jahren ein bevorzugtes Einfallstor, weil sie Zugriff auf viele Endpunkte gleichzeitig bündelt und ihre Nutzung im Protokoll kaum von legitimer Administration zu unterscheiden ist — gerade für Managed Service Provider und deren Kunden ist das ein Risiko mit Kaskadenwirkung. Ebenfalls von der CISA kam eine Warnung zu einer kritischen GitLab-Schwachstelle, die aktiv angegriffen wird. Damit rückt erneut die Entwicklungs-Infrastruktur in den Fokus, in der Quellcode, Build-Pipelines und häufig auch Zugangsdaten und Deployment-Schlüssel zusammenlaufen.
In dieselbe Richtung weist der Bericht über Angreifer, die drei Schwachstellen in JFrog Artifactory zu einer Kette verbinden, um Backdoors zu platzieren. Dieses Vorgehen ist doppelt bemerkenswert: Zum einen zeigt es, dass Angreifer bereit sind, mehrere für sich genommen mittelschwere Schwachstellen zu einem hochwirksamen Angriffspfad zu kombinieren — eine Einzelbewertung nach Schweregrad greift hier zu kurz. Zum anderen trifft es mit einem Artefakt-Repository eine Schaltstelle der Software-Lieferkette: Wer dort Pakete manipulieren kann, verteilt seinen Schadcode über die regulären, als vertrauenswürdig eingestuften Auslieferungswege an sämtliche nachgelagerten Systeme.
Die Themen der Woche ergeben damit eine klare gemeinsame Linie: Angegriffen wird dort, wo Vertrauen und Berechtigungen konzentriert sind — an Gateways, in Fernwartungslösungen und in der Entwicklungs- und Verteilungsinfrastruktur. Wer diese Systeme inventarisiert, konsequent aktuell hält und ihre Zugriffe gesondert überwacht, adressiert damit den überwiegenden Teil der in dieser Woche sichtbar gewordenen Risiken.