Zwischen dem 18. September und dem 14. Oktober erfasste InfraTrust 133 neue Sicherheitshinweise von 18 Herstellern, die zusammen 2.813 Schwachstellen abdecken. 37 der Advisories waren als kritisch eingestuft, fünf erreichten den maximalen CVSS-Wert von 10.0, und 58 beschrieben Lücken, die sich aus der Ferne ohne Authentifizierung ausnutzen lassen. Sechzehn der neu veröffentlichten Hinweise enthielten Schwachstellen, die wegen aktiver Ausnutzung im Known-Exploited-Vulnerabilities-Katalog (KEV) der CISA geführt werden.

Besonders schwer wiegen laut dem Bericht Lücken in Systemen am Rand von Unternehmensnetzen oder in Komponenten, mit denen andere Infrastruktur verwaltet wird. Angreifer zielen auf solche Geräte, weil sie den Erstzugang zu Unternehmensumgebungen verschaffen oder als Sprungbrett für weitere Angriffe dienen können.

Zu den hervorgehobenen, aktiv ausgenutzten Schwachstellen zählen:

  • Citrix NetScaler ADC und Gateway: CVE-2026-88771 und CVE-2026-88772 wurden am 27. September offengelegt, nachdem bereits Angriffe auf ungepatchte Appliances beobachtet worden waren. Eine weitere NetScaler-Lücke, CVE-2026-88779, betrifft für SAML konfigurierte Geräte und wurde nach festgestellter Ausnutzung ebenfalls in den KEV-Katalog aufgenommen.
  • Ivanti Connect Secure: CVE-2026-104935 erlaubt einem nicht authentifizierten Angreifer aus der Ferne die Ausführung beliebiger Befehle auf verwundbaren VPN-Gateways. Ivanti erklärte bei Veröffentlichung des Hinweises, eine begrenzte Zahl von Kunden sei ausgenutzt worden. Die CISA nahm die Lücke später in den KEV auf.
  • Check Point Security Management Server: CVE-2026-93616 ermöglicht nicht authentifizierten Angreifern, Skripte auf Management- und Logging-Systeme hochzuladen und auszuführen. Check Point Research beobachtete am 12. September gezielte Angriffe gegen Spark-Kunden.
  • Cisco Catalyst SD-WAN Manager: CVE-2026-76504 erlaubt es, die Authentifizierung zu umgehen und Administratorzugriff auf die Management-API zu erlangen. Cisco wurde im September auf aktive Ausnutzung aufmerksam.
  • Arista VeloCloud Orchestrator: CVE-2026-93952 ist eine Lücke maximaler Schwere im System zur Konfiguration von SD-WAN-Edge-Geräten. Arista zufolge wird sie aktiv ausgenutzt; am 22. Oktober legte der Hersteller eine zweite, ebenfalls ausgenutzte Schwachstelle im selben Produkt offen (CVE-2026-114625).
  • FortiMail: CVE-2026-104286 ist eine kritische Path-Traversal-Lücke, über die nicht authentifizierte Angreifer beliebige Dateien über die Weboberfläche schreiben können. Fortinet bestätigte Angriffe.
  • Cisco Secure Email Gateway: CVE-2026-76519 kann es einem bösartigen E-Mail-Anhang ermöglichen, beliebige Dateien zu schreiben und Befehle als root auszuführen. Cisco erfuhr im Oktober von der Ausnutzung.
  • F5 BIG-IP APM: CVE-2026-94127 ist ein kritischer Heap-Überlauf, der auf Systemen, die als OAuth-Autorisierungsserver konfiguriert sind, nicht authentifizierte Codeausführung aus der Ferne erlauben kann. F5 erklärt, die Lücke sei ausgenutzt worden.
  • PAN-OS-Management-Interface: Palo Alto Networks meldete Angriffe auf Firewalls über CVE-2026-0322. Ein authentifizierter Administrator mit Netzwerkzugriff kann darüber Code als root ausführen.

Ein zweites Schwerpunktthema des Berichts sind die kürzlich offengelegten PHP2Shell-Schwachstellen CVE-2026-109618 und CVE-2026-109619, die nicht authentifizierte Codeausführung aus der Ferne erlauben. Das PHP-Projekt behob sie am 21. Oktober. Während sich die Aufmerksamkeit bislang vor allem auf Websites und in PHP geschriebene Webanwendungen richtet, steckt PHP auch in den Management-Oberflächen von Firewalls, Application Delivery Controllern, VPN-Appliances und Network-Attached-Storage-Geräten.

Betroffene Betreiber können PHP in diesen Geräten in der Regel nicht selbst aktualisieren, weil die Hersteller den Interpreter direkt in die Appliance-Firmware kompilieren. Kunden müssen warten, bis jeder Hersteller Firmware oder Software mit der gepatchten PHP-Version neu baut und ausliefert. InfraTrust rät deshalb, PHP-gestützte Management-Oberflächen bis zur Verfügbarkeit der Patches keinesfalls aus dem Internet erreichbar zu lassen. Kurz nach der Offenlegung bestätigten Palo Alto Networks, F5, NetScaler, Check Point und QNAP, dass einzelne ihrer Produkte betroffen sind; an Korrekturen für die Appliances wurde noch gearbeitet.

Ein vergleichbares Problem zeigt sich bei weiteren Softwarekomponenten, die Infrastrukturhersteller in ihre Produkte bündeln. CVE-2026-31431, eine als „Copy Fail" bekannte Rechteausweitung im Linux-Kernel, taucht inzwischen in 29 Advisories von acht Herstellern auf — im Vormonat waren es 19 Advisories von sechs Herstellern. Zudem fand InfraTrust ältere, bereits ausgenutzte Schwachstellen in mitgelieferten Komponenten, darunter eine Android-Kernel-Lücke in HP-LaserJet-Enterprise-Druckern und eine jQuery-Schwachstelle aus dem Jahr 2020 in Dells Data-Lakehouse-Software.

Für die Priorisierung empfiehlt InfraTrust, zuerst NetScaler und Ivanti Connect Secure zu patchen, da diese Fernzugriffs-Gateways als Einfallstor in Unternehmensnetze dienen können. Danach sollten die Fortinet-Updates vom 22. Oktober für FortiOS, FortiManager und FortiAnalyzer auf aus dem Internet erreichbaren Geräten eingespielt werden. Anschließend folgen Check Point Security Management Server, Cisco Catalyst SD-WAN Manager, VeloCloud Orchestrator, FortiMail, Cisco Secure Email Gateway, betroffene BIG-IP-APM-Systeme und PAN-OS-Management-Interfaces.