CISA meldet aktive Angriffe auf Lücken in OpenSSH, GPUStack, FreeSWITCH und IBM Aspera Faspex

Diese vier Schwachstellen hat die CISA neu aufgenommen:

• CVE-2026-123218 (CVSS 9.8): fehlerhafte Autorisierung in IBM Aspera Faspex. Ein angemeldeter Nutzer kann mit einer präparierten Nachricht die Autorisierung umgehen und seine Rechte ausweiten. Behoben im November 2026.
• CVE-2026-116779 (CVSS 9.8): Code-Injection in SignalWire FreeSWITCH. Angreifer können Konfiguration und Zugangsdaten auslesen, beliebig Anrufe steuern und Befehle ausführen. Behoben im Oktober 2026.
• CVE-2026-123158 alias SSHole (CVSS 8.1): Fehler durch einen unerwarteten Statuscode oder Rückgabewert in OpenBSD OpenSSH unter Linux. Er ermöglicht es, die Authentifizierung zu umgehen. Behoben im November 2026.
• CVE-2026-102895 (CVSS 9.8): fehlerhafte Authentifizierung in GPUStack. Angreifer erhalten ohne Anmeldung administrativen Zugriff. Damit können sie Nutzer und Modelle ändern, dauerhafte Administrator-API-Schlüssel anlegen und Geheimnisse von Workern und Cloud-Anbietern auslesen. Über POST /v2/inference-backends/from-yaml lässt sich zudem Code ausführen. Behoben im Juli 2026.

Seit dem 6. November 2026 wird versucht, SSHole auszunutzen. Nach Angaben von Previdian wurden bislang 22 Angriffsversuche von 14 verschiedenen IP-Adressen gezählt. Defused Cyber schrieb am 7. November auf X, man habe „eine kleine Zahl von Akteuren beobachtet, die SSHole ins Visier nehmen“. Die Angriffe seien aber noch nicht weit verbreitet.

GreyNoise registrierte den ersten Angriffsversuch auf sein Honeypot-Netz am 7. November 2026 um 0:46 Uhr UTC. Bestätigte Aktivitäten nach erfolgreicher Ausnutzung stammen bisher von sechs Quell-IP-Adressen und verteilen sich auf 18 verschiedene Angriffsketten. Die Angreifer erkundeten die Systeme, fragten Cloud-Metadatendienste ab und versuchten, Passwort-Hashes und SSH-Schlüssel des Root-Kontos zu lesen. Außerdem versuchten sie, die Datei authorized_keys zu verändern, um sich dauerhaften Zugang zu sichern. Mindestens einmal setzten unbekannte Täter den TAC Agent ein. Das ist ein in Python geschriebener Command-and-Control-Agent: Er führt Shell-Befehle aus, späht das System aus, listet Verzeichnisse auf, überträgt Dateien und kann sich selbst aktualisieren. Die Threat-Intelligence-Firma watchTowr hat nach eigenen Angaben ebenfalls beobachtet, wie die OpenSSH-Lücke für Botnetze und Kryptomining missbraucht wird.

Den Sicherheitshinweis zu CVE-2026-102895 haben die Maintainer des Python-Pakets GPUStack am 31. Juli 2026 veröffentlicht. Darin danken sie Nikko Enggaliano, Wei Yunzhou, Rui Yang und Haoyu Wang, die die Lücke unabhängig voneinander gemeldet hatten. Die „aktive Ausnutzung in freier Wildbahn“ meldete Javier Sixto von Ulex Innovative Systems.

Zu den übrigen Lücken gibt es bislang keine öffentlichen Angaben: Unbekannt ist, wie sie ausgenutzt werden, wer dahintersteckt und wie groß das Ausmaß ist. Zivile Bundesbehörden der US-Exekutive (FCEB) sollen die Updates bis zum 12. November 2026 einspielen.