KW 42/2026: Edge-Geräte unter Dauerbeschuss: Ausgenutzte Lücken in VPN-, Backup- und Mail-Infrastruktur
Aktiv ausgenutzte Schwachstellen in Fernzugriffs-, Backup- und Perimeter-Produkten prägen die Woche, flankiert von speicherresidenter Malware auf FortiOS-Systemen und anhaltender Ransomware-Aktivität.
Überblick und Einordnung der Woche
Die Lage hat sich gegenüber der Vorwoche spürbar zugespitzt: Es wurden deutlich mehr neu ausgenutzte Schwachstellen bekannt, und der Schwerpunkt liegt dabei erneut dort, wo Angreifer den größten Hebel haben — an der Netzwerkperipherie. Betroffen sind Fernzugriffs- und VPN-Lösungen, Backup-Serversoftware, E-Mail-Gateways und Firewall-Betriebssysteme. Es handelt sich also fast durchgängig um Systeme, die per Definition aus dem Internet erreichbar sein müssen, die hohe Rechte im Netz besitzen und die klassische Endpoint-Schutzmechanismen nur eingeschränkt abdecken.
Auffällig ist das Muster hinter den Fällen dieser Woche: Mehrfach wurden Lücken nicht erst nach dem Patch ausgenutzt, sondern bereits vorher oder parallel zur Bereitstellung der Korrekturen. In mindestens zwei Fällen erwiesen sich die ursprünglich veröffentlichten Patches zudem als unvollständig, sodass Hersteller nachliefern mussten — ein Szenario, das Verteidiger doppelt trifft, weil ein als „erledigt“ markierter Vorgang erneut geöffnet werden muss. Parallel dazu bleibt die Ransomware-Szene breit aufgestellt; eine ganze Reihe von Gruppen meldete Opfer, und auch Einrichtungen im deutschsprachigen Raum waren betroffen.
Die Tendenz der Woche lässt sich damit so zusammenfassen: Der Angriffsschwerpunkt verschiebt sich weiter von der Anwenderschicht hin zur Infrastruktur, und die Zeitspanne zwischen Bekanntwerden einer Lücke und ihrer Ausnutzung schrumpft in mehreren Fällen praktisch auf null.
Schwachstellen und ausgenutzte Sicherheitslücken
Im Zentrum stehen Produkte für Fernzugriff und Perimeterschutz. Bei Ivanti Connect Secure erlaubt eine Authentifizierungsumgehung durch Spoofing (CVE-2026-104935) nicht authentifizierten Angreifern aus der Ferne die Ausführung von Code — eine Kombination, die dieses Produkt in den vergangenen Jahren wiederholt zum bevorzugten Einstiegspunkt gemacht hat. Problematisch ist hier insbesondere, dass die Ausnutzung berichtet wurde, bevor Korrekturen für sämtliche betroffenen Versionszweige verfügbar waren. Betreiber, die auf älteren oder weniger verbreiteten Branches laufen, standen damit zeitweise ohne Patch da und mussten auf Kompensationsmaßnahmen wie eingeschränkte Erreichbarkeit, Netzsegmentierung und intensive Protokollauswertung ausweichen.
Ein strukturell ähnliches Bild zeigt sich bei BeyondTrust Remote Support: Auch hier handelt es sich um eine Authentifizierungsumgehung durch Spoofing (CVE-2026-102764). Fernwartungslösungen sind für Angreifer besonders attraktiv, weil sie legitimen, oft weitreichenden Zugriff auf eine Vielzahl verwalteter Systeme bündeln — ein erfolgreicher Zugriff bedeutet hier selten nur ein kompromittiertes System, sondern potenziell den Zugang zu einer gesamten Kundenlandschaft.
Palo Alto Networks hat eine aktiv ausgenutzte Code-Injection-Schwachstelle in PAN-OS geschlossen (CVE-2026-0322). Die Lücke setzt einen authentifizierten Angreifer mit Netzwerkzugang voraus, was den Kreis der Angreifer zwar verengt, die Lage aber nicht entspannt: Zugangsdaten für Management-Oberflächen lassen sich über Phishing, Credential-Stuffing oder vorherige Kompromittierungen beschaffen, und eine Code-Ausführung auf dem Firewall-Betriebssystem bedeutet die Kontrolle über die zentrale Durchsetzungsinstanz des Netzwerks. Die Management-Schnittstelle solcher Geräte gehört konsequent aus dem Internet entfernt und auf dedizierte Administrationsnetze beschränkt.
Bei Fortinet betrifft eine Path-Traversal-Schwachstelle gleich mehrere Produktlinien — FortiOS, FortiPAM, FortiProxy und FortiSwitchManager (CVE-2025-61624). Die Ausnutzung setzt administrative Authentifizierung voraus, eignet sich damit vor allem zur Rechteausweitung und Persistenz nach einem bereits erfolgten Erstzugriff. Dass eine einzelne Schwachstelle gleich eine ganze Produktfamilie betrifft, macht die Inventarisierung zum entscheidenden Faktor: Wer nicht weiß, welche Fortinet-Komponenten in welchen Versionen im Einsatz sind, kann den Patch-Stand nicht belastbar bewerten.
Gleich zwei Einträge entfallen auf die Backup-Software Ahsay AhsayCBS: eine Command-Injection-Lücke, die das Ausführen von Betriebssystembefehlen ermöglicht (CVE-2026-105134), sowie eine fehlerhafte Authentifizierung, über die sich die Anmeldung durch Manipulation umgehen lässt (CVE-2026-105133). Die Kombination ist brisant, weil beide Schwachstellen verkettet werden können — Authentifizierung umgehen, dann Befehle ausführen. Backup-Infrastruktur ist für Ransomware-Akteure ein primäres Ziel, da die Zerstörung oder Verschlüsselung von Sicherungen den Erpressungsdruck massiv erhöht.
Hinzu kommen eine relative Path-Traversal-Schwachstelle im Cisco Secure Email Gateway, die unauthentifizierten Angreifern aus der Ferne offensteht (CVE-2026-76519), sowie eine Command-Injection-Lücke in der Windows Shell (CVE-2026-96951), über die sich eine Sicherheitsfunktion umgehen lässt. Letztere ist typischerweise Bestandteil von Angriffsketten, in denen eine Datei oder Verknüpfung vom Anwender geöffnet wird und Warnmechanismen stillschweigend ausgehebelt werden.
Ransomware-Lage
Das Bild bei Ransomware bleibt von Breite statt von Konzentration geprägt. Zu den aktivsten Akteuren der Woche zählten unter anderem Qilin und Akira — beide seit Längerem feste Größen und bekannt dafür, gezielt über exponierte VPN- und Fernzugriffszugänge sowie schwach geschützte Administrationskonten einzusteigen. Genau hier schließt sich der Kreis zu den oben beschriebenen Schwachstellen: Die Angriffsflächen, die diese Woche durch neue Lücken sichtbar wurden, sind exakt jene, über die diese Gruppen typischerweise ihren Erstzugriff realisieren.
Daneben traten Gruppen wie thegentlemen, Nightspire, N0n und Wallstreet in Erscheinung. Bemerkenswert ist zudem die fortgesetzte Aktivität unter der Marke LockBit in ihrer aktuellen Ausprägung als lockbit5 — nach den Strafverfolgungsmaßnahmen der Vergangenheit ein Beleg dafür, dass Takedowns das Ökosystem stören, aber selten dauerhaft beseitigen. Affiliates wandern zwischen Programmen, Codebasen werden weitergereicht, Markennamen neu aufgelegt.
Betroffen waren erneut Organisationen aus unterschiedlichsten Branchen — Produktion und Fertigung, Dienstleister, Gesundheits- und Bildungseinrichtungen sowie kommunale Strukturen. Auch Einrichtungen im deutschsprachigen Raum standen auf den Leak-Seiten. Das Muster der doppelten Erpressung mit vorgelagertem Datenabfluss bleibt Standard; eine funktionierende Wiederherstellung aus Backups verhindert daher längst nicht mehr automatisch den Schaden, zumal die Backup-Infrastruktur selbst — siehe AhsayCBS — zunehmend direkt ins Visier gerät.
Bemerkenswerte Vorfälle und Themen der Woche
Den technisch interessantesten Fall liefert PEERSTITCH: Dabei handelt es sich um speicherresidente Malware, die eine FortiOS-Lücke ausnutzt und VPN-Sitzungen manipuliert. Die Auswirkungen sind erheblich, denn eine rein im Arbeitsspeicher operierende Schadkomponente hinterlässt kaum forensische Spuren auf dem Dateisystem und überlebt einen Neustart in der Regel nicht — was die Erkennung erschwert, aber auch bedeutet, dass ein Reboot Beweise vernichtet, bevor sie gesichert werden können. Die Manipulation aktiver VPN-Sitzungen eröffnet zudem die Möglichkeit, sich an bestehende, legitime Verbindungen anzuhängen, statt eigene Authentifizierungsschritte zu durchlaufen. Betreiber von Fortinet-Appliances sollten daher nicht allein auf den Patch-Stand schauen, sondern Sitzungsprotokolle, Konfigurationsänderungen und ungewöhnliche Verbindungsmuster aktiv auswerten.
Der zweite prägende Komplex betrifft Ahsay: Der Hersteller musste neue Hotfixes für die bereits ausgenutzten AhsayCBS-Lücken nachliefern, nachdem sich die ursprünglichen Patches als unvollständig erwiesen hatten. Für Verteidiger ist das ein unangenehmes Szenario — eine bereits abgeschlossene Patch-Maßnahme muss erneut aufgegriffen werden, und in der Zwischenzeit bestand trotz eingespielter Korrektur weiterhin Angriffsfläche. Wer Backup-Server betreibt, sollte in solchen Fällen nicht nur nachpatchen, sondern rückwirkend auf Kompromittierung prüfen.
Palo Alto Networks hat die aktiv ausgenutzte PAN-OS-Lücke CVE-2026-0322 geschlossen. Dass die Ausnutzung bereits vor der breiten Verteilung des Fixes beobachtet wurde, unterstreicht die Notwendigkeit, Firewall-Management-Ebenen grundsätzlich als besonders schützenswerte Zone zu behandeln.
Schließlich dokumentiert der Fall Ivanti Connect Secure eindrücklich, wie Angreifer eine Zero-Day-Kette nutzten, bevor der Fix alle betroffenen Versionen erreichte. Die Konsequenz für Betreiber ist klar: Bei Produkten mit einer derartigen Vorgeschichte reicht reaktives Patchen nicht aus. Erforderlich sind eine konsequente Begrenzung der Erreichbarkeit, Multi-Faktor-Authentifizierung ohne Ausnahmen, die Überwachung von Konfigurationsdateien und Sitzungszuständen sowie die Bereitschaft, betroffene Appliances im Verdachtsfall sauber neu aufzusetzen statt lediglich zu aktualisieren.