KW 45/2026: Zero-Click gegen Mobilgeräte, alte Apple-Lücke zurück im Fokus

Überblick und Einordnung der Woche

Gemessen an der Zahl neu bekannt gewordener, aktiv ausgenutzter Schwachstellen fällt diese Woche ruhiger aus als die vorangegangene. Das heißt allerdings nicht, dass die Lage entspannt wäre: Die wenigen Meldungen, die es in die Breite geschafft haben, betreffen ausgerechnet die Bereiche, die sich am schlechtesten kurzfristig absichern lassen – Remote-Access-Infrastruktur, Content-Management-Systeme mit riesiger Installationsbasis und mobile Endgeräte, auf denen klassische Endpoint-Sicherheit kaum greift.

Prägend ist das Nebeneinander zweier Dynamiken. Auf der einen Seite steht staatsnahe Spionage: Mit APT29 ist ein Akteur in den Schlagzeilen, der mobile Nutzerinnen und Nutzer über manipulierte Websites und Zero-Click-Exploits angreift – also ohne jede Interaktion des Opfers. Auf der anderen Seite läuft die finanziell motivierte Ransomware-Ökonomie unvermindert weiter, mit einer Reihe von Gruppen, die fortlaufend neue Opfer auf ihren Leak-Seiten listen. Betroffen sind auch Einrichtungen im deutschsprachigen Raum, was die Lage für hiesige Verantwortliche konkret macht.

Auffällig ist zudem ein wiederkehrendes Muster: Nicht nur brandneue Lücken bestimmen das Geschehen, sondern auch solche, die längst gepatcht sein könnten. Dass eine ältere Apple-Schwachstelle nun offiziell als aktiv ausgenutzt geführt wird und dass weiterhin eine vierstellige Zahl exponierter GitLab-Server für eine bekannte RCE-Lücke erreichbar ist, zeigt, dass der Flaschenhals weniger bei der Verfügbarkeit von Patches liegt als beim Einspielen. Die Angreifer müssen keine neuen Türen suchen, solange die alten offen stehen.

Schwachstellen und ausgenutzte Sicherheitslücken

Im Zentrum der Schwachstellenlage steht eine Race-Condition im WordPress Core (CVE-2026-119977). Es handelt sich um eine Time-of-Check-Time-of-Use-Problematik, bei der zwischen Prüfung und Verwendung eines Zustands ein Zeitfenster entsteht, das sich ausnutzen lässt – und zwar ohne vorherige Authentifizierung, mit dem Ziel der Codeausführung. Solche Lücken sind in der Ausnutzung technisch anspruchsvoll, weil das Timing stimmen muss, lassen sich aber automatisiert in hoher Frequenz durchprobieren. Angesichts der Verbreitung von WordPress und der Tatsache, dass ein erheblicher Teil der Installationen ohne professionelle Betreuung läuft, ist hier mit breiter, opportunistischer Massenausnutzung zu rechnen. Kompromittierte Webserver sind dabei selten das eigentliche Ziel: Sie dienen als Hosting für Phishing-Seiten, als Verteilstation für Schadcode oder als Einstiegspunkt in dahinterliegende Netze. Wer WordPress betreibt, sollte nicht nur den Core, sondern auch die Plugin- und Theme-Landschaft überprüfen und automatische Updates dort aktivieren, wo dies betrieblich vertretbar ist.

Deutlich klassischer, aber nicht weniger folgenreich ist die Schwachstelle in SonicOS SSLVPN von SonicWall (CVE-2026-19868). Dort geht es um die Verwendung von Single-Factor-Authentifizierung: Wer über gültige Zugangsdaten verfügt, kann Zugriff erlangen, ohne dass ein zweiter Faktor dies verhindert. Das klingt nach einem Konfigurations- eher als einem Softwareproblem, ist in der Praxis aber genau der Pfad, den Ransomware-Gruppen seit Jahren bevorzugen. Zugangsdaten sind billig und im großen Stil verfügbar – aus Infostealer-Logs, aus Phishing, aus früheren Datenabflüssen. Ein VPN-Zugang, der allein auf Benutzername und Passwort beruht, ist unter diesen Bedingungen kein Schutzwall, sondern eine Eingangstür mit Schild. Die Konsequenz für Betreiber ist unmittelbar: Multi-Faktor-Authentifizierung für alle Remote-Zugänge durchsetzen, Zugänge ohne zweiten Faktor identifizieren und Anmeldungen aus ungewöhnlichen Regionen oder mit auffälligen Mustern aktiv überwachen.

Die dritte prominente Lücke ist ein Rückkehrer: Eine Schwachstelle in mehreren Apple-Produkten – iOS, iPadOS, macOS, Safari, tvOS und watchOS – wurde in den KEV-Katalog der CISA aufgenommen (CVE-2024-27834). Es handelt sich um eine fehlerhafte Authentifizierung. Die Aufnahme in den Katalog bekannter ausgenutzter Schwachstellen ist das entscheidende Signal: Hier wird nicht mehr theoretisch über Risiko gesprochen, sondern praktische Ausnutzung bestätigt. Dass eine bereits länger bekannte Apple-Lücke nun diesen Status erhält, passt zum Gesamtbild der Woche und unterstreicht, dass Mobilgeräte und Apple-Plattformen in Unternehmensumgebungen dieselbe Patch-Disziplin verdienen wie Server. Für Organisationen außerhalb des unmittelbaren Geltungsbereichs der CISA-Vorgaben taugt der KEV-Katalog ohnehin als pragmatische Priorisierungshilfe: Was dort gelistet ist, gehört an den Anfang der Warteschlange.

Hinzu kommen die beiden weiteren Zero-Days in Ivanti Connect Secure, die der Hersteller im Rahmen einer laufenden Angriffskette geschlossen hat. Remote-Access-Gateways stehen definitionsgemäß am Netzrand, sind von außen erreichbar und besitzen zugleich tiefe Einblicke in das interne Netz – eine Kombination, die sie zum dauerhaften Lieblingsziel macht. Dass die Lücken aus einer bereits laufenden Angriffskette heraus entdeckt wurden, bedeutet, dass Patchen allein nicht reicht: Betroffene Systeme müssen auf Kompromittierungsspuren untersucht werden, Zugangsdaten und Sitzungs-Token gehören erneuert.

Ransomware-Lage

Das Bild bei Ransomware bleibt von Kontinuität geprägt: Eine überschaubare Zahl etablierter Gruppen trägt den Großteil der veröffentlichten Fälle, flankiert von kleineren und neueren Akteuren, die sich über Volumen und Sichtbarkeit zu profilieren versuchen. Zu den in dieser Woche auffälligen Namen zählen unter anderem Qilin und Akira – beides Gruppen, die seit längerem zu den beständigsten Kräften im Ransomware-as-a-Service-Modell gehören und ihre Opfer quer durch Branchen und Unternehmensgrößen suchen. Akira ist dabei besonders eng mit dem Thema verwundbarer VPN- und Remote-Access-Zugänge verknüpft, was die Relevanz der SonicWall-Problematik zusätzlich unterstreicht: Der Angriffspfad über gestohlene Zugangsdaten und fehlende Mehrfaktorabsicherung ist hier keine theoretische Möglichkeit, sondern gelebte Praxis.

Daneben traten unter anderem MedusaLocker, INC Ransom, BrainCipher und The Gentlemen in Erscheinung, ergänzt um Akteure wie N0n. Diese Mischung ist typisch für die aktuelle Phase der Szene: Nach Strafverfolgungsmaßnahmen und internen Zerwürfnissen der vergangenen Jahre hat sich die Landschaft fragmentiert. An die Stelle weniger dominanter Marken sind viele mittelgroße Operationen getreten, deren Affiliates zwischen Programmen wechseln. Für Verteidiger hat das eine unangenehme Konsequenz: Die Markennamen auf der Leak-Seite sagen immer weniger über das tatsächliche Vorgehen aus, weil dieselben Partner mit denselben Werkzeugen unter wechselnden Flaggen arbeiten. Wer sich an Gruppennamen orientiert, verteidigt gegen Etiketten statt gegen Techniken.

Praktisch heißt das: Die Abwehr muss am Angriffspfad ansetzen, nicht am Täterprofil. Die Eintrittspunkte bleiben über alle genannten Gruppen hinweg bemerkenswert stabil – exponierte und unzureichend abgesicherte Fernzugänge, ungepatchte Perimetersysteme, gestohlene Zugangsdaten und Phishing. Danach folgen Privilegienausweitung im Active Directory, Datenabfluss vor der Verschlüsselung und doppelte Erpressung. Entsprechend wirksam sind Maßnahmen, die unabhängig vom Angreifer greifen: konsequente Mehrfaktorauthentifizierung, Segmentierung, Härtung und Überwachung der Verzeichnisdienste, Erkennung ungewöhnlicher Datenabflüsse sowie getestete, vom Produktivnetz getrennte Backups. Dass auch Einrichtungen im deutschsprachigen Raum unter den Betroffenen waren, zeigt, dass die geografische Streuung längst keine Entlastung mehr bietet – kleine und mittlere Organisationen sind in der Opferstruktur ebenso vertreten wie große Konzerne.

Bemerkenswerte Vorfälle und Themen der Woche

Das meistbeachtete Thema der Woche ist die Kampagne von APT29 gegen iOS- und Android-Nutzer. Über manipulierte Websites werden Zero-Click-Exploits ausgeliefert, die ohne jede Nutzerinteraktion auskommen – kein Klick, kein Download, keine Warnung. Das unterläuft sämtliche Sensibilisierungsmaßnahmen, die auf vorsichtiges Nutzerverhalten setzen. Besonders relevant ist dabei die Zielgruppe: Akteure dieses Profils richten sich typischerweise gegen Diplomatie, Politik, Forschung und Organisationen mit Zugang zu sensiblen Informationen. Für diese Gruppen reichen Standardmaßnahmen nicht aus; gefragt sind gehärtete Gerätekonfigurationen, restriktive Sperrmodi auf Mobilgeräten und ein Update-Regime, das Patches binnen Stunden statt Wochen einspielt.

Die zwei weiteren von Ivanti geschlossenen Connect-Secure-Zero-Days setzen eine Entwicklung fort, die Verantwortliche seit geraumer Zeit beschäftigt. Dass die Lücken aus einer aktiven Angriffskette heraus bekannt wurden, verschiebt die Aufgabe vom reinen Patch-Management zur Incident Response. Wer solche Gateways betreibt, sollte von einer möglichen Kompromittierung ausgehen, bis das Gegenteil belegt ist – und bei der Prüfung nicht allein auf Herstellerwerkzeuge vertrauen, sondern Netzwerk-Telemetrie und Authentifizierungsprotokolle rückwirkend auswerten.

Die Aufnahme der Apple-Schwachstelle in den KEV-Katalog ergänzt dieses Bild um eine organisatorische Komponente. Der Katalog ist zum De-facto-Standard für Priorisierung geworden, weil er die entscheidende Frage beantwortet, die Schweregrad-Bewertungen offenlassen: Wird diese Lücke tatsächlich ausgenutzt? Unternehmen, die ihren Patch-Prozess an dieser Liste ausrichten, treffen mit begrenzten Ressourcen deutlich bessere Entscheidungen als solche, die rein nach Schweregrad sortieren.

Den ernüchterndsten Befund liefert die Meldung zu den weiterhin offen erreichbaren GitLab-Servern, die für eine aktiv ausgenutzte RCE-Lücke anfällig bleiben. Ein Patch existiert, die Ausnutzung ist dokumentiert – und dennoch bleibt eine erhebliche Zahl von Instanzen ungeschützt im Netz erreichbar. Gerade bei GitLab wiegt das schwer, weil dort Quellcode, Build-Pipelines, Deployment-Schlüssel und CI/CD-Zugangsdaten zusammenlaufen. Eine kompromittierte Entwicklungsplattform ist kein isolierter Vorfall, sondern ein Sprungbrett in die gesamte Lieferkette der betroffenen Organisation und potenziell auch ihrer Kunden. Die Lehre der Woche ist damit weniger technischer als organisatorischer Natur: Sichtbarkeit über die eigene Angriffsfläche und die Fähigkeit, bekannte kritische Lücken zügig zu schließen, entscheiden mehr über das Risiko als jede einzelne neue Schwachstelle.