LONDON (IT BOLTWISE) – In der ersten Hälfte 2026 wurden 35.853 CVEs veröffentlicht, während nur 495 davon als bereits ausgenutzt galten. Gleichzeitig wurden 116 verwundbare Stellen offenbar am Tag des öffentlichen Releases schon angegriffen. Der Beitrag argumentiert, dass Teams ihre Validation von der reinen CVSS-Einstufung lösen müssen, weil die Zahl der Findings und die Zeit bis zur Ausnutzung drastisch steigen. Stattdessen braucht es eine Kombination aus Exploitability-, Control- und agentischem Pentesting, um zu entscheiden, was in der eigenen Umgebung wirklich zählt.
Die größte Herausforderung im Security-Betrieb entsteht derzeit nicht aus einer einzelnen Schwachstelle, sondern aus dem Taktwechsel zwischen Entdeckung, Veröffentlichung und tatsächlicher Ausnutzung. Für die erste Jahreshälfte 2026 nennt der Beitrag 35.853 veröffentlichte CVEs – etwa 49% mehr als im Jahr davor. Im selben Zeitraum wurden nur 495 als “exploited in the wild” katalogisiert, und lediglich 116 waren bereits am Veröffentlichungstag unter Angriff. Genau diese Schere macht das klassische Priorisieren nach CVSS-Werten so unzuverlässig: Wenn die Datenlage schneller wächst als die Validierung nachzieht, können Security-Teams in eine Routine geraten, in der “High” und “Critical” als Daueralarm wirken – obwohl ein Großteil der Meldungen in der eigenen Umgebung gar nicht den gleichen Schaden erzeugt.
Technisch betrachtet liegt der Kernfehler in der Annahme, ein CVE sei für alle Systeme gleich relevant. Ein einzelner CVE kann theoretisch hunderte Assets betreffen – praktisch jedoch ist die Auswirkung stark unterschiedlich: Manche Instanzen sind unerreichbar, andere liegen hinter Kontrollen, die die für den Exploit nötigen Schritte unterbrechen. Wieder andere sind zwar technisch verwundbar, aber in einer Konfiguration eingebunden, die Erkennungssysteme auslöst oder Angriffsversuche abbricht. Umgekehrt gibt es die seltenere, aber entscheidende Gruppe: Systeme, die geschäftskritisch sind, bei denen Prävention versagt und bei denen die Detektion nicht greift. Der Beitrag beschreibt CVSS deshalb als nützliche Baseline für die Vergleichbarkeit – aber nicht als Entscheidungskriterium für die reale Lage im Unternehmen.
Wenn die Frage nicht mehr lautet “Wie schwer klingt die Schwachstelle?”, sondern “Ist sie in unserer Umgebung tatsächlich ausnutzbar und welche Angriffswege eröffnet sie?”, müssen Defender Belege aus dem eigenen Setup liefern. Der Beitrag fordert genau dafür Exploitability-Validation: Evidenz, die klärt, ob eine Schwachstelle tatsächlich exploitable ist, welche Assets betroffen sind und ob diese erreich- und priorisierbar sind. Damit rückt auch ein unbequemes Detail in den Fokus: Für CVE-basierte Ausnutzung braucht es nicht nur eine Bewertung, sondern häufig einen funktionierenden Exploit. Newly disclosed CVEs haben in der frühen Phase oft noch keinen belastbaren Exploit; gleichzeitig ist nicht jedes Ziel sicher oder überhaupt testbar – etwa wegen Geschäftskritikalität, Restriktionen oder Air-Gap-Szenarien. Genau dort kann ein rein automatisiertes Pentest-Konzept nicht komplett ersetzen, was in der Validation letztlich entschieden werden soll.
Automated Pentesting bleibt dennoch ein starker Baustein, weil es reale Exploits ausführen und die Kette aus Schwachstellen, Credentials und Fehlkonfigurationen in konkrete Angriffspfade übersetzen kann. Der Beitrag verweist in diesem Kontext auf eine Omdia-Erhebung: 95% der Organisationen bewerten Pentesting als Top- oder High-Priorität, aber nur 32% der durchschnittlichen Attack Surface würden pro Jahr getestet. Agentic und automatisierte Ansätze können diese Abdeckung erweitern, sie eliminieren aber nicht die Grenzen des Live-Exploitation-Tests. Es entsteht damit eine Lücke, die man in der Praxis nicht “wegautomatisieren” kann: Selbst wenn die Tools im Labor oder in einer Testumgebung viel beweisen, bleiben unternehmensspezifische Constraints bestehen, und die Validierungsfrage muss trotzdem beantwortet werden – auch dann, wenn kein sicher ausführbarer Testlauf möglich ist.
Die eigentliche Systematik setzt der Beitrag als Zusammenspiel dreier Validierungsarten auf: Exploitability-Validation prüft, ob eine Exposition in der eigenen Umgebung wirklich ausnutzbar ist – inklusive CVEs ohne funktionierenden Exploit und Assets, die sich nicht gefahrlos live testen lassen. Security-Control-Validation testet dagegen die Wirksamkeit von Prävention und Detektion: Sie soll zeigen, ob Kontrollen Angriffe blockieren, erkennen oder eben übersehen. Agentic Pentesting liefert schließlich die operative Realitätsebene, indem es Exploits sicher ausführt und Ketten bildet, um zu sehen, wie weit ein Angreifer in genau dieser Umgebung vordringen kann. Entscheidend ist dabei weniger die “Dreiheit” an sich, sondern die Zuordnung: Nicht jeder Finding-Typ verlangt alle drei Fähigkeiten. Stattdessen soll das System je nach Expositionslage die passenden Validierungsarten aufrufen und das entstandene Evidenzpaket in einen gemeinsamen Entscheidungsprozess überführen.
Wenn diese Methoden als ein durchgängiges Programm orchestriert sind, entsteht laut Beitrag ein weiterer Vorteil: Ein Finding kann genau die Validation triggern, die es braucht; neue Ergebnisse können die Remediation-Priorität verschieben; und nach einem Fix kann man gezielt re-validieren, statt eine Änderung nur in einem geschlossenen Ticket zu “erledigen”. Damit bleiben Exploitability, Control Effectiveness und Attack-Path-Evidenz zusammenhängend, statt in getrennten Workflows zu versanden. Als strategische Einordnung nennt der Beitrag auch eine Gartner-Notiz mit dem Fokus auf validierte Attack Paths, entscheidungsgetriebene Reaktion und Exposure-Reduktion, integriert in operative Workflows. Der praktische Anspruch dahinter wird zudem durch das Format “Validation Summit ’26” unterstrichen: Dort soll anhand eines live dargestellten Workflows gezeigt werden, wie eine neu entdeckte Schwachstelle von der Phase ohne Patch und ohne funktionierenden Exploit über Zwischenschritte bis hin zur erneuten Validierung nach dem Fix verfolgt wird.
Für Security-Leiter und Teams im operativen Alltag heißt das: Die KI-gestützte Angriffswelt ändert nicht nur die Geschwindigkeit, sondern auch die Erwartungen an die Begründbarkeit von Entscheidungen. Wer weiterhin allein auf CVSS als Notenblatt setzt, riskiert sowohl Überreaktionen – weil zu viele Meldungen als “Emergency” behandelt werden – als auch Unterreaktionen, weil einzelne Hochrisiko-Assets im eigenen Setup nicht ausreichend sichtbar sind. Der Beitrag positioniert daher Mythos-Readiness nicht als Produktversprechen, sondern als Fähigkeit, Expositionen in der Realität zu validieren: zuerst anhand von Exploitability und Controls, anschließend durch agentische Tests, die Angriffspfade messbar machen. Genau hier liegt der Mehrwert für Unternehmen, die ihre Patch-Pipelines, ihr Vulnerability-Programm und ihre Kontrollarchitektur nicht nur skalieren, sondern auch beweisgeführt ausrichten wollen.
Als nächste praktische Frage stellt sich damit weniger “Welches Tool ist das beste?”, sondern “Wie wird Evidenz aus verschiedenen Testarten in derselben Entscheidungsebene zusammengeführt?” Wenn Defenders den Validierungsprozess als kontinuierliche Schleife denken, statt als einmalige Einstufung, sinkt der Blindflug: Entdeckungen werden nicht nur priorisiert, sondern in ihrem konkreten Risiko für die erreichbaren Systeme belegt. Und genau diese Umstellung – von Score-Logik auf Validierungslogik – ist im Umfeld steigender CVE-Volumina und kleiner werdender Latenzen bis zur Ausnutzung die zentrale Botschaft des Beitrags.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "KI-Ära im Security-Validation: CVSS reicht nicht mehr" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "KI-Ära im Security-Validation: CVSS reicht nicht mehr" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »KI-Ära im Security-Validation: CVSS reicht nicht mehr« bei Google Deutschland suchen, bei Bing oder Google News!