LONDON (IT BOLTWISE) – Die US-Behörde CISA hat vier Schwachstellen in den „Known Exploited Vulnerabilities“-Katalog aufgenommen, nachdem Hinweise auf aktive Ausnutzung vorlagen. Besonders brisant ist „SSHole“ in OpenBSD OpenSSH, das unter Linux einen Authentifizierungs-Umgehungspfad eröffnet. Für GPUStack meldet CISA außerdem eine Fehlkonfiguration, die bis zu unautorisierte Administratorzugriffe, das Anlegen persistenter API-Keys sowie Geheimnisabflüsse ermöglichen kann. Betroffen sind zudem IBM Aspera Faspex und SignalWire FreeSwitch, jeweils mit potenziellen Auswirkungen auf Rechteausweitung oder Codeausführung.
Die Aufnahme weiterer Schwachstellen in den „Known Exploited Vulnerabilities“(KEV)-Katalog setzt in der Praxis ein klares Signal: Wenn eine Lücke bereits aktiv ausgenutzt wird, verschieben Sicherheitsabteilungen ihre Prioritäten oft von „Patchen nach Plan“ auf „Patchen mit Eile“. Genau das passiert aktuell bei vier Einträgen, die die US-Behörde CISA als betroffene Systeme von GPUStack, SignalWire FreeSwitch, OpenBSD OpenSSH und IBM Aspera Faspex beschreibt. In der KEV-Liste werden konkrete CVEs genannt, jeweils mit CVSS-Werten bis 9,8. Für Betreiber bedeutet das vor allem eins: selbst wenn die anfängliche Sichtbarkeit der Angriffe noch gering wirkt, sind die typischen Pfade von Reconnaissance über Rechteerweiterung bis hin zu dauerhaftem Zugriff bereits im Datenstrom der Angreifer präsent.
Technisch ragt dabei „SSHole“ heraus, weil es sich um CVE-2026-123158 handelt (CVSS 8,1) und CISA das Problem als „unexpected status code or return value“ in OpenBSD OpenSSH auf Linux einordnet. Solche Fehlerbilder sind aus Hardening-Sicht besonders unangenehm, weil sie nicht nur einzelne Eingabevalidierungen betreffen, sondern Logikpfade zwischen Zuständen. Wenn ein Server auf bestimmte Statuswerte unerwartet reagiert, kann das in der Kette der Authentifizierung zu einem Umgehungsszenario führen. CISA ordnet die Lücke deshalb nicht als theoretisches Risiko ein, sondern als Ziel von Ausnutzungsversuchen seit dem 6. November 2026; bis dato sind laut den genannten Daten 22 Exploit-Versuche aus 14 unterschiedlichen IP-Adressen erfasst.
Während „SSHole“ vor allem den Authentifizierungsmechanismus im Blick hat, beschreibt CISA bei GPUStack (CVE-2026-102895, CVSS 9,8) eine deutlich breitere Angriffsfläche. Die Lücke wird als „improper authentication“ klassifiziert, mit der Folge, dass nicht authentifizierte Angreifer potenziell unautorisierte Administratorzugriffe erlangen. Konkret nennt CISA mögliche Effekte wie Änderungen an Benutzern und Modellen, das Anlegen persistenter Administrator-API-Keys, das Offenlegen von Secrets auf Worker- und Cloud-Provider-Ebene sowie Codeausführung über einen POST-Pfad mit YAML-Bestandteilen. Solche Kombinationen sind im KI- und Inferenz-Ökosystem besonders kritisch, weil sie häufig nicht „nur“ Datenexfiltration betreffen, sondern auch die Steuerung der Laufzeitumgebung: Wer Konfiguration und Ausführungspfade manipulieren kann, beeinflusst die gesamte spätere Output-Kette. Die KEV-Einordnung ist hier die Konsequenz, dass die Lücke im Feld nicht nur getestet, sondern in Post-Exploitation-Szenarien weiterverwendet wird.
Für die Einordnung der tatsächlichen Bedrohung zählt weniger die Anzahl der CVE-Einträge, sondern die Art der Folgeschritte. Nach den Angaben aus der Meldung wurden bestätigte Post-Exploitation-Aktivitäten aus sechs Quell-IP-Adressen detektiert; daraus ergeben sich bisher 18 unterschiedliche Angriffsketten. Diese Ketten beinhalten typische Reconnaissance-Schritte, Abfragen an Cloud-Metadata-Services sowie das gezielte Auslesen von Passwort-Hashes und Root-SSH-Keys. Besonders relevant ist außerdem der Versuch, die Datei „authorized_keys“ so zu verändern, dass sich ein persistent nutzbarer Zugang etablieren lässt. In mindestens einem Fall werden dabei unbekannte Akteure mit der Ausrollung eines Python-basierten C2-Agents namens TAC Agent in Verbindung gebracht. Solche C2-Mechanismen sind im Angriffsalltag häufig dafür ausgelegt, Shell-Kommandos auszuführen, Systemdetails zu erheben, Verzeichnisse zu enumerieren, Dateien zu übertragen und sich selbst zu aktualisieren.
Daneben ordnet CISA weitere Schwachstellen als KEV-Einträge ein, bei denen unterschiedliche Klassen von Sicherheitsfehlern im Vordergrund stehen. Bei IBM Aspera Faspex (CVE-2026-123218, CVSS 9,8) handelt es sich laut Beschreibung um eine fehlerhafte Autorisierungslogik: Ein authentifizierter Nutzer könne eine spezielle Nachricht konstruieren, um eine Autorisierung zu umgehen. Das soll in der Folge zu Privilegsteigerungen führen können, wobei die behobene Version im November 2026 bereitgestellt wurde. SignalWire FreeSwitch (CVE-2026-116779, CVSS 9,8) adressiert hingegen eine Code-Injection, die laut CISA sowohl Konfiguration und Credential-Informationen offenlegen als auch beliebige Call-Control-Funktionen und command execution ermöglichen kann; die Fixes seien im Oktober 2026 erfolgt. Für diese beiden Lücken nennt die Meldung derzeit keine öffentlichen Details dazu, wie genau sie im Wilden eingesetzt werden oder in welchem Maß Angreifer bereits skalieren.
Auch der Kontext um die Erkennung und Verbreitung spielt in der KEV-Logik eine Rolle. „SSHole“ taucht in der Darstellung nicht nur als isolierte Fehlermeldung auf, sondern wird mit der ersten Beobachtung in einem Honeypot-Netzwerk und mit nachgelagerten Angriffsmustern verknüpft. Ergänzend heißt es, dass Threat-Intelligence-Beobachtungen die OpenSSH-Lücke für Botnet- und Kryptowährungs-Miner-Aktivitäten weaponized sehen. Ebenso wird für GPUStack auf eine früher veröffentlichte Advisory zum CVE-2026-102895 verwiesen, in der unabhängig gemeldete Meldungen namentlich genannt werden und außerdem „active in-the-wild exploitation“ durch eine weitere Stelle beschrieben wird. Für Unternehmen ist damit die praktische Leitplanke klar: Selbst wenn andere Details zu den Angreifern noch fehlen, sind die beschriebenen Post-Exploitation-Muster ausreichend konkret, um Priorisierung und Notfallpatching zu begründen.
Für Bundesbehörden des US-amerikanischen Federal Civilian Executive Branch empfiehlt CISA, die Fixes bis zum 12. November 2026 anzuwenden. Das ist nicht nur ein administratives Datum, sondern eine Entscheidungsgrundlage für alle, die in ähnlichen Release-Zyklen agieren: Wer OpenSSH, GPUStack-Deployments oder entsprechende Web- und Infrastruktursoftware betreibt, sollte den Patchstatus nicht auf „läuft beim nächsten Wartungsfenster“ schieben. Gerade bei Authentifizierungs-Bypass- und Code-Injection-Lücken sind die Zeitfenster, in denen ein Angreifer von der anfänglichen Erkundung zu persistenten Schritten wechselt, oft kurz. In der Sicherheitsarchitektur heißt das: Patching, aber auch das schnelle Stoppen exponierter Services, das Überprüfen von SSH-Key-Autorisierungen sowie die Kontrolle verdächtiger API-Key-Erstellungen gehören zur unmittelbaren Reaktion. Die KEV-Aufnahme macht dabei deutlich, dass die Schwachstellen nicht mehr „nur“ in Ticketlisten existieren, sondern bereits als funktionierende Angriffsbausteine in der Praxis nachgewiesen werden.
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "CISA nimmt vier Open-Source- und IBM-Schwachstellen in KEV auf – darunter „SSHole“" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "CISA nimmt vier Open-Source- und IBM-Schwachstellen in KEV auf – darunter „SSHole“" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »CISA nimmt vier Open-Source- und IBM-Schwachstellen in KEV auf – darunter „SSHole“« bei Google Deutschland suchen, bei Bing oder Google News!