WASHINGTON / LONDON (IT BOLTWISE) – CISA ergänzt vier Schwachstellen mit Nachweis aktiver Ausnutzung in den KEV-Katalog. Unter den Einträgen sind hochkritische Probleme in Adobe ColdFusion sowie Joomla Page Builder, die direkt in RCE- und Webshell-Szenarien münden können. Besonders bei Langflow dreht sich die Lage um einen IDOR-Vektor, der Zugriff über Mandantengrenzen hinweg auf Flows und Schlüssel ermöglicht. Für Behörden im US-Bundesvollzug gelten konkrete Patch-Fristen bis zum 10. Juli 2026.
Die US-Cybersecurity-Behörde CISA hat ihren Katalog „Known Exploited Vulnerabilities“ (KEV) um vier Schwachstellen erweitert, für die der Agentur „Evidence of Active Exploitation“ vorliegt. Im Kern geht es damit nicht um theoretische Risiken, sondern um Angriffe, die bereits im Feld beobachtet werden. Besonders alarmierend sind mehrere CVEs mit CVSS 10, 0: darunter ein Path-Traversal in Adobe ColdFusion und mehrere Upload- bzw. Zugriffskontroll-Lücken in Joomla-Ökosystemen. Ergänzend steht mit Langflow ein KI-Orchestrierungs-Stack im Fokus, bei dem Angreifer Mandantendaten und Zugangsschlüssel manipulieren können.
Technisch lassen sich die vier KEV-Einträge als Kombination aus Dateisystem- und Autorisierungsproblemen beschreiben, die in der Praxis selten isoliert bleiben. CVE-2026-48282 (ColdFusion, CVSS 10, 0) wird als Path-Traversal klassifiziert, der im Kontext des aktuellen Benutzers zu „arbitrary code execution“ führen kann. Bei CVE-2026-56290 (Joomlack Page Builder, CVSS 10, 0) handelt es sich um eine fehlerhafte Zugriffskontrolle, die über eine nicht authentifizierte Arbitrary-File-Upload-Kette zur RCE führen kann. CVE-2026-55255 (Langflow, CVSS 6, 1) zielt als Autorisierungsbypass auf Flow-IDOR: Ein eingeloggter Angreifer kann fremde Flows ausführen.
Der vierte KEV-Eintrag, CVE-2026-48908 (JoomShaper SP Page Builder, CVSS 10, 0), adressiert das Upload-Problem besonders direkt: unauthentifizierte Nutzer sollen Dateien beliebigen gefährlichen Typs hochladen können, mit der Folge, dass PHP-Code hochgeladen und ausgeführt wird. Die CISA-Einschätzung passt damit zu einem langfristigen Trend: Web-Frontends und Plugin-Ökosysteme sind für Angriffe attraktiv, weil viele Instanzen über Jahre mit ähnlichen Komponenten und schwachen Default-Einstellungen betrieben werden. Damit verschiebt sich der Sicherheitsfokus für Unternehmen von „Perimeter-Schutz“ hin zu „Content- und Applikationshärtung“ inklusive Dateisystem-Sichtbarkeit.
Wie schnell Angriffe nach der öffentlichen Bekanntmachung anziehen können, zeigt ein beobachteter Fall zu CVE-2026-48282: Die Ausnutzung wurde innerhalb weniger Stunden nach Veröffentlichung registriert. In der Berichterstattung ist von einem Quell-IP-Setup die Rede, das geolokal zu Indien verortet wurde. Für CVE-2026-48908 beschreibt eine Analyse außerdem, dass ein Zero-Day-ähnliches Muster zum Upload eines PHP-Files über einen HTTP-POST-Call an einen spezifischen Endpoint genutzt wurde, gefolgt von der Sichtbarkeit eines neuen „Super User“-Kontos. Für Administratoren heißt das: Patchen ist entscheidend, aber auch IOC-Suche und Zugriffskontroll-Review sollten parallel laufen.
Markt- und Wettbewerbsumfeld: Die Kombination aus CISA-KEV, spezialisierten Security-Research-Teams und Cloud-Defendern macht es Angreifern schwerer, Lücken lange unentdeckt zu halten. Tools wie Tenable oder Rapid7 setzen typischerweise auf Scans und Asset-Mapping; die KEV-Liste liefert hier eine Priorisierung, welche Schwachstellen als erstes in den Fix-Backlog müssen. Zugleich liefern Plattformen wie Sysdig (im Bericht als Beobachter genannt) Telemetrie über Ausnutzungsmuster, etwa über rekonstruierte „Reconnaissance → Enumeration → IDOR/RCE → Payload“-Ketten. Branchenanalysten erwarten, dass sich dadurch das Tempo der Incident-Reaktionszyklen weiter beschleunigt, weil „Exploited in the wild“ in der Regel automatisierte Workflows triggert.
Bei Joomla und WordPress sind laut Berichtsstand bereits Anmelde- bzw. Webshell-Aktivitäten rund um CVE-2026-56290 dokumentiert, inklusive Bemühungen, über eine anfällige Komponente eine Webshell bereitzustellen. Die Lücke wurde in einer konkreten Komponenteversion adressiert (genannt: PageBuilder CK 3.6.0). Interessant ist dabei, wie zielgenau Angreifer Pfade und Dateistrukturen auswählen: In einer Beobachtung wird eine Webshell unter einem Pfad wie „/media/com_pagebuilderck/gfonts/bhup.php“ verortet, wobei die Upload-Logik das Zielverzeichnis frei wählt. Für Betreiber bedeutet das praktisch: Man sollte nicht nur „Upload-Ordner“ durchsuchen, sondern auch „sprengende“ Pfade unter Medien- und Template-Strukturen.
Besonders komplex wird es bei Langflow: Sysdig beschreibt CVE-2026-55255 als Cross-tenant insecure direct object reference (IDOR). Das erlaubt einem Angreifer, fremde Flows inklusive zugehöriger Schlüssel zu adressieren, um danach über einen RCE-Teil einer Kette weitere Schritte auszulösen. In der Darstellung wird zudem ein Operator genannt, der innerhalb eines kurzen Zeitfensters eine Session mit Auth-Recon, Flow-Enumeration, IDOR-Trigger und anschließend einer wiederholten Ausnutzung von CVE-2026-33017 zur Host-Kompromittierung durchlief. Das Muster wirkt opportunistisch und finanziell motiviert. Gleichzeitig bleibt die Art der finalen Payload unklar, was die Bedeutung von Triage- und Telemetrie-Signalen erhöht.
Der regulatorische Teil ist für FCEB-Behörden besonders greifbar: CISA empfiehlt, die Fixes bis zum 10. Juli 2026 einzuspielen. Für Unternehmen außerhalb der Bundesverwaltung ist die Botschaft ähnlich, nur der Rechtsdruck ist meist indirekter (z. B. Über interne Compliance-Policies, Branchennormen und Lieferkettenvorgaben). Historisch zeigen solche KEV-Updates, dass Angreifer häufig aus „Proof-of-Concept“ sehr schnell „Operational Playbooks“ machen. Neu ist vor allem die Konsequenz, dass KI-Orchestrierungs-Stacks wie Langflow nicht nur als „Datenverarbeitungssoftware“, sondern als Credential-Hub betrachtet werden müssen. Für die Zukunft ist daher zu erwarten, dass Security-Teams KI-Plattformen stärker wie Identity- und Secrets-Systeme behandeln – inklusive Mandantentrennung, Least Privilege und Monitoring auf Flow-Zugriffe.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "CISA nimmt vier aktiv ausgenutzte Schwachstellen in die KEV-Liste auf" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "CISA nimmt vier aktiv ausgenutzte Schwachstellen in die KEV-Liste auf" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »CISA nimmt vier aktiv ausgenutzte Schwachstellen in die KEV-Liste auf« bei Google Deutschland suchen, bei Bing oder Google News!