CISA warnt vor aktiver Ausnutzung von macOS-, vCenter- und VPN-Lücken

Die CISA hat am 18. August 2026 vier kritische Schwachstellen in den Known Exploited Vulnerabilities (KEV)-Katalog aufgenommen und damit ihre aktive Ausnutzung bestätigt. Betroffen sind Apple macOS, Microsoft SharePoint, Broadcom VMware vCenter und Microsoft Internet Key Exchange (IKE) Service Extensions – Produkte, die in Unternehmens- und Regierungsinfrastrukturen weit verbreitet sind. Alle vier Schwachstellen weisen einen kritischen Schweregrad auf, Patches wurden von den Herstellern bereits veröffentlicht. Zivile Bundesbehörden der USA sind verpflichtet, die Schwachstellen bis zum 21. August 2026 entsprechend der Vorgabe BOD 26-04 zu beheben.

Technische Details der Schwachstellen

Jede der vier Schwachstellen stellt einen eigenen Angriffsvektor dar, doch alle haben eine zentrale Gemeinsamkeit – sie lassen sich aus der Ferne über das Netzwerk ausnutzen, ohne dass eine vorherige Authentifizierung erforderlich ist oder indem sie diese umgehen.

• CVE-2026-65400 (Apple macOS) – Schwachstelle durch fehlerhafte Authentifizierung im Screen-Sharing-Mechanismus. Sie ermöglicht es einem Angreifer im Netzwerk, sich ohne gültige Zugangsdaten zu authentifizieren. Dadurch wird ein direkter Zugriff auf den Desktop des Zielsystems möglich, was die Schwachstelle besonders gefährlich für Organisationen macht, die die Screen-Sharing-Funktion in macOS einsetzen.
• CVE-2026-55040 (Microsoft SharePoint) – Schwachstelle aufgrund schwacher Authentifizierung, die einem nicht autorisierten Angreifer erlaubt, den Sicherheitsmechanismus über das Netzwerk zu umgehen. Angesichts der Rolle von SharePoint als Ablage für Unternehmensdokumente und Plattform für Zusammenarbeit kann eine Kompromittierung zu einem Abfluss vertraulicher Daten führen.
• CVE-2026-59310 (Broadcom VMware vCenter) – Schwachstelle vom Typ path traversal, durch die ein Angreifer mit Netzwerkzugriff auf vCenter beliebigen Code ausführen kann. vCenter ist die zentrale Verwaltungskomponente für virtualisierte Infrastrukturen, und eine Kompromittierung kann potenziell die Kontrolle über alle verwalteten virtuellen Maschinen ermöglichen.
• CVE-2026-33824 (Microsoft IKE Service Extensions) – Schwachstelle vom Typ double free, die es einem nicht autorisierten Angreifer ermöglicht, über das Netzwerk Code auszuführen. IKE wird zur Einrichtung von VPN-Verbindungen über das IPsec-Protokoll verwendet, was diese Schwachstelle zu einem kritischen Risiko für die Perimetersicherheit macht.

Alle vier Schwachstellen wurden den Angaben zufolge bereits von den jeweiligen Herstellern behoben, doch ihre Aufnahme in den KEV-Katalog bestätigt, dass ungepatchte Systeme weiterhin angegriffen werden.

Bedrohungskontext und beobachtete Kampagnen

Nach vorliegenden Informationen wird jede der Schwachstellen im Rahmen unterschiedlicher Kampagnen mit jeweils eigenen Zielen ausgenutzt.

Die Schwachstelle in Microsoft SharePoint (CVE-2026-55040) wird demnach von unbekannten Angreifern seit der Veröffentlichung eines Proof-of-Concept-(PoC)-Codes ausgenutzt. Dies ist ein typisches Muster, bei dem das Auftauchen eines öffentlichen Exploits die Einstiegshürde für Angreifer deutlich senkt.

Am umfangreichsten scheint die Kampagne im Zusammenhang mit VMware vCenter (CVE-2026-59310) zu sein. Nach vorliegenden Angaben nutzte eine mutmaßlich mit China verbundene Gruppe einer Advanced Persistent Threat (APT) diese Schwachstelle, um Backdoors und reverse_ssh-Tools zu installieren, die einen dauerhaften Zugriff auf kompromittierte Systeme sicherstellen. Berichten zufolge endete der Angriff in einzelnen Fällen mit der Verteilung einer Ransomware, die auf Code von Babuk basiert. Nach aktuellen Informationen betraf die Kampagne 361 eindeutige IP-Adressen von Opfern in 47 Ländern, mit den höchsten Fallzahlen in Deutschland (55), den USA (41), der Türkei (38), dem Iran (26) und Frankreich (25). Es ist zu beachten, dass die Attribution zu konkreten Gruppen und die Details der Kampagne in den verfügbaren Primärquellen nicht bestätigt sind und daher vorsichtig interpretiert werden sollten.

Die Schwachstelle in Microsoft IKE (CVE-2026-33824) wird nach Informationen, die Palo Alto Networks Unit 42 zugeschrieben werden, vermutlich von einem anderen chinesischsprachigen Angreifer ausgenutzt. Der konkrete Bericht von Unit 42 wurde jedoch nicht zur unabhängigen Verifizierung bereitgestellt.

Bewertung der Auswirkungen

In ihrer Gesamtheit stellen diese vier Schwachstellen eine Bedrohung für ein breites Spektrum von Organisationen dar. Die betroffenen Produkte decken zentrale Elemente der Unternehmensinfrastruktur ab:

• Virtualisierung (VMware vCenter) – eine Kompromittierung auf Hypervisor-Ebene kann zu einem Kaskadeneffekt und zur Beeinträchtigung aller virtuellen Maschinen der Umgebung führen;
• Zusammenarbeit und Dokumentenmanagement (SharePoint) – Risiko der Offenlegung von Unternehmensdaten und Nutzung der Plattform als Ausgangspunkt für laterale Bewegungen;
• Arbeitsstationen (macOS) – direkter Zugriff auf den Bildschirm ohne Authentifizierung ermöglicht das Abfangen von Daten und Benutzeraktionen;
• Netzwerkperimeter (IKE) – eine Schwachstelle in der VPN-Komponente gefährdet geschützte Kommunikationskanäle.

Besonders besorgniserregend ist die Kombination der Ausnutzung von vCenter mit dem Einsatz von Ransomware: Eine Kompromittierung des Virtualisierungs-Managementzentrums ermöglicht es, ganze virtuelle Umgebungen auf einmal zu verschlüsseln und den Schaden so um ein Vielfaches zu erhöhen.

Praktische Empfehlungen

1. Patches umgehend einspielen für alle vier betroffenen Produkte. Alle Hersteller haben den Angaben zufolge bereits Updates veröffentlicht. Priorität haben VMware vCenter und Microsoft IKE aufgrund der Möglichkeit zur Remote Code Execution.
2. Vorhandensein verwundbarer Versionen prüfen in der eigenen Infrastruktur. Besonderes Augenmerk sollte auf vCenter-Systeme mit Netzwerkzugang und SharePoint-Server mit externem Zugriff gelegt werden.
3. Retrospektive Analysen durchführen (threat hunting) auf Anzeichen einer Kompromittierung: Vorhandensein von reverse_ssh-Tools, untypische SSH-Verbindungen von vCenter-Servern, anomale Authentifizierungsvorgänge im macOS Screen Sharing.
4. Netzwerkzugriff einschränken auf Managementschnittstellen von vCenter und IKE-Services, falls ein sofortiges Patchen nicht möglich ist. Setzen Sie Netzsegmentierung und Access-Control-Listen ein.
5. Screen Sharing deaktivieren auf macOS-Systemen, auf denen diese Funktion nicht für die Arbeit benötigt wird, bis das Update eingespielt wurde.
6. Veröffentlichungen von PoC-Codes beobachten für CVE-2026-65400, CVE-2026-59310 und CVE-2026-33824 – das Erscheinen öffentlicher Exploits wird unweigerlich den Kreis der Angreifer erweitern.

US-Bundesbehörden des zivilen Bereichs (FCEB) sind verpflichtet, alle vier Schwachstellen bis zum 21. August 2026 gemäß den Anforderungen der Direktive BOD 26-04 zu beheben. Kommerziellen Organisationen wird empfohlen, vergleichbare Fristen einzuhalten – das dreitägige Zeitfenster zwischen der Aufnahme in den KEV-Katalog und dem Stichtag spiegelt die Kritikalität der Lage wider. Patch-Priorisierung: CVE-2026-59310 (vCenter, bestätigte Kampagnen mit Ransomware), danach CVE-2026-33824 (IKE, Perimeter-Vektor), CVE-2026-55040 (SharePoint, verfügbarer öffentlicher PoC), CVE-2026-65400 (macOS).