Am 9. November 2026 hat CISA vier Schwachstellen in den Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen, die OpenSSH, GPUStack, SignalWire FreeSWITCH und IBM Aspera Faspex betreffen. Drei der vier Schwachstellen (CVSS 8.1–9.8) weisen bestätigte Ausnutzungen auf: Bei OpenSSH wurden Angriffe mit der Bereitstellung von C2-Agenten beobachtet, bei GPUStack die Einrichtung von Reverse Shells über administrativen Zugriff, bei FreeSWITCH die Ausführung von Befehlen über SIP-Nachrichten. Für US-Bundesbehörden wurde eine Frist zur Behebung bis zum 12. November 2026 festgesetzt. Organisationen, die diese Produkte einsetzen, müssen umgehend die eingesetzten Versionen prüfen und Updates einspielen.
Schwachstellen: technischer Überblick
CVE-2026-123158 — OpenSSH (SSHole)
Die Schwachstelle CVE-2026-123158, die den Namen SSHole erhalten hat, betrifft OpenSSH bis Version 10.6p2 auf Linux-Systemen, die die Bibliothek musl libc ohne PAM verwenden (ein typisches Beispiel ist Alpine Linux). Die Schwachstelle ist als CWE-394 (fehlerhafte Verarbeitung eines Rückgabewerts) klassifiziert und hat einen CVSS-Score von 8.1. Bei bestimmten Konfigurationen von Benutzerkonten erlaubt jedes Passwort mit einer Länge von 256 bis 1024 Zeichen die Umgehung der Authentifizierung.
Wir haben diese Schwachstelle bereits ausführlich analysiert. Seit der Veröffentlichung hat sich die Lage deutlich zugespitzt: Nach Angaben von GreyNoise wurde die erste erfolgreiche Ausnutzung am 7. November 2026 um 00:46 UTC festgestellt. Mit Stand 11. November hat GreyNoise 5 mögliche Exploit-Versuche und 31 bestätigte Post-Exploitation-Sitzungen auf seinen Sensoren registriert.
CVE-2026-102895 — GPUStack
Die Schwachstelle CVE-2026-102895 (CVSS 9.8) in GPUStack bis Version 2.2.0 ermöglicht nicht authentifizierten administrativen Zugriff. Laut Sicherheitshinweis der Entwickler erhält ein Angreifer vollen administrativen Zugriff, wenn ein Reverse-Proxy auf demselben Host oder ein gefälschter X-GPUStack-Real-IP-Header die Anfrage so erscheinen lässt, als käme sie von 127.0.0.1: Er kann Benutzer, Modelle, Worker und Konfigurationen ändern, permanente Administrator-API-Keys erstellen, Secrets offenlegen und Code auf Worker-Knoten ausführen.
Nach der Eintragung in die GitHub Advisory Database wurde die Schwachstelle gegen ein Deployment der Version 2.1.1 ausgenutzt, bei dem Angreifer benutzerdefinierte Backends mit Reverse Shells anlegten. Der Fix in Version 2.2.0 entfernt den Mechanismus der automatischen Gewährung administrativen Zugriffs für lokale Anfragen und verschärft die Behandlung von Weiterleitungs-Headern.
CVE-2026-116779 — FreeSWITCH
Die Schwachstelle CVE-2026-116779 (CVSS 9.8) in SignalWire FreeSWITCH Version 1.11.2 und früher ist eine Code Injection über eine eingehende SIP-Nachricht (SIP MESSAGE). Ein Angreifer kann das Chat-Protokoll der FreeSWITCH API auswählen und Befehle mit den Privilegien des FreeSWITCH-Prozesses ausführen, einschließlich Offenlegung von Konfiguration und Anmeldedaten, Steuerung von Gesprächen und Ausführung beliebiger Betriebssystembefehle. Laut Empfehlung der Entwickler wurde die Schwachstelle unter Realbedingungen ausgenutzt, Details zur Kampagne – Umfang, Opfer und Attribution – wurden jedoch nicht offengelegt.
CVE-2026-123218 — IBM Aspera Faspex
Die Schwachstelle CVE-2026-123218 (CVSS 9.8, CWE-863) in IBM Aspera Faspex Versionen 5.0.0–5.0.19 ermöglicht es einem authentifizierten Benutzer, eine speziell gestaltete Nachricht zu erzeugen, um die Autorisierung zu umgehen und eine Rechteausweitung zu erreichen. IBM empfiehlt ein Update auf Version 5.0.19 PL1. Anders als bei den drei anderen Schwachstellen fehlen für CVE-2026-123218 in den verfügbaren Materialien unabhängige Bestätigungen konkreter Ausnutzungsfälle.
Post-Exploitation-Aktivität bei SSHole
Laut GreyNoise umfasst die beobachtete Post-Exploitation-Aktivität nach Ausnutzung von CVE-2026-123158:
- Prüfung, ob das System in einem Container läuft
- Anfragen an die Metadaten-Services von Cloud-Providern (AWS, Azure, Alibaba Cloud)
- Versuche, die SSH-Schlüssel von root und Passwort-Hashes aus
/etc/shadowzu lesen - Änderung der Datei
authorized_keys, um den Zugriff zu persistieren
In einem der Aktivitätscluster wurde die Bereitstellung von TAC Agent beobachtet – eines C2-Agenten in Python, der Befehle ausführen, Systemaufklärung betreiben, Dateien übertragen und sich selbst aktualisieren kann. Der Agent ist mit der Domain tac.vpnla.org verknüpft. GreyNoise betont, dass nicht jede SSHole-Aktivität mit diesem Cluster in Zusammenhang steht.
Priorisierung und Unterschiede bei den Ausnutzungsvoraussetzungen
Die vier Schwachstellen unterscheiden sich deutlich in den Voraussetzungen für einen Exploit. IBM Aspera Faspex setzt einen authentifizierten Benutzer voraus. FreeSWITCH ist angreifbar, wenn eingehender SIP-Verkehr erreichbar ist. GPUStack wird über einen Reverse-Proxy auf demselben Host oder über Header-Spoofing ausgenutzt. SSHole ist auf Konfigurationen mit musl libc ohne PAM beschränkt.
Aus Prioritätssicht erfordern sofortige Aufmerksamkeit OpenSSH, GPUStack und FreeSWITCH – für sie liegen unabhängige oder herstellerseitige Bestätigungen von Ausnutzungen unter Realbedingungen vor. Für IBM Aspera Faspex bestätigen die verfügbaren Unterlagen die kritische Schwere, enthalten jedoch keine vergleichbaren Hinweise auf aktive Angriffe.
Empfehlungen
- OpenSSH: Update auf Version 10.6p2. Prüfen, ob musl libc ohne PAM verwendet wird (Alpine Linux und ähnliche Distributionen). Suche nach Anzeichen einer Kompromittierung: Anfragen an Cloud-Metadaten, Lesen von
/etc/shadow, Änderung vonauthorized_keys, Verbindungen zutac.vpnla.org - GPUStack: Update auf Version 2.2.0 oder neuer. Auf unbekannte Administrator-API-Keys und benutzerdefinierte Backends prüfen
- FreeSWITCH: Update auf Version 1.11.3 oder neuer. Eingehenden SIP-Verkehr auf vertrauenswürdige Quellen beschränken
- IBM Aspera Faspex: Update auf Version 5.0.19 PL1
Indikatoren einer Kompromittierung (aus den Daten von GreyNoise)
Mit der Ausnutzung von SSHole verknüpfte IP-Adressen:
183.220.91.15,196.128.138.201,20.255.63.133,20.2.81.241152.175.65.88,202.155.94.33,47.80.65.43,209.248.50.17157.15.77.139,103.140.130.248,79.116.138.30
C2-Domain: tac.vpnla.org
Angesichts der äußerst knappen Frist zur Behebung (12. November 2026 für Bundesbehörden) sollten Organisationen zunächst prüfen, ob OpenSSH auf musl-Systemen vorhanden ist und ob GPUStack und FreeSWITCH aus externen Netzen erreichbar sind – genau diese drei Vektoren weisen bestätigte Ausnutzungen und das derzeit höchste Kompromittierungsrisiko auf.
