CISA warnt vor aktiv ausgenutzten Schwachstellen in Citrix, Microsoft und Linux

Die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) hat am 26. August 2026 sechs Schwachstellen in den Katalog Known Exploited Vulnerabilities (KEV) aufgenommen. Im Mittelpunkt des Updates steht CVE-2026-8452 – eine Schwachstelle in Citrix NetScaler ADC und NetScaler Gateway, die mit einer fehlerhaften Begrenzung von Operationen innerhalb eines Speicherpuffers zusammenhängt. Die übrigen fünf CVEs betreffen Microsoft SQL Server, den Linux Kernel, Red-Hat-Komponenten und die Bibliothek Ajax.NET Professional. Organisationen, die die genannten Produkte einsetzen, sollten unverzüglich prüfen, ob sie betroffen sind, und die Installation von Patches priorisieren – für zwei Schwachstellen ist die Frist zur Behebung für US-Bundesbehörden bereits abgelaufen.

Liste der Schwachstellen und technische Merkmale

Die sechs neu aufgenommenen Schwachstellen decken ein breites Spektrum an Produkten und Fehlertypen ab – von Remote Code Execution bis hin zu Privilege Escalation:

• CVE-2026-8452 – fehlerhafte Begrenzung von Operationen innerhalb eines Speicherpuffers in Citrix NetScaler ADC und NetScaler Gateway. Laut Beschreibung kann die Schwachstelle zu einem Denial-of-Service führen. Die Quelle stuft sie als schwerwiegend ein, allerdings liegt zum Zeitpunkt der Veröffentlichung noch keine bestätigte CVSS-Bewertung vor.
• CVE-2019-1068 – Remote Code Execution in Microsoft SQL Server, die einem Angreifer ermöglicht, beliebigen Code im Kontext des Dienstkontos der SQL Server Database Engine auszuführen.
• CVE-2022-0995 – Schreibzugriff außerhalb des zugewiesenen Puffers im Linux Kernel, der einem lokalen Benutzer ermöglichen kann, Privilege Escalation durchzuführen oder einen Denial-of-Service herbeizuführen.
• CVE-2015-5287 – Privilege Escalation im Red Hat Automatic Bug Reporting Tool (ABRT) durch einen Angriff mit symbolischen Links auf eine Datei mit vorhersagbarem Namen.
• CVE-2015-3246 – Race Condition in Red Hat libuser, die es einem authentifizierten lokalen Benutzer ermöglicht, die Datei /etc/passwd zu beschädigen, was zu einem Denial-of-Service oder zu Privilege Escalation führen kann.
• CVE-2021-23758 – Deserialisierung nicht vertrauenswürdiger Daten in Ajax.NET Professional (AjaxPro), die Remote Code Execution über beliebige .NET-Klassen ermöglicht.

Bemerkenswert ist, dass die Liste Schwachstellen umfasst, die von wenigen Monaten bis zu mehr als zehn Jahren zurückreichen (CVE-2015-3246 und CVE-2015-5287 stammen aus dem Jahr 2015). Das unterstreicht einen anhaltenden Trend: Angreifer nutzen weiterhin erfolgreich seit Langem bekannte Schwachstellen aus, die in Produktionsumgebungen ungepatcht geblieben sind.

Bewertung der Auswirkungen und betroffene Organisationen

Ein unmittelbares hohes Risiko besteht vor allem für Organisationen, die Citrix NetScaler ADC und NetScaler Gateway einsetzen – Produkte, die in Unternehmensnetzwerken weit verbreitet sind, etwa für Load Balancing, Application Delivery und die Bereitstellung von Remote-Zugriff. Die Schwachstelle CVE-2026-8452 in diesen Produkten wird offiziell als Denial-of-Service-Problem beschrieben, doch die Aufnahme in den KEV-Katalog zeigt, dass CISA über Hinweise auf tatsächliche Ausnutzung verfügt.

Die Schwachstellen im Linux Kernel (CVE-2022-0995) und in Red-Hat-Komponenten (CVE-2015-5287, CVE-2015-3246) stellen eine Bedrohung für serverseitige Linux-Infrastrukturen dar, insbesondere in Bildungseinrichtungen, Medienunternehmen und der Technologiebranche. CVE-2021-23758 in AjaxPro betrifft Webanwendungen auf der .NET-Plattform, während CVE-2019-1068 Instanzen von Microsoft SQL Server betrifft. Öffentliche Informationen zu konkreten Methoden der Ausnutzung von CVE-2019-1068 in realen Angriffen liegen den Angaben zufolge derzeit nicht vor.

Kontext: CISA-Bericht zu den Ursachen von Schwachstellen

Die Aktualisierung des KEV-Katalogs fiel mit der Veröffentlichung des CISA-Vulnerability-Reviews zusammen, in dem die Behörde die Wurzelursachen unsicherer Software analysierte. Den Daten dieses Reviews zufolge waren Schwachstellen der Klasse „Injektion“ die zahlenmäßig größte Kategorie: Berichtet werden 7.701 CVEs im Jahr 2024 und 21.019 CVEs im Jahr 2025. CISA weist zudem darauf hin, dass Schwachstellen im Zusammenhang mit Memory Safety und unzureichender Eingabevalidierung in den Haushaltsjahren 2024 und 2025 überproportional häufig im KEV-Katalog vertreten sind, verglichen mit der Gesamtheit aller CVEs.

Die Behörde hob außerdem hervor, dass Angreifer Künstliche Intelligenz (KI) einsetzen, um die Ausnutzung von Schwachstellen zu automatisieren – eine Entwicklung, die die Zeitspanne zwischen der Veröffentlichung einer CVE und breit angelegten Angriffen verkürzt.

Fristen für die Behebung und praktische Empfehlungen

Gemäß der CISA-Direktive waren die zivilen Bundesbehörden (FCEB) verpflichtet, CVE-2019-1068 und CVE-2026-8452 bis zum 29. August 2026 zu beheben – diese Frist ist bereits abgelaufen. Für die übrigen vier Schwachstellen (CVE-2022-0995, CVE-2015-5287, CVE-2015-3246, CVE-2021-23758) ist die Frist auf den 9. September 2026 festgelegt.

Empfohlene Maßnahmen für Organisationen aller Art:

1. Inventarisierung der betroffenen Produkte. Prüfen Sie, ob in Ihrer Infrastruktur Citrix NetScaler ADC/Gateway, Microsoft SQL Server, Systeme auf Basis des Linux Kernel, Red Hat ABRT, libuser sowie Anwendungen, die AjaxPro verwenden, vorhanden sind.
2. Priorisierung des Patchings. CVE-2026-8452 und CVE-2019-1068 erfordern sofortige Aufmerksamkeit. Für NetScaler sollten Sie die Empfehlungen von Citrix zur Aktualisierung auf korrigierte Versionen befolgen.
3. Audit von Linux-Servern. Stellen Sie für CVE-2022-0995 sicher, dass der Kernel auf eine Version aktualisiert wurde, die den Fix enthält. Für CVE-2015-5287 und CVE-2015-3246 sollten Sie die Versionen der Pakete ABRT und libuser überprüfen – trotz des Alters der Schwachstellen können veraltete RHEL-/CentOS-Systeme weiterhin verwundbar sein.
4. Prüfung von .NET-Webanwendungen. Wenn in Projekten AjaxPro verwendet wird, aktualisieren Sie die Bibliothek oder isolieren Sie verwundbare Komponenten.
5. Monitoring. Richten Sie Erkennungsmechanismen für Exploit-Versuche an der Perimeter-Sicherheit ein und achten Sie dabei besonders auf ungewöhnliche Anfragen an NetScaler und atypische Aktivitäten auf Webservern.

Die Aufnahme von sechs Schwachstellen – von der aktuellen CVE-2026-8452 bis hin zu Fehlern aus dem Jahr 2015 – in den KEV-Katalog macht deutlich, dass das Alter einer Schwachstelle ihre Gefährlichkeit nicht mindert, solange ungeschützte Systeme vorhanden sind. Organisationen sollten vorrangig CVE-2026-8452 in Citrix NetScaler und CVE-2019-1068 in SQL Server schließen, für die die von CISA gesetzte Frist bereits überschritten ist, und anschließend bis zum 9. September die verbleibenden vier Schwachstellen im Linux Kernel, in Red-Hat-Komponenten und in AjaxPro beheben.