Schwachstellen mit hohem Schweregrad wurden im dritten Quartal 2026 im Schnitt drei Tage nach ihrer Offenlegung aktiv ausgenutzt, wie Rapid7-Befunde, über die SecurityWeek berichtete, zeigen. 71 Prozent wurden innerhalb der ersten sieben Tage ausgenutzt.
Rapid7 stufte 79 Prozent der ausgenutzten Schwachstellen als „Holy Grail“-Schwachstellen ein: Schwächen, die aus der Ferne ohne Zugangsdaten oder lokale Interaktion eines Nutzers angreifbar sind. Diese Kombination lässt Verteidigern wenig Zeit, um Exposition zu bewerten, Updates zu testen und Schutzmaßnahmen einzuspielen, bevor Angreifer gegen verwundbare Systeme vorgehen.
Die Zahlen legen eine praktische Priorität für Sicherheitsteams nahe: Prozesse zur Behebung sollten zwischen aus der Ferne ausnutzbaren, nicht authentifizierten Schwachstellen und solchen unterscheiden, die einen bestehenden Fuß in der Tür oder eine Aktion des Nutzers voraussetzen. Systeme, die ungeschützten Netzwerken ausgesetzt sind, verdienen die schnellste Prüfung, wenn eine neu offengelegte Schwachstelle diese Bedingungen erfüllt.
Ransomware-Meldungen konzentrieren sich auf Dienstleister, Industrie und Gesundheitswesen
Rapid7 bezeichnete Ransomware im Quartal als eine der führenden globalen Bedrohungen. Dienstleistungen für Unternehmen, Industrie und Gesundheitswesen waren laut den eigenen Daten die am häufigsten angegriffenen Branchen.
Auf die USA entfielen 60 Prozent der Angriffe, gefolgt von Deutschland mit 7 Prozent, Italien mit 5 Prozent und Kanada mit ebenfalls 5 Prozent. Die Zahl der Ransomware-Opfer im Regierungssektor stieg gegenüber den vorangegangenen drei Monaten um 15 Prozent, während der US-Anteil an den Opfern in diesem Sektor von 33 Prozent im zweiten Quartal 2026 auf 45 Prozent im dritten Quartal 2026 stieg.
Nach Anzahl der beanspruchten Vorfälle waren die aktivsten Ransomware-Gruppen:
| Gruppe | Beanspruchte Vorfälle |
|---|---|
| The Gentlemen | 342 |
| Qilin | 339 |
| INC Ransom | 99 |
| DeadLock | 98 |
| Krybit | 95 |
Bei diesen Zahlen handelt es sich um Vorfälle, die von Ransomware-Betreibern beansprucht wurden. Allein daraus ergibt sich weder die Zahl bestätigter Opfer, noch ist damit belegt, dass in jedem Fall Daten gestohlen wurden.
Rapid7 beobachtete außerdem einen Untergrundmarkt, der auf die Bereitstellung des initialen Zugangs ausgerichtet ist. Von 63 beobachteten Beiträgen boten 41 RDP- oder Netzwerkzugänge an, während 14 den Verkauf, den Austausch oder die Diskussion von Exploits und Zero-Days betrafen. Die Angebote reichten von einzelnen kompromittierten Konten – darunter Bankzugangsdaten, gebündelt mit „vollständigen“ Identitätsdaten für mindestens drei große US-Banken – bis hin zu Zugängen in Unternehmensnetzwerke.
KI unterstützt die Ausführung von Angriffen, ersetzt Angreifer aber noch nicht
Künstliche Intelligenz trat im dritten Quartal 2026 in 8 Prozent der von Rapid7 erfassten Vorfälle als operative Komponente auf. Dieser Anteil bezieht sich auf den von Rapid7 erfassten Vorfallbestand.
Die Beobachtungen des Unternehmens sprechen nicht für eine breite Verlagerung hin zu autonomen Angreifern. Douglas McKee, Director of Vulnerability Intelligence bei Rapid7, sagte, KI-gestützte Schwachstellenerkennung nehme zu, die Daten des Quartals hätten jedoch keine entsprechende Welle KI-gesteuerter Ausnutzung gezeigt.
In jedem von Rapid7 dokumentierten Fall wählten weiterhin Menschen das Angriffsziel aus und bestimmten den Zweck. Die Automatisierung breitete sich stattdessen in dem aus, was das Unternehmen als die taktische Mitte eines Eindringens bezeichnete: bei der Auswahl von Techniken, der Priorisierung von Zielen und dem Weitermachen nach einem gescheiterten Schritt.
Rapid7 berichtete zudem über Versuche, die Schutzmechanismen von KI-Anbietern zu umgehen, indem ein schädliches Vorhaben auf mehrere Sitzungen verteilt wurde. Eine direkte Anfrage in einer Sitzung kann blockiert werden, während eine Abfolge von Eingaben, die auf mehrere Sitzungen verteilt ist, den Gesamtzweck schwerer erkennbar machen kann.
Für Verteidiger empfiehlt Rapid7, KI-API-Aktivitäten zu überwachen, die von unerwarteten Hosts oder Prozessen ausgehen. Solche Telemetriedaten können unbefugte Werkzeugnutzung oder Automatisierung aufdecken, die auf Systemen läuft, die normalerweise nicht mit KI-Diensten kommunizieren.
Das Unternehmen hält vollautomatisierte, KI-gestützte Angriffe in den nächsten Jahren für wahrscheinlich, stellt dies jedoch als Prognose dar und nicht als im dritten Quartal 2026 beobachtete Aktivität.
Staatlich unterstützte Operationen setzen neue Linux-Werkzeuge ein
Rapid7 verfolgte im Quartal 15 unterschiedliche staatlich unterstützte Gruppen. Zu den genannten Clustern gehörten das Russland zugeordnete ENERGETIC BEAR, Void Blizzard und Sandworm, die China zugeordnete APT31, Lazarus aus Nordkorea sowie Operation C-Major aus Pakistan.
Regierungsorganisationen blieben die Hauptziele. Auch Organisationen aus den Bereichen Verteidigung, Verkehr, Medien, Gesundheitswesen, Luft- und Raumfahrt, Finanzen, Energie und Technologie wurden angegriffen.
Rapid7 dokumentierte ein Linux-Toolkit namens ted, das aus drei eigenständigen Komponenten besteht:
- einem mit Trojaner versehenen HAProxy-Build;
- einem SSH-Keylogger;
- einem auf curl basierenden Remote-Access-Trojaner.
Rapid7 ordnete ted nordkoreanischen Akteuren (DPRK) zu und erklärte, das Toolkit sei seit Anfang 2025 gegen südkoreanische Organisationen eingesetzt worden. Das Toolkit bezeichnet die Schadsoftware und den Fähigkeitensatz; die Nordkorea zugeschriebenen Akteure sind die Betreiber.
Operation C-Major ist laut Rapid7 indessen seit Mitte der 2010er-Jahre aktiv. Ihre Betreiber setzen in Spionageoperationen Phishing und mobile Spyware ein, die sich gegen Angehörige des indischen Militärs und des diplomatischen Dienstes richten.
Insgesamt entsteht der unmittelbare Verteidigungsdruck vor allem durch Geschwindigkeit: Schwachstellen, die einen Zugriff aus der Ferne ohne Authentifizierung erlauben, können innerhalb von Tagen von der Offenlegung zur Ausnutzung übergehen, während Zugangsvermittler anderen Betreibern kompromittierte Ausgangspunkte anbieten. Die rasche Priorisierung von Patches und die Überwachung ungewöhnlicher KI-API-Nutzung adressieren unterschiedliche Phasen dieser Angriffskette – den initialen Zugang und die automatisierte Ausführung innerhalb der Umgebung.
