CISA hat im Zeitraum vom 26. Oktober bis 1. November zehn Schwachstellen in seinen Katalog bekannter ausgenutzter Schwachstellen (Known Exploited Vulnerabilities, KEV) aufgenommen. Darunter sind zwei PHP-Schwachstellen, die eine Remote-Codeausführung ermöglichen können, eine Schwachstelle im Brotli-Decoder und eine GitLab-Serverschwachstelle mit CVSS 10,0. Beide PHP-Einträge und der Brotli-Eintrag wurden fünf Tage nach der Veröffentlichung durch die NVD in KEV aufgenommen. Für die betroffenen zivilen Bundesbehörden der USA sind mehrere Fristen zur Behebung bereits abgelaufen. Eine Frist für Ivanti Connect Secure fällt auf den 2. November.
Keiner der zehn Einträge ist von CISA als Schwachstelle gekennzeichnet, die bekanntermaßen in Ransomware-Kampagnen eingesetzt wird. Diese Kennzeichnung ist getrennt von der Aufnahme in KEV zu sehen, die Schwachstellen mit Hinweisen auf eine Ausnutzung erfasst. CVSS misst den Schweregrad, nicht die Wahrscheinlichkeit einer Ausnutzung.
Die Neuaufnahmen dieser Woche übertrafen den Durchschnitt der vorangegangenen zwölf Wochen von 8,3. Der Median des Abstands zwischen der Veröffentlichung durch die NVD und der Aufnahme in KEV betrug 15,5 Tage. Drei Einträge wurden innerhalb von sieben Tagen aufgenommen. Aus diesen Abständen lässt sich nicht ableiten, wann die Ausnutzung begann.
PHP, Brotli und GitLab: Codeausführung und konkrete Update-Ziele
Die beiden PHP-Schwachstellen wurden am 26. Oktober in KEV aufgenommen. Die Frist für die Behebung durch Bundesbehörden endet am 29. Oktober. Beide können zur Remote-Codeausführung führen, betreffen aber unterschiedliche Fehler bei der Verarbeitung von Anfragen.
Bei CVE-2026-109618 kann die Verwendung von longjmp() durch PHP, um nach einem Out-of-Memory-Fehler eine Anfrage zu verlassen, dazu führen, dass der Speicher der Anfrage nicht initialisiert bleibt. Die anschließende Bereinigung kann diesen Speicher lesen oder ihn zur Bestimmung des Programmflusses verwenden. NVD vergibt für die Schwachstelle CVSS 9,8.
CVE-2026-109619 betrifft globalen Zustand, der Verweise auf freigegebenen Anfragespeicher enthält. Spätere Anfragen können auf diese veralteten Verweise stoßen, bevor die Initialisierung abgeschlossen ist. Der CVSS-Wert liegt bei 8,1, mit einer höheren Angriffskomplexität als bei der ersten PHP-Schwachstelle. Verwandte Berichte behandeln PHP2Shell-Angriffe mit Root-Zugriff.
Die Schwachstelle CVE-2026-111497 in Googles Brotli betrifft den Decoder in c/dec/decode.c. Laut NVD-Beschreibung kann ein manipulierter komprimierter Datenstrom den benachbarten Zustand des Decoders beschädigen, Speicher offenlegen, den Dienst unterbrechen oder möglicherweise Code ohne Authentifizierung ausführen. Der Eintrag hat CVSS 9,8 und die Bundesfrist 10. November.
Die Formulierung zu den Brotli-Versionen erfordert Sorgfalt. NVD beschreibt einen betroffenen Bereich von 1.0.3 bis 1.2.0 auf allen Plattformen und nennt zugleich 1.0.10, 1.1.1 und 1.2.1 als Update-Ziele. Die ersten beiden Ziele liegen innerhalb des genannten Bereichs. Diese Angaben sollten nicht als konsistente, lückenlose Liste verwundbarer Versionen gelesen werden. Verwenden Sie die Korrekturversion, die zum eingesetzten Release-Zweig passt. Frühere Berichte behandeln Fixes für den Brotli-Decoder und Versuche, Schwachstellen auszunutzen.
Die GitLab-Schwachstelle CVE-2026-97229 betrifft Community Edition und Enterprise Edition in folgenden Release-Bereichen:
- 19.2 vor 19.2.8: Update auf 19.2.8.
- 19.3 vor 19.3.5: Update auf 19.3.5.
- 19.4 vor 19.4.2: Update auf 19.4.2.
Unter bestimmten Bedingungen kann eine unzureichende Validierung eines regulären Ausdrucks in der CI/CD-Konfiguration einem nicht authentifizierten Benutzer erlauben, beliebigen Code auf dem Server auszuführen. Die CVSS-Bewertung von 10,0 beschreibt die potenzielle Schwere. Die Bestätigung einer aktiven Ausnutzung durch CISA begründet die operative Dringlichkeit. Die Bundesfrist war der 1. November.
Alle zehn Neuaufnahmen und ihre Bundesfristen
Die folgenden Fristen gelten für die betroffenen zivilen Bundesbehörden der USA gemäß BOD 22-01. Für andere Organisationen sind sie Priorisierungshinweise und keine gesetzlichen Fristen. Alle Daten beziehen sich auf 2026. Wo verfügbar, sind die Werte NVD-CVSS-v3-Werte.
| Schwachstelle | Produkt und Schwachstellentyp | CVSS v3 | KEV-Aufnahme | Bundesfrist |
|---|---|---|---|---|
| CVE-2026-109618 | PHP — Speicherbeschädigung | 9.8 | 26. Okt. | 29. Okt. |
| CVE-2026-109619 | PHP — veralteter interner Anfragezustand | 8.1 | 26. Okt. | 29. Okt. |
| CVE-2026-111497 | Google Brotli — ungeprüfter Rückgabewert | 9.8 | 27. Okt. | 10. Nov. |
| CVE-2026-48356 | Adobe Commerce und Magento — gefährlicher Datei-Upload | 9.3 | 27. Okt. | 10. Nov. |
| CVE-2026-41709 | Broadcom VMware ESX — unzureichende Protokollierung | 2.7 | 28. Okt. | 11. Nov. |
| CVE-2026-46300 | Linux-Kernel — fehlende Variableninitialisierung | 7.8 | 28. Okt. | 31. Okt. |
| CVE-2026-76418 | Cisco Secure Firewall ASA und FTD — ungeprüfter Rückgabewert, der zu einer NULL-Pointer-Dereferenzierung führt | 8.6 | 29. Okt. | 1. Nov. |
| CVE-2026-97229 | GitLab CE/EE — Ganzzahlüberlauf oder Wraparound | 10.0 | 29. Okt. | 1. Nov. |
| CVE-2026-111357 | Ivanti Connect Secure — fehlende Authentifizierung für eine kritische Funktion | 7.0 | 30. Okt. | 2. Nov. |
| CVE-2026-118527 | Ivanti Connect Secure — vorhersagbare Zahlen oder Kennungen | — | 30. Okt. | 13. Nov. |
Der Strich zeigt an, dass der Katalog für diesen Eintrag keinen CVSS-v3-Wert von NVD auflistet.
VPN-Verfügbarkeit, Exposition im E-Commerce und Kernel-Integrität
Die Schwachstelle CVE-2026-76418 bei Cisco betrifft den Remote-Access-SSL-VPN-Dienst in ASA und FTD. Die relevante Bedingung ist eine auf einer Tunnelgruppe konfigurierte Sekundärauthentifizierung. Ein nicht authentifizierter Angreifer aus der Ferne kann durch eine präparierte Verbindungsanfrage einen unerwarteten Neustart des Geräts auslösen und so einen Denial-of-Service verursachen.
Auf Ivanti Connect Secure entfallen zwei Neuaufnahmen mit unterschiedlichen Fristen. CVE-2026-111357 betrifft eine fehlende Authentifizierung für eine kritische Funktion. Die Bundesfrist für die Behebung endet am 2. November. CVE-2026-118527 betrifft vorhersagbare Zahlen oder Kennungen und hat die Frist 13. November. Frühere Berichte behandeln die Aufnahme von zwei Ivanti-Schwachstellen durch CISA, die bei Angriffen mit Root-Zugriff eingesetzt wurden.
Die Schwachstelle CVE-2026-48356 in Adobe Commerce und Magento erlaubt gefährliche Datei-Uploads. Sie kann zu einer Codeausführung im Kontext des aktuellen Benutzers führen, wodurch sich die Kontrolle über ein Konto oder eine Sitzung möglicherweise erhöht. Die Ausnutzung erfordert eine Benutzerinteraktion: Ein Opfer muss eine präparierte URL aufrufen oder mit einer kompromittierten Seite interagieren. Der Eintrag hat CVSS 9,3 und wurde 105 Tage nach der Veröffentlichung durch die NVD in KEV aufgenommen.
Der Eintrag zu VMware ESX zeigt, warum CVSS allein die Priorität der Behebung nicht bestimmen kann. CVE-2026-41709 erhält einen Wert von 2,7, doch CISA führt die Schwachstelle als ausgenutzt. NVD beschreibt einen böswilligen Administrator, der bestimmte Operationen durchführt, ohne dass diese protokolliert werden. Voraussetzung ist Administratorzugriff. Die Folge ist eine eingeschränkte Nachvollziehbarkeit der Aktivitäten.
Die Linux-Kernel-Schwachstelle CVE-2026-46300 betrifft eine Markierung für geteilte Fragmente, die beim Zusammenführen von Netzwerkpuffern verloren geht. Wenn skb_try_coalesce() Seitenfragmente überträgt, ohne SKBFL_SHARED_FRAG zu erhalten, kann die spätere ESP-Verarbeitung den resultierenden Puffer fälschlicherweise als sicher für die Entschlüsselung direkt im Puffer behandeln. Dies gilt auch für Fragmente, die vom Page Cache gestützt werden. Die Korrektur erhält die Markierung bei der Übertragung der Fragmente. Die CVSS-Bewertung von 7,8 setzt lokalen Zugriff und niedrige Privilegien voraus. Die Bundesfrist vom 31. Oktober ist bereits abgelaufen.
Die defensiven Prioritäten dieser Woche
Prüfen Sie die Exposition über alle aufgeführten Produkte hinweg, einschließlich Brotli-Bibliotheken und -Binärdateien. Priorisieren Sie die kürzlich offengelegten PHP- und Brotli-Einträge zusammen mit dem Risiko einer Codeausführung ohne Authentifizierung bei GitLab. Prüfen Sie Cisco-VPNs auf die dokumentierte Bedingung der Sekundärauthentifizierung. Keiner der Einträge dieser Woche trägt CISAs Kennzeichnung für den Einsatz in Ransomware-Kampagnen.
Wenden Sie die aufgeführten GitLab-Korrekturversionen und das passende Brotli-Update-Ziel an. CISA weist Organisationen an, Herstellermaßnahmen anzuwenden, die Internetexposition jedes Assets zu bewerten und die einschlägigen Vorgaben aus BOD 26-04 sowie Forensics Triage Requirements zu befolgen. Die Anweisung, die Nutzung des Produkts einzustellen, gilt für den Fall, dass keine Gegenmaßnahmen verfügbar sind. Die betroffenen Bundesbehörden sollten zudem abgelaufene Fristen und die Ivanti-Frist vom 2. November umgehend angehen.
