CISA hat am 28. Oktober 2026 Schwachstellen im Linux-Kernel und in Broadcom VMware ESX in ihren Katalog bekannter ausgenutzter Schwachstellen (Known Exploited Vulnerabilities, KEV) aufgenommen. Als Begründung nannte die Behörde Hinweise auf aktive Ausnutzung. Die Schwachstellen haben unterschiedliche Auswirkungen: Die Linux-Lücke kann einem lokalen Angreifer Root-Rechte verschaffen, während die VMware-Lücke es jemandem, der bereits Administratorrechte besitzt, erlaubt, bestimmte Operationen durchzuführen, ohne dass diese Aktionen in Protokollen erscheinen.
Die Ankündigung der Behörde nennt sie als CVE-2026-46300, eine Schwachstelle im Linux-Kernel durch fehlende Initialisierung, und CVE-2026-41709, eine Schwachstelle in VMware ESX durch unzureichende Protokollierung.
Unterschiedliche Voraussetzungen und Folgen
CVE-2026-46300, auch als Fragnesia bekannt, betrifft das XFRM-ESP-in-TCP-Subsystem des Linux-Kernels. Laut Security Affairs stützt sich die Analyse auf eine technische Untersuchung von Wiz: Ein unprivilegierter lokaler Angreifer kann schreibgeschützte Dateiinhalte im Page-Cache des Kernels verändern – dem Speicher, in dem zwischengespeicherte Dateidaten liegen – und diese Beschädigung nutzen, um Root-Rechte zu erlangen.
Der Bericht nennt William Bowling vom V12-Sicherheitsteam als Entdecker der Schwachstelle. Die Ausnutzung wird als deterministisch beschrieben, ohne Race Conditions oder komplizierte Timing-Angriffe. Voraussetzung ist lokaler Zugriff; es handelt sich um eine Schwachstelle zur Rechteausweitung.
Bei CVE-2026-41709 muss der Angreifer bereits Administratorrechte besitzen. Security Affairs berichtet, dass die Schwachstelle in der Protokollierung bestimmte Operationen verbergen kann und damit die Beweise verringert, die Verteidigern bei der Untersuchung verdächtiger Aktivitäten zur Verfügung stehen. Sie verschafft selbst keinen Administratorzugang.
Security Affairs zitiert außerdem den CrowdStrike 2026 Legal Threat Landscape Report, wonach der China-nahe Akteur Warp Panda die VMware-Schwachstelle Anfang 2026 als Zero-Day ausgenutzt habe, um die Sichtbarkeit in Audit-Logs zu verringern. Diese Ausnutzung liegt vor der Aufnahme in den Katalog im Oktober.
Der Artikel nennt CVSS-Werte von 7,6 für die VMware-Schwachstelle und 2,7 für die Linux-Schwachstelle. Diese Schweregrade sind von der Feststellung der CISA getrennt, dass beide Schwachstellen aktiv ausgenutzt wurden.
Behebung und Vorgaben für Bundesbehörden
Security Affairs berichtet, dass Broadcom im Juli Sicherheitsupdates für CVE-2026-41709 veröffentlicht hat. Für Behörden der zivilen US-Bundesverwaltung (Federal Civilian Executive Branch) nennt der Bericht Fristen für die Behebung: 11. November 2026 für die VMware-Schwachstelle und 31. Oktober 2026 für die Linux-Schwachstelle.
In der Ankündigung der CISA wird BOD 26-04 als einschlägige Richtlinie für das Schwachstellenmanagement genannt. Sie verlangt von betroffenen Behörden, die rasche Behebung von KEV-Schwachstellen mit hohem Risiko auf öffentlich erreichbaren Systemen zu priorisieren, die nach einer Ausnutzung vollständige Kontrolle gewähren. Zudem werden Erwartungen festgelegt, wonach vor dem Patchen geprüft wird, ob Systeme kompromittiert wurden.
Diese Bundesvorgaben gelten für betroffene Behörden. Die CISA empfiehlt darüber hinaus allen Organisationen, KEV-Schwachstellen über ein risikobasiertes Schwachstellenmanagement zu priorisieren.
