Die CISA hat im Zeitraum vom 2. bis 8. November Schwachstellen, die aktiv ausgenutzt werden, in ihren Katalog der bekanntermaßen ausgenutzten Schwachstellen (Known Exploited Vulnerabilities, KEV) aufgenommen. Sie betreffen WordPress Core, Apple-Produkte und SonicWall SonicOS SSLVPN. Bei WordPress ermöglicht ein Aktualisierungsfenster die Codeausführung ohne Authentifizierung. Die SonicWall-Schwachstelle kann die SAML-Authentifizierung und die per SAML erzwungene Multi-Faktor-Authentifizierung umgehen. Der Apple-Eintrag betrifft eine Umgehung der Pointer Authentication, für die in mehreren Produktlinien Korrekturen verfügbar sind.
Keiner der drei Einträge ist von der CISA als bekanntermaßen in Ransomware-Kampagnen genutzt gekennzeichnet. Die Aufnahme in den KEV-Katalog belegt, dass eine Ausnutzung nachgewiesen wurde. Die CVSS-Werte beschreiben dagegen den Schweregrad, nicht die Wahrscheinlichkeit eines Angriffs.
Die drei Aufnahmen dieser Woche stehen einem Durchschnitt von 8,7 Aufnahmen pro Woche in den vorangegangenen zwölf Wochen gegenüber. Zwei wurden innerhalb von sieben Tagen nach der Veröffentlichung in der NVD in den KEV-Katalog aufgenommen. Die Apple-Schwachstelle war dagegen seit mehr als einem Jahr in der NVD öffentlich. Das mediane Intervall betrug drei Tage. Diese Intervalle messen den Zeitpunkt der Katalogaufnahme, nicht den Beginn der Ausnutzung.
WordPress Core: Codeausführung bei vollständigen Paketaktualisierungen
Die Schwachstelle CVE-2026-119977 betrifft laut NVD-Beschreibung WordPress Core in den Versionen 4.7 bis 7.1.3. Es handelt sich um eine Race Condition vom Typ Time-of-Check/Time-of-Use. Dabei sind vorhersagbare Staging-Pfade über das Web erreichbar, während vollständige Core-Aktualisierungen durchgeführt werden.
Ein nicht authentifizierter Angreifer kann dieses Aktualisierungsfenster ausnutzen, um Code auf dem Server auszuführen. Die Gefährdung hängt daher vom Aktualisierungsprozess ab und nicht allein vom Vorhandensein einer betroffenen Installation. Die NVD vergibt einen CVSS-v3-Wert von 8,1.
Die CISA nahm die Schwachstelle am 3. November auf, drei Tage nach der Veröffentlichung in der NVD und vier Tage nach ihrer Aufnahme in den VulnCheck KEV. Die Behebungsfrist für US-Bundesbehörden war der 6. November. Zum 9. November war sie bereits abgelaufen.
SonicWall: Alternative Anmeldedaten können SAML-Kontrollen umgehen
Die Schwachstelle CVE-2026-19868 betrifft die Durchsetzung der Authentifizierung im Dienst SonicOS SSLVPN. Ein Benutzer mit gültigen Anmeldedaten für eine alternative Authentifizierungsmethode kann möglicherweise die SAML-Authentifizierungskontrollen umgehen. Eine erfolgreiche Ausnutzung kann außerdem die über SAML erzwungene Multi-Faktor-Authentifizierung (MFA) umgehen.
Diese Voraussetzung bei den Anmeldedaten ist wichtig: Der beschriebene Angriff setzt gültige Anmeldedaten für eine andere Authentifizierungsmethode voraus. Der CVSS-v3-Wert der NVD liegt bei 7,5.
Die CISA nahm die Schwachstelle am 6. November auf, und zwar am oder vor dem Veröffentlichungsdatum in der NVD. Die Behebungsfrist für US-Bundesbehörden ist der 20. November.
Apple: Umgehung der Pointer Authentication mit veröffentlichten Korrekturen
Die Schwachstelle CVE-2024-27834 könnte einem Angreifer, der bereits beliebige Lese- und Schreibrechte besitzt, erlauben, die Pointer Authentication zu umgehen. Die NVD vergibt dafür einen CVSS-v3-Wert von 5,5. Der niedrigere Wert hebt den durch den KEV-Eintrag belegten Ausnutzungsnachweis nicht auf.
Laut NVD-Beschreibung beheben verbesserte Prüfungen das Problem in folgenden Versionen:
- Safari 17.5.
- iOS 16.7.8 und iPadOS 16.7.8.
- iOS 17.5 und iPadOS 17.5.
- macOS Sonoma 14.5.
- tvOS 17.5.
- watchOS 10.5.
Die CISA nahm die Schwachstelle am 4. November auf, 904 Tage nach der Veröffentlichung in der NVD. Sie legte den 18. November als Behebungsfrist für US-Bundesbehörden fest.
Was Verteidiger in dieser Woche tun sollten
Prüfen Sie die Gefährdung in allen drei Produktfamilien und widmen Sie den erst kürzlich offengelegten Einträgen zu WordPress und SonicWall sofortige Aufmerksamkeit. Prüfen Sie bei Apple-Installationen die Behebung anhand der oben genannten korrigierten Versionen. Keiner der Einträge dieser Woche trägt die CISA-Kennzeichnung für bekannte Ransomware-Nutzung.
Für alle drei Schwachstellen fordert die CISA Organisationen auf, die vom Hersteller vorgegebenen Gegenmaßnahmen gemäß BOD 26-04 und dessen „Forensics Triage Requirements“ anzuwenden, die Internetexponierung jedes Assets zu bewerten und die einschlägigen Vorgaben aus BOD 26-04 für Cloud-Dienste zu befolgen. Die Anweisung der CISA lautet, die Nutzung einzustellen, wenn keine Gegenmaßnahmen verfügbar sind.
Die KEV-Fristen sind für die darunter fallenden zivilen US-Bundesbehörden gemäß BOD 22-01 verbindlich. Andere Organisationen sollten sie als Priorisierungssignale nutzen: Die Frist für WordPress am 6. November ist bereits verstrichen, es folgen Apple am 18. November und SonicWall am 20. November.
