CISA nimmt drei aktiv ausgenutzte Schwachstellen in den KEV-Katalog auf

Die drei Sicherheitslücken betreffen Cisco, Windows und Metabase

CISA hat drei Schwachstellen in den Katalog Known Exploited Vulnerabilities (KEV) aufgenommen, für die Belege einer aktiven Ausnutzung vorliegen:

• CVE-2026-20349, eine Schwachstelle bei der Heap-Inspektion in Cisco Secure Firewall Adaptive Security Appliance (ASA) und Firewall Threat Defense (FTD);
• CVE-2026-68820, eine Use-after-free-Schwachstelle im Ancillary Function Driver for WinSock von Microsoft Windows;
• CVE-2026-72898, eine SQL-Injection-Schwachstelle in der Plattform Metabase.

Die genauen betroffenen Produktversionen wurden nicht veröffentlicht.

Warum die Aufnahme in den KEV-Katalog relevant ist

Die Aufnahme in den KEV-Katalog zeigt, dass die Schwachstellen nicht nur theoretischer Natur sind: Es liegen Belege für reale Angriffe oder Ausnutzungsversuche vor.

Das Briefing konkretisiert nicht, welche operativen Auswirkungen die Ausnutzung der einzelnen CVE hat. Generell kann eine Kompromittierung von Firewalls, Windows-Systemen oder öffentlich erreichbaren Plattformen mit Datenbankzugriff jedoch erhebliche Folgen für die Integrität und Verfügbarkeit der betroffenen Umgebungen haben.

Die Richtlinie BOD 26-04: Priorizing Security Updates Based on Risk stuft KEV-Schwachstellen auf öffentlich erreichbaren Assets als besonders kritisch ein, wenn sie die vollständige Kontrolle über das System ermöglichen können.

Empfehlungen für Organisationen

Die Behörden des Federal Civilian Executive Branch (FCEB) müssen die in BOD 26-04 festgelegten Anforderungen an das Schwachstellenmanagement umsetzen und die Behebung besonders riskanter Sicherheitslücken beschleunigen.

Insbesondere sollten sie:

1. öffentlich erreichbare Assets identifizieren, auf denen Cisco ASA, Cisco FTD, Windows oder Metabase eingesetzt werden;
2. KEV-CVEs priorisieren, die zur vollständigen Kontrolle eines Assets führen können;
3. verfügbare Updates gemäß den Empfehlungen der jeweiligen Hersteller installieren;
4. vor dem Patchen prüfen, ob Angreifer die Systeme bereits kompromittiert haben.

Für die drei Schwachstellen wurden keine detaillierten Angaben zu Patches, Workarounds oder spezifischen Indicators of Compromise veröffentlicht.

CISA empfiehlt auch Organisationen außerhalb des FCEB, ihr Risikomanagement am KEV-Katalog auszurichten und diese Schwachstellen als operative Priorität statt als gewöhnliche Updates zu behandeln.

Wie neue Schwachstellen für den Katalog vorgeschlagen werden

CISA nimmt Vorschläge über das KEV Nomination Form entgegen. Jede Meldung muss Folgendes enthalten:

• die CVE-Kennung;
• Nachweise für eine Ausnutzung;
• klare Angaben zu möglichen Gegenmaßnahmen.

Nur Schwachstellen mit ausreichenden Belegen können für eine mögliche Aufnahme in den Katalog geprüft werden.