CISA hat am 8. Oktober 2026 fünf Schwachstellen in den Katalog bekannter ausgenutzter Schwachstellen (Known Exploited Vulnerabilities, KEV) aufgenommen. Die Frist für Behörden des Bundes endet am 11. Oktober 2026, also heute. Diese Frist gilt für zivile Behörden der US-Bundesexekutive. Alle anderen können sie als Hinweis zur Priorisierung verstehen, nicht als Verpflichtung.
SecurityAffairs berichtet, dass das Update mit einer gemeinsamen Warnung von Australien, Kanada, Japan, Neuseeland, Spanien, dem Vereinigten Königreich und den Vereinigten Staaten zusammenfällt. Der Artikel bringt die Einträge mit einer China zugeordneten Kampagne in Verbindung, die Akteuren zugeschrieben wird, die mit Integrity Technology Group in Verbindung stehen, einem chinesischen Cybersecurity-Unternehmen. Weitere Berichte zur KEV-Aufnahme sind ebenfalls verfügbar.
Die fünf Einträge und ihre betroffenen Versionen
Die Versionsangaben stammen aus NVD-Einträgen.
| CVE | Produkt und Umfang | CVSS v3 (NVD) | Schwachstellentyp |
|---|---|---|---|
| CVE-2015-3306 | ProFTPD 1.3.5, Modul mod_copy |
10,0 | CWE-284 |
| CVE-2021-3199 | ONLYOFFICE Document Server vor 5.6.3, bei Verwendung von JWT | 9,8 | CWE-22 |
| CVE-2016-3081 | Apache Struts, mit aktiviertem Dynamic Method Invocation | 8,1 | CWE-77 |
| CVE-2015-5477 | ISC BIND | 7,5 | CWE-19, CWE-617 |
| CVE-2023-22894 | Strapi | 4,9 | CWE-312 |
ProFTPD. Entfernte Angreifer können über die Befehle site cpfr und site cpto beliebige Dateien lesen und schreiben. Der CVSS-Vektor lautet CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. Eine Authentifizierung oder Benutzerinteraktion ist daher nicht nötig.
ONLYOFFICE Document Server. Eine /..-Sequenz in einem Parameter für Bild-Uploads am Endpunkt /upload ermöglicht bei Verwendung von JWT Directory Traversal und Remote Code Execution. Als einzige herstellerseitige Referenz im CVE-Eintrag findet sich ein Changelog-Eintrag von ONLYOFFICE. Außerdem listet er zwei Drittanbieter-Repositories auf, die Proof-of-Concept-Skripte hosten.
Apache Struts. Die NVD-Beschreibung nennt drei Bereiche: 2.3.19 bis 2.3.20.2, 2.3.21 bis 2.3.24.1 und 2.3.25 bis 2.3.28. Alle setzen voraus, dass Dynamic Method Invocation aktiviert ist. Die Ausnutzung erfolgt über das Präfix method: mit verketteten Ausdrücken und führt zur Codeausführung. Die Angriffskomplexität wird als hoch eingestuft (AC:H).
ISC BIND. Eine präparierte TKEY-Anfrage löst einen REQUIRE-Assertionfehler aus, woraufhin der Daemon beendet wird. Das ist ein Denial of Service. Die NVD-Beschreibung umfasst 9.x vor 9.9.7-P2 und 9.10.x vor 9.10.2-P3. Die Konfigurationsdaten der NVD listen dagegen Versionen bis einschließlich 9.9.7 auf. Die beiden Umfänge sind nicht identisch.
Strapi. Ein authentifizierter Benutzer des Admin-Panels kann Benutzer nach sensiblen Spalten filtern und Werte aus API-Antworten ableiten. Mit Super-Admin-Zugriff können laut NVD Passwort-Hashes und Reset-Tokens aller Benutzer ermittelt werden. Die Beschreibung nennt „bis einschließlich 4.5.5“, die CPE-Daten verwenden dagegen < 4.8.0. SecurityAffairs nennt einen CVSS-Wert von 7,2. Der NVD-Eintrag gibt 4,9 an und setzt hohe Privilegien voraus (PR:H).
Die oben genannten Bereiche sind betroffene Versionsbereiche, keine Fix-Releases. Die korrigierte Build-Version sollte im jeweiligen Herstellerhinweis geprüft werden.
Schweregrad ist nicht gleich Ausnutzung
Der Strapi-Eintrag zeigt das. Sein NVD-Wert ist der niedrigste der fünf, dennoch steht er im KEV-Katalog neben einem Eintrag mit 10,0. Die Aufnahme in KEV spiegelt Hinweise auf Ausnutzung wider, CVSS dagegen nur die technische Schwere. Die meisten dieser Schwachstellen sind außerdem mehrere Jahre alt.
Was der Artikel über die Kampagne berichtet
Laut SecurityAffairs hat die Kampagne acht Schwachstellen ausgenutzt, darunter diese fünf, um sich Erstzugang zu verschaffen und sensible Informationen zu stehlen. Der Artikel nennt die übrigen drei nicht.
Das US-Justizministerium und das FBI haben Berichten zufolge zwei Werkzeuge beschlagnahmt, die laut Artikel angeblich von dem chinesischen Unternehmen betrieben wurden:
- Microscan, Berichten zufolge eingesetzt, um Netzwerke nach verwundbaren Systemen zu durchsuchen.
- FishHub, Berichten zufolge eingesetzt, um Spear-Phishing-E-Mails zu versenden, die Malware ausliefern, Fernzugriff ermöglichen und Dateien stehlen.
Derselbe Bericht besagt, die Betreiber hätten Scan-Werkzeuge, Cross-Site-Scripting und Password Spraying gegen Microsoft-Exchange-Server eingesetzt. Sie hätten Berichten zufolge VPN-Software genutzt, um den Zugang zu behalten, und Skripte, um E-Mails und Zugangsdaten abzugreifen. Die gemeinsame Warnung richte sich laut Artikel gegen Werkzeuge, die großflächiges Scanning mit gezielter manueller Ausnutzung verbinden.
Was Verteidiger tun sollten
Der Maßnahmentext von CISA in den NVD-Einträgen fordert Betreiber auf, Gegenmaßnahmen gemäß den Herstellervorgaben anzuwenden. Außerdem verweist er auf BOD 26-04 und dessen „Forensics Triage Requirements“. Für Cloud-Dienste heißt es, die einschlägigen Vorgaben aus BOD 26-04 zu befolgen oder die Nutzung des Produkts einzustellen, falls keine Gegenmaßnahmen verfügbar sind. SecurityAffairs nennt dagegen BOD 22-01 als Grundlage für die Frist der Bundesbehörden.
Erste praktische Schritte:
- Exponierte Instanzen von ProFTPD 1.3.5, ONLYOFFICE Document Server, Struts, BIND und Strapi erfassen.
- Bei Struts prüfen, ob Dynamic Method Invocation aktiviert ist.
- Bei ONLYOFFICE prüfen, ob JWT verwendet wird.
- Logs auf die oben beschriebenen Aktivitäten hin prüfen.
SecurityAffairs rät außerdem privaten Organisationen, den Katalog zu prüfen und die gelisteten Schwachstellen in der eigenen Infrastruktur zu beheben.
Eine Serie, kein einzelnes Ereignis
Im Katalog sind in den vergangenen 90 Tagen weitere Einträge zu teils überlappenden Herstellern hinzugekommen. Es handelt sich um CVE-2015-5287 (26. August 2026), CVE-2026-21962 (24. August 2026), CVE-2026-34486 (4. August 2026) und CVE-2026-46817 (15. Juli 2026). Sie stehen mit Oracle, Apache und Huawei in Verbindung.
