Zwei Schwachstellen in Produkten von Check Point und in UnrealIRCd stehen nun im Katalog der bekannten ausgenutzten Schwachstellen (Known Exploited Vulnerabilities, KEV) der CISA, nachdem Belege für eine aktive Ausnutzung vorliegen. Die Warnmeldung der Behörde vom 13. November 2026 macht die Behebung für betroffene Organisationen zur Priorität, darunter Betreiber von Check-Point-Gateways, die mit einer gemeldeten Angriffskette konfrontiert sind, die zur Zerstörung von Daten geführt hat.
Die Schwachstelle bei Check Point, CVE-2026-123039, erlaubt einem Angreifer, der bereits über einen authentifizierten lokalen Zugang mit niedrigen Rechten verfügt, die Kontrolle als root zu übernehmen. Die Schwachstelle bei UnrealIRCd, CVE-2026-114713, ermöglicht es einem gewöhnlichen IRC-Nutzer, Befehle mit Autorität auf Serverebene auszuführen, sofern das Netzwerk mindestens zwei verknüpfte Server umfasst. Beide haben eine hohe Schweregradbewertung nach CVSS. Die Belege der CISA für eine Ausnutzung sind der Grund für ihre Aufnahme in den KEV-Katalog.
Check-Point-Eskalation folgt auf Kompromittierung des Portals
Bei Check Point Security Gateways und Security-Management-Produkten ist die verwundbare Komponente der DynamicCLI-Daemon in Gaia OS. Security Affairs berichtet, dass der Daemon mit root-Rechten läuft, Verbindungen aber über /tmp/dynamic_socket annimmt, einen lokalen Unix-Socket mit weltweiten Schreibrechten. Eine unzureichende Authentifizierung der verbindenden Prozesse erlaubt einem lokalen Angreifer mit niedrigen Rechten, beliebige Befehle als root auszuführen. CVE-2026-123039 hat einen CVSS-Wert von 7,8.
Die gemeldeten Angriffe auf ungepatchte Gateways verbinden diese Eskalation mit einem separaten Einstiegspunkt. Unter Berufung auf Check Point Research beschreibt Security Affairs, wie Angreifer die PHP2Shell-Schwachstellen CVE-2026-109618 und CVE-2026-109619 über das Mobile-Access-Portal ausnutzen, bevor sie CVE-2026-123039 einsetzen, um root-Rechte zu erlangen.
Nach dieser Kontrollübernahme installieren die Angreifer Webshells und die TSGA-Backdoor, um den Zugriff aufrechtzuerhalten, und dringen anschließend in interne Netzwerke vor. Einige Angriffe haben außerdem den Wiper destroy_v6 gegen VMware-ESXi-Hosts eingesetzt, um Daten zu löschen.
Israelische Organisationen waren am 30. Oktober 2026 die ersten Ziele der Kampagne, und einige von ihnen erlitten zerstörerische Angriffe. Eine weitere Welle, die am 2. November begann, erreichte Organisationen in mehreren Ländern und Branchen.
Security Affairs gibt außerdem die Vorsicht von Check Point bei der Zuordnung wieder. Code- und Infrastrukturähnlichkeiten verbinden die Malware mit PhiliKit, einem Framework, das zuvor mit dem China zugeordneten Akteur UNC5221 in Verbindung gebracht wurde. Check Point hält die Belege jedoch nicht für ausreichend, um die gesamte Kampagne dieser Gruppe zuzuschreiben. Eine Kooperation zwischen Akteuren und eine False-Flag-Operation bleiben als Erklärungen möglich.
UnrealIRCd gibt privilegierte IRC-Operationen preis
Der betroffene Versionsbereich von UnrealIRCd beginnt bei Version 6.0.0 und endet vor 6.2.7.1. CVE-2026-114713, auf der CVSS-Skala mit 8,6 bewertet, betrifft das Labeled-Response-Modul des quelloffenen IRC-Servers.
Das Modul übernimmt ein IRCv3-Label-Message-Tag in Serverantworten, ohne es ordnungsgemäß zu bereinigen. Ein Angreifer kann diesen Tag nutzen, um Zeilenumbruchzeichen und zusätzliche Befehle in den Datenverkehr zwischen Servern einzuschleusen. Sind mindestens zwei Server miteinander verbunden, benötigt ein Nutzer keine besonderen Rechte, damit diese Befehle mit Autorität auf Serverebene verarbeitet werden.
Diese Autorität könnte administrative Kontrolle über das IRC-Netzwerk ermöglichen, etwa das Trennen oder Sperren von Nutzern, die Manipulation von Nutzern und Kanälen oder die Störung des Dienstes. Security Affairs berichtet, dass der Betreuer von UnrealIRCd kurz nach der Offenlegung Ausnutzungsversuche im Internet bestätigt hat. Ein öffentlich identifizierter Angreifer oder eine bestätigte Verbindung zu einer bestimmten Kampagne oder einem finanziellen Motiv ist nicht bekannt.
Behebung priorisieren und Kompromittierung prüfen
Die Warnmeldung der CISA verweist Bundesbehörden auf die Binding Operational Directive 26-04. Sie verpflichtet die Bundesbehörden der zivilen Exekutive (Federal Civilian Executive Branch, FCEB), die Behebung von KEV-gelisteten Schwachstellen auf öffentlich erreichbaren Systemen vorrangig und zügig voranzutreiben, wenn eine Ausnutzung die vollständige Kontrolle ermöglicht. Schwachstellen mit geringerem Risiko werden zurückgestellt. Die Richtlinie legt außerdem fest, wie vor dem Patchen geprüft werden soll, ob ein System kompromittiert wurde.
Security Affairs nennt den 16. November 2026 als Frist für die Behebung dieser beiden Schwachstellen. Diese Bundesvorgabe gilt für die betroffenen Behörden und legt keine Frist für jede Organisation fest.
Administratoren, die für betroffene Check-Point-Systeme und UnrealIRCd-Netzwerke verantwortlich sind, sollten die Behebung gemäß der Empfehlung der CISA an alle Organisationen priorisieren. Die betroffenen Bundesbehörden müssen zudem die Vorgaben der Richtlinie anwenden und prüfen, ob Angreifer vor der Installation der Patches Zugriff erlangt haben.
