Vier kritische Schwachstellen gegen macOS, SharePoint, VMware vCenter und Windows ausgenutzt

CISA aktualisiert KEV-Katalog: Maßnahmen bis zum 21. August

CISA hat vier aktiv ausgenutzte kritische Schwachstellen in den Katalog Known Exploited Vulnerabilities (KEV) aufgenommen. Die Sicherheitslücken betreffen Apple macOS, Microsoft SharePoint Server, VMware vCenter und den Internet-Key-Exchange-Dienst von Windows.

Die Aufnahme in den Katalog erfolgte am 18. August 2026. Für US-Bundesbehörden, die den FCEB-Vorgaben unterliegen, endet die Frist für die Behebung am 21. August 2026.

Alle Schwachstellen weisen Merkmale auf, die das operative Risiko erhöhen: Sie sind über das Netzwerk ausnutzbar, erfordern eine geringe Komplexität, benötigen keine vorherigen Berechtigungen und keine Benutzerinteraktion. Drei erreichen einen CVSS-Score von 9.8, SharePoint kommt auf 9.1.

Der KEV-Katalog bestätigt die aktive Ausnutzung, nennt jedoch für keine der vier Einträge bekannte Ransomware-Kampagnen; das entsprechende Feld lautet „Unknown“. Es liegen jedoch Hinweise auf andere Aktivitäten vor, bei denen bereits exponierte Systeme betroffen gewesen sein sollen.

macOS: Screen-Sharing-Authentifizierung lässt sich umgehen

Die Schwachstelle CVE-2026-65400 betrifft Apple macOS und ist als CWE-287, Improper Authentication klassifiziert. Der CVSS-Score beträgt 9.8, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.

Ein Angreifer im Netzwerk kann sich beim Screen Sharing authentifizieren, ohne über gültige Zugangsdaten zu verfügen. Laut NVD-Daten sind folgende Versionen betroffen:

apple macos < 14.8.9

Als behobene Versionen werden genannt:

• macOS Sequoia 15.7.9;
• macOS Sonoma 14.8.9;
• macOS Tahoe 26.6.1.

Die Korrektur behebt das Problem durch eine ordnungsgemäße Verwaltung des Zustands während der Authentifizierung. Die Schwachstelle soll bereits zur Verbreitung eines Monero-Miners ausgenutzt worden sein, wodurch kompromittierte Systeme für unbefugte Rechenaktivitäten missbraucht wurden.

Administratoren von Macs mit aktiviertem Screen Sharing sollten die installierte Version umgehend überprüfen, das Update einspielen und auf ungewöhnliche CPU-Auslastung, unbekannte Prozesse sowie ausgehende Verbindungen achten. Der Miner wird von CISA nicht als offizieller Indikator für diesen KEV-Eintrag geführt; die Untersuchung sollte daher auch andere verdächtige Artefakte einschließen.

SharePoint: Umgehung einer Sicherheitsfunktion nach Veröffentlichung eines PoC

Die Schwachstelle CVE-2026-55040 betrifft Microsoft SharePoint Server. Es handelt sich um eine als CWE-1390 klassifizierte Authentifizierungsschwachstelle mit einem CVSS-Score von 9.1.

Ein nicht autorisierter Benutzer kann sie über das Netzwerk ausnutzen, um eine Sicherheitsfunktion zu umgehen. Betroffen ist:

microsoft sharepoint server < 16.0.19725.20434

Laut CVSS-Vektor beeinträchtigt die Schwachstelle die Verfügbarkeit nicht direkt, kann jedoch erhebliche Auswirkungen auf die Vertraulichkeit und Integrität der von der Plattform verwalteten Daten haben. SharePoint ist häufig in Unternehmensdokumente, Identitäten, Workflows und kollaborative Dienste integriert. Eine Umgehung der Kontrollen kann daher als Ausgangspunkt für weitergehende Zugriffe dienen.

Die Schwachstelle soll von nicht identifizierten Akteuren ausgenutzt worden sein, nachdem Proof-of-Concept-Code (PoC) veröffentlicht wurde. IT-Verantwortliche sollten prüfen, ob die Updates den Server über den angegebenen Build-Stand hinaus aktualisiert haben, und die Logs auf ungewöhnliche Anfragen, unerwartete Authentifizierungen und Zugriffe von bislang unbekannten Adressen untersuchen.

Die bloße Installation des Patches beweist nicht, dass ein System nicht bereits kompromittiert wurde. Ein exponiertes System sollte daher zusätzlich forensisch untersucht werden, insbesondere bei veränderten Konten, Webshells, neuen administrativen Aktivitäten oder unerwarteten Datenübertragungen.

VMware vCenter: Path Traversal im Syslog-Server

CVE-2026-59310 betrifft den Syslog-Server von VMware vCenter. Die Schwachstelle ist als CWE-22, Path Traversal, klassifiziert und hat einen CVSS-Score von 9.8.

Ein Angreifer mit Zugriff auf das vCenter-Netzwerk kann die vom Dienst verwendeten Pfade manipulieren und dadurch beliebigen Code ausführen. Betroffen sind folgende Produkte und Versionen:

• VMware vCenter Server < 8.0;
• VMware Telco Cloud Infrastructure 3.0;
• VMware Telco Cloud Platform <= 5.2;
• VMware Cloud Foundation;
• VMware vSphere Foundation.

Für VMware Cloud Foundation und VMware vSphere Foundation wird keine konkrete Versionsgrenze angegeben. Unternehmen sollten ihre Installation daher mit den Korrekturhinweisen des Herstellers abgleichen und nicht davon ausgehen, dass das Fehlen eines Builds im Katalog kein Risiko bedeutet.

Die Ausnutzung wird einer mutmaßlichen, mit China verbundenen APT-Gruppe zugeschrieben. Bei den beobachteten Eindringversuchen sollen eine Backdoor und Komponenten namens reverse_ssh installiert worden sein, die über Reverse-SSH-Verbindungen einen dauerhaften Zugriff ermöglichen. In mindestens einem Fall soll der Aktivität die Installation von von Babuk abgeleiteter Ransomware vorausgegangen sein.

Administratoren sollten nach nicht autorisierten Prozessen und Dateien, kürzlich hinzugefügten SSH-Schlüsseln, dauerhaften Verbindungen zu externen Infrastrukturen und Änderungen an Logging-Diensten suchen. Ein kompromittiertes vCenter ist als potenzieller Kontrollpunkt der gesamten virtualisierten Umgebung zu behandeln, nicht als isolierter Server.

Microsoft IKE: Mögliche Codeausführung auf Windows-Systemen

Die vierte Schwachstelle ist CVE-2026-33824, eine als CWE-415 klassifizierte Double-Free-Schwachstelle im Microsoft Internet Key Exchange (IKE) Service Extensions. Der CVSS-Score beträgt 9.8.

Ein nicht authentifizierter Remote-Angreifer kann über das Netzwerk Code ausführen. Betroffen sind:

• Windows 10 1607 < 10.0.14393.9060;
• Windows 10 1809 < 10.0.17763.8644;
• Windows 10 21H2 < 10.0.19044.7184;
• Windows 10 22H2 < 10.0.19045.7184;
• Windows 11 23H2 < 10.0.22631.6936;
• Windows 11 24H2 < 10.0.26100.8246;
• Windows 11 25H2 < 10.0.26200.8246;
• Windows 11 26H1 < 10.0.28000.1836;
• Windows Server 2016 < 10.0.14393.9060;
• Windows Server 2019 < 10.0.17763.8644;
• Windows Server 2022 < 10.0.20348.5020;
• Windows Server 2022 23H2 < 10.0.25398.2274.

Die Aktivitäten sollen von einer chinesischsprachigen Gruppe durchgeführt worden sein. Dieselbe Operation soll KI-gestützte autonome Hacking-Tools, darunter DeepSeek, mit manuellen Techniken kombiniert haben, die auf bereits bekannten Schwachstellen basieren.

Verteidiger sollten die Exponierung von VPN-Diensten und IKE-Schnittstellen dringend bewerten. Nach dem Update empfiehlt es sich, Authentifizierungsereignisse, ungewöhnliche Aushandlungen, von Netzwerkdiensten gestartete Prozesse und Verbindungen zu Adressen außerhalb der üblichen Betriebslisten zu untersuchen.

Überblick über die Aktivitäten und frühere KEV-Einträge

Die mit den vier Schwachstellen verbundenen Aktivitäten sollen 361 eindeutige Opfer-IP-Adressen in 47 Ländern betroffen haben. Die größten Konzentrationen wurden in Deutschland mit 55 Adressen, den USA mit 41, der Türkei mit 38, dem Iran mit 26 und Frankreich mit 25 beobachtet.

Die Zahlen entsprechen nicht zwangsläufig ebenso vielen Organisationen: Eine einzelne Einrichtung kann mehrere IP-Adressen verwenden, während dieselbe Infrastruktur Systeme mit unterschiedlichen Rollen beherbergen kann.

Die gleichzeitige Aufnahme von Produkten von Apple, Microsoft und VMware reiht sich außerdem in eine aktuelle Folge von KEV-Einträgen zu denselben Herstellern ein. In den vergangenen 90 Tagen wurden CVE-2026-50522, CVE-2026-58644, CVE-2026-45659, CVE-2026-11645 und CVE-2026-8398 aufgenommen. CVE-2026-45659 wird dabei mit Ransomware in Verbindung gebracht.

Für Microsoft enthält der Katalog außerdem CVE-2026-72898, CVE-2026-68820 und CVE-2026-20349. Vor diesem Hintergrund sollten die vier neuen Schwachstellen nicht als isolierte Vorfälle betrachtet werden.

Was Unternehmen tun sollten

Priorität haben die Installation der Herstellerkorrekturen und die Überprüfung, dass die tatsächlich installierten Versionen über den gefährdeten Schwellenwerten liegen. CISA verpflichtet FCEB-Behörden zur Einhaltung der BOD 26-04 und zur Bewertung des Risikos sowie der Internet-Exponierung jedes Assets.

Empfohlene Maßnahmen:

1. exponierte macOS-, SharePoint-, vCenter- und Windows-Systeme identifizieren;
2. Patches oder Mitigations gemäß den Anweisungen der jeweiligen Hersteller einspielen;
3. vor oder parallel zur Behebung eine forensische Triage durchführen;
4. Konten, Prozesse, SSH-Schlüssel, Logs und aktuelle Verbindungen überprüfen;
5. nach Minern, Backdoors, reverse_ssh-Binärdateien und Ransomware-Komponenten suchen;
6. das Produkt außer Betrieb nehmen, falls keine praktikablen Mitigations verfügbar sind.

Die Frist vom 21. August 2026 gilt für US-Bundesbehörden. Auch private Organisationen sollten diese vier CVEs jedoch priorisieren, da der KEV-Eintrag eine reale Ausnutzung und nicht nur eine theoretische Möglichkeit dokumentiert.