CISA: Fünf ausgenutzte Lücken, ScreenConnect mit CVSS 9,9

Die US-Cybersicherheitsbehörde CISA hat mit Einträgen vom 10. und 11. September 2026 fünf Schwachstellen in ihren Katalog bekannter ausgenutzter Sicherheitslücken (Known Exploited Vulnerabilities, KEV) aufgenommen und dabei jeweils auf Belege für laufende Angriffe verwiesen. Zwei der Lücken stecken in JFrog Artifactory, eine in ConnectWise ScreenConnect, zwei in MikroTik RouterOS.

Die schwerste ist CVE-2026-84869 in ScreenConnect, die die US-Schwachstellendatenbank NVD auf der Skala CVSS 3.1 mit 9,9 bewertet. Laut KEV-Eintrag erlaubt eine fehlerhafte Rechteverwaltung in Verbindung mit einer fehlenden Autorisierungsprüfung, über eine aktive Fernwartungssitzung ohne Berechtigung Dateien zu übertragen und Code auszuführen. ConnectWise verortet das Problem im ScreenConnect-Client, nicht im Server, und hat es in Version 26.6.5 behoben. Die von der CISA gesetzte Frist für US-Bundesbehörden endete am 14. September 2026 — die kürzeste in diesem Paket.

Die Fristen liefen gestaffelt statt einheitlich. Für die beiden RouterOS-Lücken war der 13. September Stichtag: CVE-2026-67277, eine fehlende Authentifizierung im btest-Dienst, über die Kernel-Speicher ausgelesen oder ein Dienstausfall ausgelöst werden kann, sowie CVE-2026-86060, ein Fehler bei der Argumentverarbeitung im SSH-Anmeldepfad, der über die Änderung der vertrauenswürdigen Policy-Maske zu erweiterten Rechten führt. Die NVD bewertet beide auf zwei Skalen, die nicht übereinstimmen: CVE-2026-67277 liegt bei 8,2 nach CVSS 3.1 und 8,8 nach CVSS 4.0, CVE-2026-86060 bei 9,8 nach CVSS 3.1 und 9,2 nach CVSS 4.0. Das polnische Notfallteam CERT Polska erklärte, es habe Angriffe auf aus dem Internet erreichbare RouterOS-Geräte beobachtet. Für die Artifactory-Einträge galt der 25. September: CVE-2026-42016 (CVSS 8,1), Rechteausweitung durch Umgehung des Token-Geltungsbereichs, und CVE-2026-42018 (CVSS 7,5), das bei deaktiviertem anonymem Zugriff ein internes Token für anonyme Nutzer an nicht authentifizierte Aufrufer zurückgeben kann.

Es handelt sich um Infrastruktur, nicht um Desktop-Software. Artifactory verwaltet die Build-Artefakte, aus denen Software-Lieferketten entstehen; ScreenConnect ist die Fernwartungskonsole, mit der IT-Abteilungen und Managed-Service-Provider auf Kundenrechner zugreifen; MikroTik-Geräte stehen am Netzwerkrand. The Hacker News berichtete am 12. September 2026, der zu Google gehörende Sicherheitsanbieter Wiz habe beobachtet, wie Angreifer zwischen dem 15. August und dem 8. September die beiden neuen Artifactory-Lücken mit CVE-2026-82329 kombinierten — einer Schwachstelle, die die CISA bereits am 2. September mit Frist zum 5. September in den KEV-Katalog aufgenommen hatte. Sie erlangten demnach administrative Kontrolle über verwundbare Instanzen, legten dauerhafte Administratorkonten an, spielten bösartige Groovy-Plugins ein und installierten in Rust geschriebene Hintertüren. Die Sicherheitsfirma Huntress dokumentierte unabhängig davon drei voneinander unabhängige ScreenConnect-Vorfälle, bei denen Angreifer eine schädliche VBScript-Nutzlast an neu verbundene Systeme ausspielten. Genau darin liegt der praktische Punkt: Wer nur patcht, ohne Konten zu prüfen, lässt den Zugang der Angreifer möglicherweise bestehen.

Offen bleibt: Die CISA nennt keine Zahl tatsächlich kompromittierter Organisationen, Server oder Geräte, und die vorliegenden Berichte sprechen lediglich von unbekannten Angreifern, ohne Zuordnung. Ein belegter Angriffszeitraum existiert nur für die Artifactory-Kette; wann die Aktivitäten gegen ScreenConnect und RouterOS begannen, ist nicht bekannt. Die KEV-Fristen binden rechtlich nur US-Bundesbehörden; die CISA empfiehlt allen Organisationen, den Katalog als Prioritätenliste für Patches zu nutzen.