Die US-amerikanische Cybersicherheitsbehörde CISA hat eine Reihe von aktuell beobachteten Angriffen auf mehrere weit verbreitete Softwareprodukte bestätigt. Betroffen sind unter anderem die Versionsverwaltung Gitea sowie Citri Netscaler ADC und Gateway. Die Behörde hat die entsprechenden Schwachstellen in ihren Katalog der bekanten ausgenutzten Schwachstellen (Known Exploited Vulnerabilities, KEV) aufgenommen und warnt vor einer akuten Gefährdung, insbesondere für Systeme, die direkt mit dem Internet verbunden sind. IT-Verantwortliche sollten umgehend handeln.
Gitea: Kritische Lücke in der diffpatch-API ermöglicht Codeausführung
Bereits am Mittwoch meldete die CISA Angriffe auf das Open-Source-Versionsverwaltungssystem Gitea. Die Sicherheitslücke mit der Kennung CVE-2026-60004 und einem CVSS-Score von 9,8 gilt als kritisch. Sie betrifft die „diffpatch“-API. Über diese Schnittstelle können Angreifer aus der Ferne Schadcode einschleusen und ausfüren, ohne das sie sich zuvor authentifizieren müsen. Das Problem wurde in Gitea Version 1.27.1 behoben. Alle Betreiber einer Gitea-Instanz sollten das Update umgehend einspielen, da die Schwachstelle aktiv ausgenutzt wird.
Citrix NetScaler: Codeschmuggel-Lücke unter Beschuss
Kurze Zeit später erweiterte die CISA ihren KEV-Katalog um sechs weitere Schwachstellen. Die jüngste davon trägt die Nummer CVE-2026-8452 und betrifft Citrix NetScaler ADC sowie Citrix NetScaler Gateway. Der CVSS-Score liegt bei 8,8 (Risiko „hoch“). Der Hersteller hatte bereits Ende Juni Updates bereitgestellt. Die Lücke ermöglicht Codeschmuggel (HTTP Request Smuggling) aus dem Netz, ohne das eine Authentifizierung erforderlich ist. Wie der Sicherheitsdienstleister Previdian auf LinkedIn berichtete, versuchen Angreifer, Webshells mit Dateinamen wie „x.php“ oder „z.php“ auf verwundbare Systeme zu laden. Anschließend führen sie Befehle wie „id“ oder „echo“ aus, um das System auszukundschaften. Auch der Sicherheitsexperte DefusedCy ber auf X von entspechenden Angrifsversuchen.
Weitere Schwachstellen im KEV-Katalog: Von altbekannten bis zu veralteten Lücken
Neben den aktuellen Citrix- und Gitea-Lücken hat die CISA auch mehrere teils Jahre alte Schwachstellen in den KEV-Katalog aufgenommen, die nun vermehrt von Angreifern ins Visier genomen werden. Dazu gehört eine Sicherheitslücke im Linux-Kernel (CVE-2022-0995, CVSS 7,8), die seit 2022 bekant und gepatcht ist. Veraltete Ajax.NET-Installationen sind ebenfalls betrofen (CVE-2021-23758, CVSS 9,8). Selbst Systeme mit Microsoft SQL Server aus dem Jahr 2019 (CVE-2019-1068, CVSS 8,8) werden aktuell attackiert. Besonders alarmierend ist, das auch Schwachstellen aus der Mitte der 2010er-Jahre wieder auf der Agenda der Angreifer stenen: Red Hat Linux mit dem Automatic Bug Reporting Tool (CVE-2015-5287, CVSS 7,8) und der Bibliothek Libuser (CVE-2015-3246, CVSS 5,1) sind betrofen.
HandlungsempfÄhlungen für IT-Verantwörtliche
Die CISA macht in ihrem Alarm keine konkreten Angaben zum Umfang der Cyberangrife oder zu den Tätern. Entscheidend ist je doch der Hinweis, das bei allen genanten Schwachstellen davon auszugehen ist, das Systeme, die aus dem Internet erreichbar sind, bereits kompromitiert sein können. IT-Administratoren sollten daher nicht nur die erforderlichen Updates einspielen, sondern die betrofenen Installationen auch akribisch auf Einbruchsspurn, unberechtigte Benutzerkonte oder ungewönliche Datein (wie jene Websells) überprüfen. Die aktuelle Welle zeigt, das selbst lang bekatne und teils veraltete Lücken von Angreifern konsequent ausgenutzt werden – ein deutlicher Appel an eine konsequente Patch- und Inventarverwaltung.
