Sicherheitsbericht 7 Min. Lesezeit

Chromes erster 2026 Zero-Day + KI-Frameworks unter Angriff

Google patcht den ersten Chrome Zero-Day des Jahres 2026. KI-Agent-Frameworks wie OpenClaw werden jetzt von spezialisierten Infostealern angegriffen. Über 300 bösartige Browser-Erweiterungen mit 37 Millionen Downloads entdeckt. Währenddessen arbeitet CISA mit nur 38% Kapazität.

Kritisch: Chrome Zero-Day CVE-2026-2441

Aktiv in freier Wildbahn ausgenutzt — Chrome sofort aktualisieren

Google hat einen Notfall-Patch für die erste Chrome Zero-Day-Sicherheitslücke des Jahres 2026 veröffentlicht. Die Sicherheitslücke für beliebige Codeausführung wird aktiv ausgenutzt.

Detail	Information
CVE	CVE-2026-2441
Typ	Beliebige Codeausführung
Schweregrad	KRITISCH
Status	Aktiv in freier Wildbahn ausgenutzt
Lösung	Chrome 145 — Jetzt aktualisieren

Sofortige Maßnahmen

Chrome sofort auf Version 145 aktualisieren
Automatische Updates aktivieren, falls noch nicht aktiv
Temporäre Browser-Einschränkung in Betracht ziehen, bis das Patchen abgeschlossen ist

BeyondTrust RCE — Innerhalb von 24 Stunden ausgenutzt

CVE-2026-1731: Kritischer unauthentifizierter Remote Code Execution in BeyondTrust Remote Support. Die Ausnutzung begann innerhalb von 24 Stunden nach PoC-Veröffentlichung.

CISA Notfall-Direktive

CISA hat alle Bundesbehörden angewiesen, innerhalb von 3 Tagen zu patchen. Wenn Sie BeyondTrust verwenden, ist dies Ihre höchste Priorität.

Ivanti EPMM — Ein einzelner Akteur dominiert Angriffe

Sicherheitsforscher haben identifiziert, dass 83% aller Ivanti EPMM-Ausnutzungsversuche von einem einzelnen Bedrohungsakteur stammen. CVE-2026-1281 und CVE-2026-1340 werden weiterhin aktiv ausgenutzt.

Dieses konzentrierte Angriffsmuster deutet auf eine hochorganisierte Operation hin — patchen und überwachen Sie dringend.

KI-Frameworks jetzt unter Angriff

⚠️ Neue Bedrohung: Infostealer zielen auf KI-Agent-Frameworks

Sicherheitsforscher haben die erste bekannte Malware dokumentiert, die speziell auf OpenClaw und ähnliche KI-Agent-Frameworks abzielt. Die Malware stiehlt:

API-Schlüssel und Authentifizierungstoken
In Agent-Workspaces gespeicherte Geheimnisse
Konfigurationsdateien und Anmeldedaten

Dies ist eine bedeutende Entwicklung. Da agentenbasierte KI-Assistenten zum Mainstream werden, werden sie zu hochwertigen Zielen. Organisationen, die KI-Frameworks verwenden, sollten:

API-Schlüsselspeicherung und Rotationsrichtlinien prüfen
Secret-Scanning in CI/CD-Pipelines implementieren
Auf unbefugten Zugriff auf Agent-Konfigurationen überwachen
Kurzlebige Tokens verwenden, wo möglich

ClickFix-Angriffe entwickeln sich weiter — Jetzt über DNS

Drei neue ClickFix-Varianten, die diese Woche entdeckt wurden, zeigen schnelle Evolution:

Variante	Technik	Ziel
DNS-basiert (NEU)	Verwendet `nslookup` zum Abrufen von PowerShell-Payloads	Windows
Pastebin-Kommentare	Bösartiges JavaScript entführt Bitcoin-Transaktionen	Krypto-Benutzer
Claude LLM-Artefakte	Missbraucht KI-generierte Artefakte über Google Ads	macOS

Die DNS-basierte Technik ist besonders besorgniserregend — es ist die erste bekannte Verwendung von DNS als Payload-Delivery-Kanal für ClickFix-Kampagnen, die "ModeloRAT"-Malware bereitstellt. Microsoft hat eine Warnung herausgegeben.

300+ bösartige Browser-Erweiterungen — 37 Mio. Downloads

Prüfen Sie jetzt Ihre Browser-Erweiterungen

Sicherheitsforscher haben über 300 bösartige Browser-Erweiterungen mit insgesamt 37 Millionen Downloads identifiziert. Diese Erweiterungen leaken Daten, stehlen persönliche Informationen und verfolgen Benutzer.

Bemerkenswertes Beispiel: Die "CL Suite"-Erweiterung zielt auf Meta Business Suite-Benutzer ab und stiehlt 2FA TOTP-Codes und Business Manager-Anmeldedaten.

Empfohlene Maßnahmen

Alle installierten Browser-Erweiterungen prüfen
Erweiterungen mit übermäßigen Berechtigungen entfernen
Erweiterungen von verifizierten Herausgebern bevorzugen
Erweiterungs-Allowlists für Unternehmensumgebungen implementieren

Größte Datenpannen diese Woche

Organisation	Datensätze	Details
Odido (Niederländische Telekom)	6 Millionen	Namen, Adressen, Telefonnummern
Eurail B.V.	Unbekannt	Reisendendaten jetzt im Darkweb zum Verkauf
Canada Goose	600K	ShinyHunters — persönliche + Zahlungsdaten
LVMH (Vuitton/Dior/Tiffany)	5,5 Mio.	25 Mio. € Strafe in Südkorea

CISA arbeitet mit 38% Kapazität

Aufgrund des DHS-Shutdowns, der am 14. Februar begann, arbeitet CISA derzeit mit nur 888 von 2.341 Mitarbeitern. Dies reduziert die bundesstaatliche Cybersicherheitsaufsicht erheblich zu einem kritischen Zeitpunkt.

Organisationen sollten sich nicht darauf verlassen, dass bundesstaatliche Threat Intelligence in diesem Zeitraum so zeitnah ist. Erhöhen Sie die interne Überwachung und abonnieren Sie kommerzielle Threat-Feeds.

VoidLink: Neues Cloud-fokussiertes Malware-Framework

Ein neues Malware-Framework namens VoidLink wurde identifiziert, betrieben von Bedrohungsakteur UAT-9921 (aktiv seit 2019):

Geschrieben in: Zig-Programmiersprache
Ziel: Linux-Cloud-Umgebungen
Sektoren: Technologie und Finanzdienstleistungen
Bemerkenswert: Entwickler nutzte LLM-Unterstützung zum Erstellen von Internals

Heutige Zahlen

Metrik	Wert
Aktive Zero-Days	2 (Chrome, BeyondTrust)
Größere Datenpannen	4
Offengelegte Datensätze	12 Mio.+
Verhängte Strafen	25 Mio. €
Bösartige Erweiterungen	300+
Erweiterungs-Downloads	37 Mio.
CISA-Kapazität	38%

Heutige Prioritäten

JETZT PATCHEN: Chrome 145 (CVE-2026-2441) + BeyondTrust + Ivanti EPMM
PRÜFEN: Browser-Erweiterungen — Unbekannte entfernen
ÜBERPRÜFEN: KI-Framework-Sicherheit — API-Schlüssel-Hygiene
ÜBERWACHEN: DNS-basierte Payload-Lieferung (ClickFix-Evolution)
ERHÖHEN: Interne Bedrohungsüberwachung während CISA reduzierter Kapazität

Schützen Sie Ihre Organisation mit KENSAI

KI-gestütztes Schwachstellenmanagement mit 332.660+ indizierten CVEs.

Kostenlosen Scan starten

Bleiben Sie sicher. Bleiben Sie wachsam.

🗡️ KENSAI Sicherheitsteam