Cisco IMC: Authentifizierungsumgehung mit CVSS 9,8, 14.000 F5 BIG-IP aktiven RCE-Angriffen ausgesetzt, ShareFile-Pre-Auth-Exploit-Kette, Chrome-Zero-Day behoben

Cisco veröffentlicht Notfall-Patches für zwei Schwachstellen mit CVSS 9,8 in IMC und SSM. Über 14.000 F5 BIG-IP-APM-Instanzen sind weiterhin aktiv ausgenutzten RCE-Angriffen ausgesetzt. Eine Pre-Auth-Exploit-Kette in Progress ShareFile bedroht 30.000 Instanzen. Google behebt einen aktiv ausgenutzten Chrome-Zero-Day. Stryker erholt sich von einem iranischen Wiper-Angriff. Lapsus$ reklamiert einen 4-TB-Datendiebstahl bei Mercor über die LiteLLM-Lieferkette für sich.

1. Cisco IMC & SSM: Zwei kritische Patches mit CVSS 9,8

Cisco veröffentlichte am Mittwoch Patches für zwei kritische Schwachstellen, durch die entfernte Angreifer ohne jegliche Authentifizierung die vollständige Kontrolle über betroffene Systeme erlangen könnten.

Umgehung der IMC-Authentifizierung (CVE-2026-20093)

Die erste Schwachstelle befindet sich in Ciscos Integrated Management Controller (IMC), der Out-of-Band-Verwaltungsschnittstelle, die auf mehreren Cisco-Hardwareplattformen eingesetzt wird. Die Schwachstelle beruht auf der fehlerhaften Verarbeitung von Anfragen zur Passwortänderung — ein Angreifer kann eine präparierte HTTP-Anfrage senden, um die Authentifizierung vollständig zu umgehen, das Passwort eines beliebigen Benutzers (einschließlich des Administrators) zu ändern und vollständigen Systemzugriff zu erhalten.

Zu den betroffenen Produkten gehören:

• 5000 Series ENCS — Behoben in 4.15.5
• Catalyst 8300 Series Edge uCPE — Behoben in 4.18.3
• UCS C-Series M5/M6 Rack Servers — Behoben in 4.3(2.260007), 4.3(6.260017), 6.0(1.250174)
• UCS E-Series M3/M6 — Behoben in 3.2.17 / 4.15.3

Befehlsinjektion in SSM On-Prem (CVE-2026-20160)

Die zweite kritische Schwachstelle betrifft Smart Software Manager On-Prem (SSM On-Prem). Dort ermöglicht eine unbeabsichtigt zugängliche interne Dienst-API nicht authentifizierten Angreifern, beliebige Betriebssystembefehle mit Root-Rechten auszuführen. Behoben in SSM On-Prem Version 9-202601.

Bislang wurde keine der beiden Schwachstellen in freier Wildbahn ausgenutzt. Angesichts der jüngsten Instrumentalisierung von Cisco-Schwachstellen durch Bedrohungsakteure ist eine sofortige Installation der Patches jedoch unerlässlich.

2. Über 14.000 F5 BIG-IP-APM-Instanzen unter aktivem RCE-Angriff

Eine fünf Monate alte Schwachstelle in F5s BIG-IP Access Policy Manager (APM) wurde von einer Denial-of-Service-Schwachstelle zu einer Schwachstelle für entfernte Codeausführung hochgestuft, nachdem F5 die aktive Ausnutzung in freier Wildbahn bestätigt hatte.

Die neuesten Scans von Shadowserver zeigen über 17.100 IP-Adressen mit BIG-IP-APM-Fingerprints, die über das Internet erreichbar sind; mehr als 14.000 davon sind weiterhin verwundbar. Dies gilt trotz der Anordnung der CISA an US-Bundesbehörden, die Schwachstelle bis zum 31. März zu beheben.

F5 hat Kompromittierungsindikatoren veröffentlicht und empfiehlt Verteidigern, Festplatteninhalte, Protokolle und den Terminalverlauf auf Anzeichen einer Kompromittierung zu prüfen. Besonders wichtig: F5 warnt davor, dass UCS-Sicherungen, die nach einer Kompromittierung erstellt wurden, persistente Schadsoftware enthalten können — betroffene Systeme sollten von Grund auf mit nachweislich vertrauenswürdigen Konfigurationen neu aufgebaut werden.

3. Pre-Auth-RCE-Exploit-Kette in Progress ShareFile

Forscher von watchTowr haben eine verheerende Exploit-Kette in Progress ShareFile offengelegt, einer von großen Organisationen häufig eingesetzten Plattform für den Dateiaustausch in Unternehmen. Zwei Schwachstellen in der Komponente Storage Zones Controller (SZC) lassen sich zu einer nicht authentifizierten entfernten Codeausführung verketten.

Die Angriffskette

1. CVE-2026-2699 (Authentifizierungsumgehung) — Die unsachgemäße Verarbeitung von HTTP-Weiterleitungen gewährt Zugriff auf die ShareFile-Administrationsoberfläche
2. Der Angreifer verändert die Konfiguration der Storage Zone, einschließlich der Dateispeicherpfade und geheimen Passphrasen der Zone
3. CVE-2026-2701 (RCE) — Die Funktionen zum Hochladen und Extrahieren von Dateien werden missbraucht, um ASPX-Webshells im Webroot der Anwendung abzulegen

Die Scans von watchTowr identifizierten ungefähr 30.000 Storage-Zone-Controller-Instanzen, die über das öffentliche Internet erreichbar sind. Shadowserver erfasst dagegen etwa 700 direkt exponierte Instanzen, hauptsächlich in den USA und Europa.

Progress veröffentlichte am 10. März Patches in ShareFile 5.12.4. Angesichts der Vergangenheit, in der Ransomware-Gruppen Schwachstellen in Dateiübertragungslösungen ausnutzten (Clops Angriffe auf MOVEit, GoAnywhere, Cleo usw.), sollten Organisationen dies als dringend behandeln.

4. Chrome-Zero-Day CVE-2026-5281 wird aktiv ausgenutzt

Google hat ein Chrome-Update veröffentlicht, das 21 Schwachstellen behebt, darunter CVE-2026-5281, einen aktiv ausgenutzten Zero-Day in der Dawn-WebGPU-Implementierung. Die Dawn-Komponente übernimmt die GPU-Abstraktion für Webgrafiken, was sie zu einem besonders gefährlichen Angriffsvektor für Drive-by-Angriffe über bösartige Webseiten macht.

Benutzer sollten Chrome sofort aktualisieren. Unternehmensadministratoren sollten das Update über ihre Verwaltungssysteme verteilen.

5. Stryker erholt sich von iranischem Wiper-Angriff — 80.000 Geräte gelöscht

Der Medizintechnikriese Stryker Corporation (Fortune 500, 22,6 Milliarden US-Dollar Umsatz) gab bekannt, drei Wochen nach einem verheerenden Datenlöschangriff der mit Iran verbundenen Hacktivistengruppe Handala wieder vollständig betriebsbereit zu sein.

Die Angreifer kompromittierten ein Windows-Domänenadministratorkonto, erstellten ein neues globales Administratorkonto und löschten am 11. März fast 80.000 Geräte. Handala behauptete, vor der Löschung 50 Terabyte Daten exfiltriert zu haben.

Die Folgen lösten koordinierte Reaktionen der CISA (Veröffentlichung von Leitlinien zur Absicherung von Intune), von Microsoft (Veröffentlichung bewährter Verfahren für die Intune-Sicherheit) und des FBI (Beschlagnahmung der Datenleck-Websites von Handala) aus. Ermittler entdeckten außerdem eine zuvor unbekannte schädliche Datei, die verwendet wurde, um die Aktivitäten der Angreifer im Netzwerk zu verbergen.

6. Lapsus$ reklamiert 4-TB-Datendiebstahl bei Mercor über LiteLLM-Lieferkette für sich

Das KI-Rekrutierungsunternehmen Mercor untersucht einen von der Gruppe Lapsus$ beanspruchten Sicherheitsvorfall. Die Gruppe behauptet, 4 Terabyte Daten gestohlen zu haben. Der Angriffsvektor scheint eine Kompromittierung der Lieferkette über LiteLLM zu sein, eine quelloffene LLM-Proxy-Bibliothek, die von vielen KI-Unternehmen verwendet wird, um API-Aufrufe an verschiedene Anbieter weiterzuleiten.

Dies unterstreicht das wachsende Risiko von Angriffen auf KI-Lieferketten — wenn Unternehmen LLM-Werkzeuge in ihre Infrastruktur integrieren, wird jede Abhängigkeit zu einem potenziellen Einstiegspunkt. Organisationen, die LiteLLM einsetzen, sollten ihre Installationen überprüfen und nach Kompromittierungsindikatoren suchen.

Ebenfalls im Blickpunkt

Matrix der Patch-Prioritäten