Kritische Zero-Day-Schwachstelle in SolarGate VPN betrifft mehr als 40.000 Geräte. Lieferkettenangriff kompromittiert über 600 EU-Hersteller. Apache-Tomcat-RCE innerhalb von 48 Stunden als Waffe eingesetzt. AI-gestütztes Phishing zielt auf Finanzteams.
Die Cybersicherheitslage hat sich heute drastisch verschärft, da Betreiber kritischer Infrastrukturen mit einem perfekten Sturm konfrontiert sind: einer Zero-Day-Schwachstelle in weitverbreiteten VPN-Appliances, einem ausgeklügelten Lieferkettenangriff auf die europäische Fertigungsindustrie und einer Kaskade von Ransomware-Vorfällen, die die gestern offengelegte Apache-Tomcat-Schwachstelle ausnutzen. Da die Durchsetzung von NIS2 nun in der gesamten EU begonnen hat, unterstreichen die heutigen Vorfälle die Dringlichkeit der Verordnung.
Mandiant hat eine kritische, vor der Authentifizierung ausnutzbare Schwachstelle zur Remotecodeausführung (CVSS 9.9) in SolarGate-VPN-Appliances offengelegt, die weltweit von mehr als 12.000 Organisationen eingesetzt werden. Die Schwachstelle ermöglicht es nicht authentifizierten Angreifern, beliebigen Code auszuführen und dauerhaften Zugriff einzurichten.
CVSS-Bewertung: 9.9 (Kritisch) | Frist: Innerhalb von 24 Stunden patchen
Die Schwachstelle betrifft die SolarGate-VPN-Versionen 8.2 bis 9.4. Mandiant schreibt die Angriffskampagne UNC5174 zu, einer finanziell motivierten Bedrohungsgruppe mit mutmaßlichen Verbindungen zu osteuropäischen Cybercrime-Netzwerken. In freier Wildbahn beobachtete Angriffsketten zeigen, dass Angreifer innerhalb von vier Minuten nach der Erstkompromittierung Web-Shells bereitstellen, anschließend Zugangsdaten abgreifen und sich lateral zu Domänencontrollern bewegen.
Auswirkungen von NIS2: Wesentliche und wichtige Einrichtungen, die betroffene Geräte einsetzen, unterliegen gemäß Artikel 23 unverzüglichen Meldepflichten. Organisationen haben 24 Stunden Zeit, erste Anzeichen eines Sicherheitsvorfalls zu melden, und 72 Stunden für detaillierte Bewertungen.
/api/v2/system/update mit nicht standardmäßigen User-Agent-ZeichenfolgenGeschätzte Auswirkungen: Mehr als 40.000 exponierte Geräte; allein in der EMEA-Region über 800 bestätigte Kompromittierungen.
Forscher von ESET haben einen ausgeklügelten Lieferkettenangriff auf FirmwareHub aufgedeckt, eine Softwarevertriebsplattform, die von mehr als 600 europäischen Herstellern industrieller Anlagen genutzt wird. Die Angreifer kompromittierten die Code-Signing-Infrastruktur von FirmwareHub und verbreiteten trojanisierte Firmware-Updates für speicherprogrammierbare Steuerungen (SPS), die in der Automobil-, Pharma- und Lebensmittelindustrie eingesetzt werden.
Die schädliche Firmware enthält eine Hintertür namens „IndustrialGhost“, die Fernzugriff auf die Verwaltungsoberflächen der SPS ermöglicht. Anders als herkömmliche Malware arbeitet IndustrialGhost vollständig innerhalb legitimer SPS-Aktualisierungsmechanismen. Dadurch ist die Erkennung ohne spezialisierte Sicherheitstools für industrielle Steuerungssysteme (ICS) äußerst schwierig.
Die Hintertür kommuniziert über MQTT – ein in industriellen IoT-Umgebungen häufig verwendetes Protokoll. Dadurch können Angreifer schädlichen Datenverkehr im legitimen Datenverkehr der Betriebstechnik (OT) verbergen.
Dieser Vorfall stellt die Anforderungen an die „Sicherheit der Lieferkette“ gemäß Artikel 21 von NIS2 unmittelbar auf die Probe. Betroffene Organisationen müssen:
Für DORA-regulierte Finanzinstitute, die betroffene Geräte in Rechenzentren oder Betriebsstätten einsetzen, handelt es sich um einen „schwerwiegenden IKT-bezogenen Vorfall“, der unverzüglich den Aufsichtsbehörden gemeldet werden muss.
Geschätzte Auswirkungen: Mehr als 600 Organisationen und über 12.000 kompromittierte SPS in der DACH-Region, Frankreich und den Benelux-Ländern.
Die gestern offengelegte CVE-2026-20103, eine kritische Schwachstelle zur Remotecodeausführung in Apache Tomcat 9.0.0 bis 10.1.28, wurde von RansomCartel innerhalb von 48 Stunden als Waffe eingesetzt. Die Schwachstelle ermöglicht es nicht authentifizierten Angreifern, über eine Path-Traversal-Schwachstelle in der Verarbeitung von Datei-Uploads durch Tomcat schädliche JSP-Dateien hochzuladen.
Sicherheitsunternehmen melden mehr als 2.400 Ausnutzungsversuche gegen mit dem Internet verbundene Tomcat-Server. RansomCartel setzte seine Ransomware-Variante „Havoc3“ ein, die nun vor Beginn der Verschlüsselung automatisch Daten zu versteckten Tor-Diensten exfiltriert – eine Taktik, mit der der Druck bei Erpressungsverhandlungen maximiert werden soll.
Warum dies für NIS2 relevant ist: Tomcat ist in der europäischen Webinfrastruktur allgegenwärtig. Organisationen, die anfällige Versionen einsetzen, stehen vor zwei Compliance-Herausforderungen:
../, ..\, codierte Varianten/webapps/-VerzeichnissenEuropäische Datenschutzbehörden weisen Organisationen darauf hin, dass Lösegeldzahlungen gegen Artikel 32 der GDPR (Sicherheit der Verarbeitung) und möglicherweise gegen Sanktionsvorschriften verstoßen können, wenn Zahlungen an sanktionierte Einrichtungen weitergeleitet werden.
Mehrere europäische Finanzinstitute melden eine Welle hochentwickelter Phishing-Angriffe, bei denen große Sprachmodelle (LLMs) eingesetzt werden, um kontextuell perfekte Versuche zur Kompromittierung geschäftlicher E-Mail-Kommunikation (BEC) zu erstellen. Angreifer nutzen ausgelesene LinkedIn-Profile, Daten zu Unternehmenshierarchien und Zeitpläne der Finanzberichterstattung, um E-Mails zu generieren, die von legitimer Kommunikation nicht zu unterscheiden sind.
Ein in Luxemburg ansässiger Vermögensverwalter erhielt eine angeblich von seinem CFO stammende E-Mail, in der eine dringende Überweisung von 2,4 Mio. € für eine „Akquisitionsanzahlung“ vor einer für den 7. März angesetzten Vorstandssitzung gefordert wurde. Die E-Mail verwies korrekt auf:
Nur eine Überprüfung über einen separaten Kommunikationskanal (Telefonanruf) verhinderte die Überweisung.
Relevanz für NIS2: Artikel 20 (Maßnahmen zum Management von Cybersicherheitsrisiken) schreibt ausdrücklich „Schulungen zur Sicherheitsbewusstseinsbildung“ vor. Organisationen müssen nun nachweisen, dass ihre Schulungen AI-gestütztes Social Engineering und nicht nur herkömmliches Phishing behandeln.
Die heutigen Vorfälle ereignen sich zu einem Zeitpunkt, an dem die EU-Mitgliedstaaten ihre Mechanismen zur Durchsetzung von NIS2 ausbauen. Das deutsche BSI kündigte diese Woche seine erste Untersuchung wegen Nichteinhaltung an, und die niederländischen Behörden bestätigten, dass sie zwölf Voruntersuchungen zu den Frameworks für das Management von Cybersicherheitsrisiken in Organisationen eingeleitet haben.
Organisationen, die NIS2 weiterhin als „Compliance-Checkliste“ statt als grundlegenden Wandel ihrer Sicherheitsstrategie betrachten, riskieren Strafen von bis zu 10 Millionen € oder 2 % ihres weltweiten Umsatzes – je nachdem, welcher Betrag höher ist.
Das Zusammentreffen von regulatorischem Druck und hochentwickelten Angreifern lässt keinen Raum für Selbstzufriedenheit. Das heutige Briefing unterstreicht eine ernüchternde Realität: Cybersicherheit ist nicht länger nur eine technische Herausforderung – sie ist ein existenzielles Geschäftsrisiko mit direkten rechtlichen Konsequenzen.
Bleiben Sie wachsam. Patchen Sie sofort. Melden Sie transparent.
AI-gestütztes Schwachstellenmanagement mit mehr als 332.487 indexierten CVEs.
Kostenlose Testversion startenBleiben Sie sicher. Bleiben Sie wachsam.
🗡️ KENSAI-Sicherheitsteam
🛡️ Ist Ihre Website sicher?
Entdecken Sie Schwachstellen, bevor Angreifer es tun.
Ihre Website kostenlos scannen →