← Zurück zum Blog

Sicherheitsbriefing, 18. April 2026: ActiveMQ-Ausnutzung, Windows-Zero-Days und LSASS-Patch-Folgen

Das heutige Sicherheitsbriefing bündelt drei konkrete Signale: CISA warnt vor ausgenutztem Apache ActiveMQ, Huntress sieht geleakte Windows-Privilege-Escalation-Zero-Days in realen Intrusionen und Microsoft bestätigt LSASS-Crash-Loops auf einigen gepatchten Domain Controllern.

---

---

1. ActiveMQ ist von der Patch-Queue in aktive Ausnutzung gerutscht

CISA hat CVE-2026-34197 in den KEV-Katalog aufgenommen, nachdem aktive Ausnutzung bestätigt wurde. Der Fehler betrifft Apache ActiveMQ Classic, entsteht durch fehlerhafte Eingabevalidierung und erlaubt authentifizierte Remote Code Execution. Apache hat in 6.2.3 und 5.19.4 gepatcht, aber exponierte Broker bleiben ein leichtes Ziel. Shadowserver verfolgt weiter mehr als 7.500 internetseitige Systeme.

• Alle exponierten ActiveMQ-Classic-Knoten sofort patchen und die laufende Version verifizieren, nicht nur das Ticket schließen.
• Broker-Logs auf verdächtige Nutzung von brokerConfig=xbean:http:// und VM-Transport prüfen.
• Ist ein Broker internetexponiert und geschäftskritisch, Post-Exploitation als real annehmen, bis das Gegenteil bewiesen ist.

---

2. Geleakte Windows-Zero-Days sind jetzt Teil echter Hands-on-Intrusionen

Huntress meldet BlueHammer-, RedSun- und UnDefend-Techniken in freier Wildbahn. BlueHammer wurde im April gepatcht, aber RedSun und UnDefend haben noch keine vollständigen Vendor-Fixes. Beobachtet wurde unter anderem ein kompromittierter SSL-VPN-Benutzer mit anschließendem interaktivem Angreiferverhalten. Das sind also keine reinen GitHub-PoCs mehr.

• Jeden jüngsten VPN-Ursprung als mögliches Privilege-Escalation-Standbein behandeln, besonders auf Windows-Hosts mit aktiviertem Defender.
• Nicht davon ausgehen, dass April Patch Tuesday diesen Cluster vollständig geschlossen hat. Zwei Techniken brauchen weiter Kompensationsmaßnahmen und enges Monitoring.
• Endpoint-Beweise vor der Bereinigung sichern, wenn unterdrückte Defender-Updates und plötzliche SYSTEM-Aktionen zusammen auftreten.

---

3. Das April-Server-Patching bringt auch eine Verfügbarkeitsfalle mit

Microsoft hat bestätigt, dass KB5082063 auf einigen nicht als Global Catalog konfigurierten Domain Controllern in Privileged-Access-Management-Umgebungen LSASS-Abstürze und Reboot-Loops auslösen kann. Damit wird ein normales Security-Rollout zum Identitäts-Ausfallrisiko. Das ist relevant, weil instabile Authentifizierung den Sicherheitsgewinn schneller Patches sofort wieder zerstören kann.

• Breiten Rollout auf PAM-gebundenen Non-GC-Domain-Controllern pausieren, bis die Umgebung gegen Microsofts Bedingungen geprüft ist.
• Security- und Identity-Teams vor Patch-Wellen gemeinsam abstimmen, weil das Risiko jetzt Exploitbarkeit plus Authentifizierungsfehler ist.
• Rollback- und Support-Pfade vorbereiten, bevor Domain Controller angefasst werden, die früh im Startvorgang Authentifizierung bedienen.

---

Was Security-Teams heute tun sollten

1. Zuerst die ActiveMQ-Notfall-Triage abschließen, besonders bei exponierten Brokern und älteren Classic-Deployments.
2. Nach BlueHammer-, RedSun- und UnDefend-Artefakten suchen, überall dort, wo jüngster VPN-Zugriff oder Admin-Eskalation verdächtig wirkt.
3. Prüfen, ob PAM-Domain-Controller im Scope sind, bevor KB5082063 weiter ausgerollt wird.
4. Der Führung ein klares Update schicken, das Exploit-Druck und Patch-Instabilität sauber trennt.

---

Bottom line: Reife Verteidigung heißt heute, mit drei Geschwindigkeiten gleichzeitig zu arbeiten: den internetexponierten Broker patchen, den Windows-Foothold jagen und jeden Rollout bremsen, der Identität offline nehmen kann.