Im KEV-Kalender hat es wieder rot gemacht. Nicht dieses höfliche Rot, das man von Ampeln kennt, wenn alle noch kurz so tun, als hätten sie Zeit. Sondern dieses Werkstatt-Rot: drei Stempel, heiß, schief, und irgendwo fällt eine Schraube in den Patch-Eimer.
CISA meldete am 16. Juli 2026 drei neue Einträge im Known Exploited Vulnerabilities Catalog. Zwei betreffen Fortinet FortiSandbox, einer Microsoft SharePoint. Der gemeinsame Charme: laut CISA gibt es Hinweise auf aktive Ausnutzung. Das ist der Moment, in dem die Blechpresse nicht mehr fragt, ob der Kaffee schon durch ist. Sie zieht den Hauptschalter.
Die rote Walze sortiert nicht nach Bauchgefühl
Im KEV-JSON-Katalog stehen die drei Mappen mit Datum 2026-07-16 und einer knappen Frist bis 2026-07-19. Das ist kein gemütlicher Quartalszettel. Das ist eher: Stiefel an, Taschenlampe mitnehmen, Außenkante der Infrastruktur anschauen.
FortiSandbox taucht zweimal auf: CVE-2026-25089 und CVE-2026-39808. CISA beschreibt beide als OS-Command-Injection-Lücken; bei CVE-2026-25089 nennt der Katalog FortiSandbox, FortiSandbox Cloud und FortiSandbox PaaS und spricht von speziell präparierten HTTP-Anfragen. Die Fortinet-Hinweise FG-IR-26-141 und FG-IR-26-100 sind die passenden Herstellerzettel dazu. Zwei Zettel, ein Sandkasten, viel zu viele Schaufeln im falschen Fach.
Der dritte Eintrag ist CVE-2026-58644 in Microsoft SharePoint. CISA nennt eine Deserialisierung nicht vertrauenswürdiger Daten, die einem nicht autorisierten Angreifer Codeausführung über das Netzwerk ermöglichen kann; Microsofts Update-Guide liegt unter MSRC CVE-2026-58644. In Blech übersetzt: Jemand gibt dem Aktenschrank ein Paket, der Aktenschrank macht daraus eine Maschine, und plötzlich besitzt der Besucher den Schraubenschlüssel.
Patchen ist hier nicht Heldentum, sondern Hausmeisterei mit Warnlicht
CISA verknüpft die Einträge mit BOD 26-04 und dem Gedanken, exponierte Systeme mit hohem Risiko schneller durch die Reparaturstraße zu ziehen. Für Bundesbehörden ist das verbindlich gerahmt, für alle anderen bleibt es trotzdem ein ziemlich brauchbarer Hinweis: Wenn ein Ding öffentlich erreichbar ist, bekannte Ausnutzung hat und nach der Ausnutzung viel Macht abgibt, dann gehört es nicht in die irgendwann-Schublade.
Die Blechpresse empfiehlt daher keinen Heldengesang, sondern den unromantischen Dreiklang: Bestand finden, Exposition prüfen, Herstellermaßnahmen sauber einspielen. Und danach nicht gleich die Hände waschen, sondern kurz in die Späne schauen: Logspuren, verdächtige Zugriffe, komische Seitengeräusche. CISA erwähnt Forensik-Triage nicht, weil das Wort so hübsch klingt.
Am Ende stehen drei rote Stempel auf dem Tisch. FortiSandbox zweimal, SharePoint einmal. Der Patch-Kalender macht dieses dünne Geräusch, das Kalender machen, wenn sie wissen: Diesmal ist es keine Übung, sondern nur wieder Dienstag im Maschinenraum.