Im Presswerk stehen zwei Formularschächte. Sie sehen aus, als hätten sie seit 2007 jede Bewerbung, jedes PDF und vermutlich auch drei schlecht gelaunte Faxgeräte anstandslos gefressen. Jetzt hat jemand bemerkt: Die Dinger nehmen nicht nur Papier. Sie nehmen offenbar auch alles, was nach Datei aussieht und genügend Selbstbewusstsein mitbringt.
Am 10. Juli hat die US-Cybersicherheitsbehörde CISA zwei Schwachstellen in ihren Katalog der Known Exploited Vulnerabilities aufgenommen: CVE-2026-48939 für iCagenda und CVE-2026-56291 für Balbooa Forms. CISA beschreibt beide als unbeschränkte Upload-Schwachstellen für gefährliche Dateitypen und begründet die Aufnahme mit Hinweisen auf aktive Ausnutzung. Das ist keine kleine Roststelle am Rand des Formulars, sondern die Nachricht, dass der Einwurfschlitz gerade Besuch bekommt.
Ein Upload ist kein Briefkasten mit Vertrauensvorschuss
Wer die beiden Komponenten betreibt, sollte nicht erst die Maschinenmusik bewundern. Zuerst gehört auf den Tisch: Welche Instanzen laufen überhaupt, welche Version steckt dahinter, und welche Upload-Wege hängen daran? Danach kommen die Herstellerhinweise, Updates und die Frage, ob der Formularschacht nur die Dateien annimmt, die er wirklich annehmen soll. Klingt unerquicklich. Ist es auch. Sicherheit ist selten der Teil der Werkstatt, an dem jemand Konfetti bestellt.
Der KEV-Katalog ist dabei kein Orakel und kein hübscher Link für die Fußleiste. CISA führt dort Schwachstellen, für die es Hinweise auf aktive Ausnutzung gibt. Für Bundesbehörden in den USA sind die zugehörigen Vorgaben besonders verbindlich; für alle anderen bleibt die praktische Botschaft erfreulich unpoetisch: Wenn ein verwundbarer Upload vor der Haustür steht, sollte man nicht erst warten, bis der Schacht auch noch höflich klingelt.
Die Reihenfolge ist diesmal wichtiger als der Schraubenschlüssel
Inventarisieren. Betroffene Installationen mit den Angaben der Anbieter abgleichen. Sicherheitsupdates und empfohlene Abhilfen prüfen. Und wenn Dateien von außen angenommen werden: Berechtigungen, erlaubte Dateitypen und die Verarbeitungskette nicht wie eine alte Kiste hinter der Presse behandeln. Der satirische Teil endet leider dort, wo produktive Formulare anfangen.
Die zwei Schächte im Bild dürfen weiter rosten. Die echten sollten jetzt wenigstens wissen, was sie nicht mehr schlucken dürfen.