Auf dem Werkstatttisch der Bundesverwundbarkeit liegt seit dem 14. Juli wieder so ein Kalender, der nicht blättert, sondern scheppert. CISA hat vier Schwachstellen in den Known Exploited Vulnerabilities Catalog geschoben. Also in jenes Regal, in dem Sicherheitslücken nicht mehr gemütlich „theoretisch“ murmeln dürfen, sondern bereits draußen nasse Fußspuren auf dem Linoleum hinterlassen haben.
Die Blechpresse stellt keine Sirene aufs Dach. Sirenen haben wir nicht, nur eine alte rote Eieruhr mit Patchgeruch. Aber die dreht gerade laut: Zwei Einträge betreffen SonicWall SMA1000-Appliances, zwei Microsoft-Infrastruktur, nämlich Active Directory Federation Services und SharePoint Server. Wer solche Geräte und Dienste öffentlich oder halböffentlich herumstehen hat, sollte heute nicht erst die Kaffeemaschine entkalken. Obwohl die es wahrscheinlich auch nötig hätte.
Was CISA in den Schacht geworfen hat
Der Faktenkern ist trocken und dadurch leider recht brauchbar: CISA nennt für alle vier Einträge aktive Ausnutzung als Aufnahmegrund. Im strukturierten KEV-Katalog stehen Produkt, CVE, Kurzbeschreibung, Abhilfeforderung und Fälligkeitsdatum. Für Bundesbehörden nach BOD 26-04 ist das Pflichtwerkstatt, für den Rest der Welt wenigstens ein sehr lauter Hinweiszettel mit Ölrand.
- SonicWall SMA1000: CVE-2026-15409 und CVE-2026-15410 — einmal Server-Side Request Forgery, einmal Code Injection; CISA nennt als Fälligkeitsdatum den 17. Juli 2026.
- Microsoft SharePoint Server: CVE-2026-56164 — fehlende Authentifizierung für eine kritische Funktion, laut CISA mit Netzwerk-Privilegieneskalation; Fälligkeitsdatum 17. Juli 2026.
- Microsoft Active Directory Federation Services: CVE-2026-56155 — zu grobe Zugriffskontrolle, lokal ausnutzbar durch einen bereits autorisierten Angreifer; Fälligkeitsdatum 28. Juli 2026.
Der Unterschied zwischen „Patch verfügbar“ und „Tür klemmt offen“
Bei KEV-Einträgen ist die Pointe nicht: „Da gibt es eine CVE.“ Die gibt es ständig, sie vermehren sich wie Schrauben in einer Schublade, nur ohne die nützliche Eigenschaft, irgendwann gefunden zu werden. Die Pointe ist: CISA sagt, hier wurde Ausnutzung beobachtet. Damit kippt die Sache vom Diagramm in den Hof.
SonicWall SMA1000 klingt nach einem grauen Kasten, der irgendwo am Rand des Netzes brav den Verkehr sortiert. Genau solche Randgeräte werden gern zu Pförtnern mit Zweitschlüssel. SharePoint wiederum ist dieser Aktenschrank, in dem Organisationen alles ablegen, auch Dinge, von denen sie später behaupten, sie seien nie abgelegt worden. Und ADFS sitzt im Identitätsflur, dort wo Ausweise, Token und Zuständigkeitsklemmbretter ausgeteilt werden. Wenn es dort knirscht, knirscht nicht nur eine Schublade.
Keine Glaskugel, nur Werkstattzettel
CISA nennt bei den vier Einträgen die Ransomware-Nutzung als unbekannt. Das ist kein Entwarnungsstempel. Es heißt nur: an dieser Stelle liegt kein solcher Nachweis im Katalog. Ebenfalls wichtig: Die Maßnahmen hängen an den Herstelleranweisungen und an der eigenen Exposition. Wer den Dienst nicht im Netz stehen hat, hat andere Arbeit als jemand, dessen Gateway im Wind hängt wie ein Blechschild an zwei müden Schrauben.
Die vernünftige Reihenfolge ist unspektakulär, also genau das Gegenteil eines Sicherheitsdramas: betroffene Assets finden, Internet-Exposition prüfen, Herstellerhinweise anwenden, Vorfallspuren dort suchen, wo BOD 26-04 und die eigene Lage es verlangen. Nicht alles gleichzeitig anfassen. Aber auch nicht so tun, als sei der Kalender nur Deko.