Die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) hat am 20. Oktober 2026 offiziell sechs neue Schwachstellen in ihren Known Exploited Vulnerabilities (KEV) Catalog aufgenommen. Diese Aufnahme basiert auf nachgewiesener aktiver Ausnutzung durch bösartige Akteure. Unter den neu gelisteten Einträgen befinden sich vier kritische Lücken in der Plex Media Server-Software, die von Angreifern in sogenannten Plex2Shell-Angriffsketten genutzt werden, um Server zu kompromittieren. Zusätzlich wurden Schwachstellen in EG Secure Solutions SiteGuard Server Edition und Siemens Software Center in den Katalog aufgenommen.

Die in den Katalog aufgenommenen Plex-Schwachstellen umfassen CVE-2026-96652 und CVE-2026-96655, bei denen es sich um Server-Side Request Forgery (SSRF)-Lücken handelt. Zudem listet CISA CVE-2026-96654, eine Schwachstelle zur unsachgemäßen Neutralisierung von URI-Schemata in Webseiten, sowie CVE-2026-96656, eine externe Steuerung von Dateinamen oder Pfaden. Die Kombination dieser Fehler ermöglicht es Angreifern, die Server-Infrastruktur zu übernehmen. CISA warnt explizit davor, dass diese Angriffe aktiv stattfinden und die Sicherheit der betroffenen Systeme unmittelbar gefährden.

Für den öffentlichen Dienst in den USA hat CISA die Binding Operational Directive (BOD) 26-04 erlassen, die die Priorisierung von Sicherheitsupdates basierend auf dem Risiko festlegt. Diese Richtlinie verpflichtet Bundesbehörden dazu, schnelle Remediation-Maßnahmen für Hochrisiko-Schwachstellen durchzuführen, insbesondere für solche, die im KEV-Katalog gelistet sind und auf öffentlich zugänglichen Assets liegen, die nach der Ausnutzung die totale Kontrolle über das Asset gewähren. Die Richtlinie definiert zudem Erwartungen daran, wann Behörden prüfen müssen, ob Angreifer das System vor der Anwendung des Patches kompromittiert haben könnten.

Obwohl BOD 26-04 nur für Federal Civilian Executive Branch (FCEB) Behörden gilt, ermutigt CISA alle Organisationen dazu, risikobasiertes Schwachstellenmanagement zu übernehmen und die Remediation von im KEV-Katalog aufgeführten Schwachstellen zu priorisieren. Die Aufnahme in den Katalog erfolgt nur, wenn eine CVE-ID, Nachweise für die Ausnutzung und klare Mitigationsrichtlinien vorliegen. Organisationen, die von einer ausgenutzten Schwachstelle betroffen sind, die noch nicht im Katalog gelistet ist, können diese über das CISA KEV Nomination Form zur Prüfung vorschlagen.

Quellen

• CISA: Hackers chain Plex flaws in Plex2Shell attacks to breach servers
• CISA Adds Six Known Exploited Vulnerabilities to Catalog