Technologie
CISA nimmt sechs aktiv ausgenutzte Schwachstellen in den KEV-Katalog auf, darunter Barracuda, Chromium und Outlook
Die CISA hat am 10. November sechs aktiv ausgenutzte Schwachstellen in ihren Katalog bekannter ausgenutzter Schwachstellen aufgenommen; für die beiden Barracuda-Einträge gilt für zivile Bundesbehörden der USA eine Frist bis zum 13. November.
Die Cybersecurity and Infrastructure Security Agency (CISA) der USA hat am Dienstag, 10. November 2026, sechs bereits ausgenutzte Schwachstellen in ihren Katalog bekannter ausgenutzter Schwachstellen (Known Exploited Vulnerabilities, KEV) aufgenommen. Zwei betreffen Produkte von Barracuda Networks und haben eine Frist zur Behebung von nur drei Tagen, bis Freitag, 13. November. Die übrigen vier, in Googles Chromium, Microsofts Outlook, Cisco BroadWorks und Openwaves Webtop Media Transcoder, müssen bis Dienstag, 24. November, behoben sein.
Die Frist gilt nur für die zivilen Bundesbehörden der US-Exekutive außerhalb des Militärs (FCEB) gemäß der Direktive BOD 26-04 zur risikobasierten Priorisierung von Sicherheitsupdates. Für die beiden Barracuda-Einträge verlangt der Katalog außerdem eine forensische Triage, das heißt die Untersuchung der Geräte auf Spuren einer Kompromittierung. Bei allen sechs Einträgen ist der Einsatz bei Ransomware-Angriffen als unbekannt verzeichnet.
Das Barracuda-Paar
Der dringendste Fall ist ein Paar von Schwachstellen, die zu einer einzigen Angriffskette kombiniert werden können. CVE-2026-116606 betrifft das Barracuda Email Security Gateway (ESG), die E-Mail-Schutzappliance. Es handelt sich um eine Umgehung der Authentifizierung: Ein Angreifer ohne Konto kann die Funktion zum Importieren der Konfiguration aufrufen, eine speziell präparierte Sicherungsdatei einspielen und die globalen Einstellungen der Appliance unbefugt ändern. Barracuda bewertet sie mit 9,3 von 10 Punkten und stellt klar, dass der Angriff keine Authentifizierung erfordert, wohl aber Zugang zur Verwaltungsschnittstelle der Appliance.
Die zweite, CVE-2026-111560, ist eine Befehlsinjektion auf Betriebssystemebene über das Feld für die Zeitzone. Ein Angreifer mit Administratorrechten kann Befehle einschleusen, die mit Root-Rechten ausgeführt werden, sobald der bösartige Wert später verarbeitet wird. Sie wird mit 8,6 bewertet und betrifft neben dem ESG fünf weitere Produkte des Unternehmens: Load Balancer ADC, Message Archiver, WAF Control Center, Web Application Firewall und Web Security Gateway. Zusammen ausgenutzt, verschaffen sie dem Angreifer Root-Zugriff auf das Gerät.
Die beiden Schwachstellen wurden am 2. November offengelegt, und Barracuda hat für jedes Produkt ein eigenes Korrekturpaket veröffentlicht. Am Montag, 9. November, ergänzte das Unternehmen seine Ankündigung um die Mitteilung, dass man Ausnutzungsaktivitäten bei einer kleinen Zahl von Organisationen festgestellt habe. Es empfiehlt, den Zugriff auf Verwaltungsschnittstellen auf vertrauenswürdige interne Netze zu beschränken.
Chromium, Outlook und der Rest
In Chromium, der Basis der Browser Chrome, Edge und Opera, ist CVE-2026-125350 ein Speicherfehler vom Typ Use-after-free im XML-Modul. Eine speziell präparierte Webseite kann zur Codeausführung innerhalb der Sandbox des Browsers führen. Google erklärte, man wisse, dass ein Exploit bei realen Angriffen eingesetzt wird. Die Korrektur steht in Version 157.0.8103.50 für Linux und 157.0.8103.50/.51 für Windows und Mac bereit, veröffentlicht am Montag, 9. November, zusammen mit acht weiteren Korrekturen.
In Outlook ist CVE-2026-124194 eine Spoofing-Schwachstelle mit einer Bewertung von 6,5, die Microsoft in seiner Mitteilung vom 10. November bereits als ausgenutzt verzeichnet hat. Der Angreifer schickt eine präparierte Nachrichtendatei und bringt den Nutzer dazu, sie zu öffnen. Outlook stellt dann ohne die übliche Warnung vor externen Inhalten eine Verbindung zu einem vom Angreifer kontrollierten Netzwerkziel her, mit dem Risiko, dass der NTLMv2-Hash des Nutzers abfließt, mit dem sich der Angreifer als dieser Nutzer authentifizieren kann.
Die beiden übrigen Einträge fallen weniger ins Auge. CVE-2026-20320 in Cisco BroadWorks, der Kommunikationsplattform für Telefonieanbieter, ist eine XXE-Schwachstelle (XML External Entity) im Dienst OCI-P: Ein nicht authentifizierter Angreifer aus der Ferne kann mit einer präparierten XML-Nachricht Dateien mit sensiblen Konfigurationen auslesen. Cisco hat sie am 19. August offengelegt, die Korrektur gehört zur Version RI.2026.07. CVE-2026-111793 im Openwave Webtop Media Transcoder erlaubt einem authentifizierten Nutzer, der die Webmail-Umgebung umgeht, Dokumenttypen zu konvertieren, die nicht vorgesehen waren. Die Bewertung liegt bei 4,3, die Abhilfe ist ein Update auf die neueste unterstützte Version von Media Server 2.0.
Die sechs Schwachstellen folgen auf die Aufnahmen von OpenSSH, GPUStack und FreeSWITCH vom Vortag. In den vergangenen Wochen kamen außerdem die Lücken bei Apple und bei SonicWall SonicOS SSLVPN in den Katalog.
