Sicherheitsforscher veröffentlichen Exploit-Code, damit Verteidiger Schwachstellen besser verstehen. Angreifer lesen dieselben Anweisungen und setzen manche davon um, bevor Sicherheitsteams die Risikobewertung abschließen können.
In einem Fall nutzten Hacker eine Schwachstelle nur 35 Minuten, nachdem öffentlich verfügbarer Proof-of-Concept-(PoC)-Code veröffentlicht worden war, aus. Das geht aus einer neuen Untersuchung von CrowdStrike hervor.
Das Cybersicherheitsunternehmen stellte fest, dass 91 % der Schwachstellen mit öffentlichen PoCs, deren Ausnutzung es zwischen Januar und Juli 2026 beobachtet hatte, innerhalb von 48 Stunden nach der Veröffentlichung des PoCs angegriffen wurden. Die mittlere Zeit bis zur Ausnutzung lag bei weniger als einem Tag.
Die am 5. November veröffentlichten Ergebnisse verdeutlichen eine wachsende Herausforderung für Sicherheitsteams: Öffentlich verfügbare Schwachstellenforschung kann Angriffe auf noch nicht gepatchte Systeme beschleunigen.
- CrowdStrike stellt fest: Die Ausnutzung beginnt innerhalb von Stunden
- cPanel-Schwachstelle zeigt, wie öffentliche Forschung Angriffe beschleunigen kann
- Mit Belarus verbundene Hacker passten Linux-Exploit innerhalb eines Tages an
- Mit Iran verbundener Akteur mit modifiziertem Fortinet-Exploit aufgefunden
- KI könnte die Entwicklung von Exploits beschleunigen
- Was Sicherheitsteams tun sollten, wenn sich die Zeitfenster für Patches verkürzen
- Öffentliche Schwachstellenforschung schafft einen Zielkonflikt bei der Sicherheit
CrowdStrike stellt fest: Die Ausnutzung beginnt innerhalb von Stunden
In seiner Analyse der Zeitabläufe bei der Bewaffnung von Schwachstellen untersuchte CrowdStrike die von seinem Team Counter Adversary Operations zwischen Januar und Juli 2026 beobachteten Ausnutzungen.
Das Unternehmen nannte drei zentrale Ergebnisse:
Ergebnis | Beobachtung von CrowdStrike |
| Schnellste beobachtete Ausnutzung | 35 Minuten nach Veröffentlichung des öffentlichen PoCs |
| Mittlere Zeit bis zur Ausnutzung | Weniger als 24 Stunden |
| Ausnutzung innerhalb von 48 Stunden | 91 % der beobachteten ausgenutzten Schwachstellen mit öffentlichen PoCs |
Die Zahlen beziehen sich auf Schwachstellen, bei denen CrowdStrike beobachtete, dass Angreifer sie ausnutzten, und für die öffentliche PoCs verfügbar waren. Sie bedeuten nicht, dass 91 % aller offengelegten Schwachstellen ausgenutzt wurden.
CrowdStrikes früherer Threat Hunting Report 2026 stellte fest, dass zwischen Januar und Juni 88 % der beobachteten ausgenutzten Schwachstellen mit öffentlichen PoCs innerhalb von 48 Stunden angegriffen wurden.
Die neuere Analyse verlängert diesen Beobachtungszeitraum bis Juli.
Laut CrowdStrike können öffentliche Sicherheitshinweise, technische Analysen, Scan-Tools und Exploit-Beispiele den für die Entwicklung von Angriffen erforderlichen Aufwand verringern.
Weniger erfahrene Angreifer können vorhandenen Code anpassen, während leistungsfähigere Gruppen veröffentlichte Forschung nutzen können, um ihre Operationen zu beschleunigen.
Drei Fälle rund um cPanel-, Linux- und Fortinet-Produkte veranschaulichen, wie Angreifer diese Informationen nutzen.
cPanel-Schwachstelle zeigt, wie öffentliche Forschung Angriffe beschleunigen kann
Im ersten Fall ging es um CVE-2026-41940, eine Schwachstelle zur Umgehung der Authentifizierung, die bestimmte Versionen von cPanel, WebHost Manager (WHM) und WordPress Squared betrifft.
Die Schwachstelle konnte es einem nicht authentifizierten Angreifer aus der Ferne ermöglichen, unbefugten Zugriff auf betroffene Kontrollbereiche zu erlangen.
CrowdStrike dokumentierte den folgenden Zeitablauf:
Datum | Ereignis |
| 3. April | Bei einer retrospektiven Untersuchung wurde die früheste vermutete Ausnutzung festgestellt |
| 28. April | cPanel legte CVE-2026-41940 öffentlich offen |
| 29. April | Forscher veröffentlichten technische Anleitungen zur Ausnutzung und einen Generator für Erkennungsartefakte |
| 30. April | CrowdStrike begann, eine breit angelegte opportunistische Ausnutzung zu beobachten |
CrowdStrike analysierte den öffentlich veröffentlichten Generator für Erkennungsartefakte und stellte fest, dass eine geringfügige Codeänderung ihn in einen funktionierenden Exploit verwandeln konnte.
Der veränderte Code konnte das Root-Passwort ändern und einem Angreifer dadurch Zugriff auf das WHM-Terminal mit Root-Berechtigungen ermöglichen.
Das Unternehmen erklärte, dass die meisten, wenn nicht sogar alle, anschließend beobachteten Ausnutzungen den in der veröffentlichten Forschung beschriebenen Techniken folgten.
Die retrospektive Untersuchung ergab jedoch auch Hinweise darauf, dass ein einzelner Angreifer die Schwachstelle wahrscheinlich bereits seit mindestens dem 3. April als Zero-Day ausgenutzt hatte.
CrowdStrike konnte nicht feststellen, wie dieser Angreifer die Schwachstelle ursprünglich entdeckt oder einen Exploit erlangt hatte.
Diese Unterscheidung ist wichtig. Die öffentliche Offenlegung löste nicht unbedingt den ersten Angriff aus, doch die Ergebnisse von CrowdStrike legen nahe, dass die anschließende technische Veröffentlichung die Ausnutzung ausweitete.
Das Unternehmen berichtete, dass mehrere Bedrohungsakteure manchmal dieselben verwundbaren cPanel-Systeme ins Visier nahmen und dadurch um den Zugang konkurrierten.
Mit Belarus verbundene Hacker passten Linux-Exploit innerhalb eines Tages an
Im zweiten Fall ging es um CopyFail, geführt unter der Bezeichnung CVE-2026-31431, eine lokale Linux-Schwachstelle zur Rechteausweitung.
Forscher veröffentlichten am 29. April technische Details und PoC-Code.
Obwohl die Schwachstelle bereits im Hauptentwicklungszweig des Linux-Kernels gepatcht worden war, waren laut CrowdStrike viele große Linux-Distributionen noch nicht mit den entsprechenden Fehlerbehebungen versorgt.
Die Forscher bestätigten, dass der Exploit auf einem zu diesem Zeitpunkt vollständig gepatchten Ubuntu-24.04-System funktionierte.
Am 30. April beobachtete CrowdStrike, wie der mit Belarus verbundene Bedrohungsakteur UMBRAL BISON eine modifizierte Version des öffentlichen Exploits gegen eine ukrainische Regierungsorganisation einsetzte.
Der Angriff weitete die Berechtigungen vom Webserver-Konto www-data auf Root aus.
Mit den erweiterten Zugriffsrechten installierten die Angreifer einen Poseidon-Befehl-und-Kontrolle-Agenten, der mit dem Mythic-Framework verbunden ist.
CrowdStrike erklärte, dass sein Falcon-Sensor den Agenten bei der Ausführung beendete.
Die Angreifer hatten den ursprünglichen PoC außerdem verändert, um seine Wirksamkeit zu verbessern.
Laut CrowdStrike umfassten die Änderungen:
- Ausführung zur Laufzeit: Verlagerung der Hauptlogik des Exploits in eine Zeichenkette, die während der Ausführung ausgewertet wird, wodurch einige Techniken der statischen Analyse weniger effektiv werden.
- Fehlerbehandlung: Strukturierte Fehlerbehandlung zur Verbesserung der Zuverlässigkeit.
- Operative Anpassung: Anpassung öffentlich verfügbaren Codes für den Einsatz gegen reale Ziele.
Der Fall zeigt, wie Angreifer vorhandene Forschung innerhalb eines Tages anpassen können, anstatt einen Exploit von Grund auf neu zu entwickeln.
Mit Iran verbundener Akteur mit modifiziertem Fortinet-Exploit aufgefunden
CrowdStrike identifizierte außerdem einen modifizierten Exploit, der sich gegen CVE-2024-55591 richtet, eine Schwachstelle zur Umgehung der Authentifizierung in Fortinet FortiOS und FortiProxy.
Im Februar 2026 entdeckten Forscher ein offenes Verzeichnis, das von dem mit Iran verbundenen Bedrohungsakteur STATIC KITTEN kontrolliert wurde.
Das Verzeichnis enthielt etwa 1,9 GB Daten in mehr als 20.000 Dateien, darunter eine modifizierte Version eines öffentlich veröffentlichten Exploits für die Fortinet-Schwachstelle.
Der im Januar 2025 veröffentlichte ursprüngliche PoC war darauf ausgelegt, einen vom Benutzer vorgegebenen einzelnen Befehl auszuführen.
Die modifizierte Version enthielt 13 fest codierte Payloads für zusätzliche Aktionen, darunter:
- Auflisten von Benutzerkonten und Gruppen.
- Anlegen von Administratorkonten.
- Ändern von Zugriffsberechtigungen.
- Einrichten eines dauerhaften Zugriffs über Hintertürkonten.
Einige Payloads legten Konten mit erweiterten Berechtigungen an, wodurch Angreifer möglicherweise den Zugriff auf kompromittierte Systeme aufrechterhalten konnten.
CrowdStrike konnte jedoch nicht feststellen, ob STATIC KITTEN den Exploit selbst modifiziert oder den veränderten Code anderweitig erlangt hatte.
Das Unternehmen erklärte außerdem, es habe keine anderen Bedrohungsakteure beobachtet, die diesen spezifischen modifizierten Exploit oder die Infrastruktur, auf der er gehostet wurde, nutzten.
Anders als in den Fällen cPanel und CopyFail belegt die Entdeckung bei Fortinet nicht, dass der modifizierte Code bei einem bestätigten Eindringen eingesetzt wurde.
Sie zeigt jedoch, wie ein öffentlicher Exploit von einem Demonstrationswerkzeug zu Code mit mehreren Fähigkeiten erweitert werden kann, die mit unbefugtem Zugriff und dauerhafter Präsenz verbunden sind.
KI könnte die Entwicklung von Exploits beschleunigen
CrowdStrike untersuchte außerdem, wie künstliche Intelligenz die Entdeckung und Ausnutzung von Schwachstellen beschleunigen könnte.
Das Unternehmen erwartet, dass Angreifer zunehmend KI-Tools einsetzen werden, um Schwachstellen zu analysieren, Exploit-Code anzupassen und von anderen veröffentlichte KI-gestützte Sicherheitsforschung einzubeziehen.
Das Unternehmen identifizierte drei mögliche Ansätze:
- Versuche, Schutzvorkehrungen fortschrittlicher KI-Modelle zu umgehen, um offensive Unterstützung zu erhalten.
- Anpassen von Open-Weight-Modellen, um Schutzvorkehrungen zu schwächen oder zu entfernen.
- Wiederverwenden von mit KI-Unterstützung entwickelter und von Sicherheitsforschern veröffentlichter Schwachstellenforschung.
CrowdStrike räumte jedoch ein, dass es weiterhin schwierig ist, die direkte Beteiligung von KI an einem bestimmten Exploit festzustellen.
Gut strukturierter Code, umfangreiche Kommentare und Verbesserungen an bestehenden PoCs können auf KI-Unterstützung hindeuten, doch erfahrene menschliche Entwickler können ähnliche Ergebnisse erzielen.
Das Unternehmen nannte CopyFail und die als wp2shell bekannte WordPress-Schwachstelle als Beispiele für Forschung, an der Berichten zufolge KI beteiligt war.
Diese Berichte belegen nicht, dass die Angreifer in den von CrowdStrike untersuchten Fällen während ihrer Eindringversuche direkt KI eingesetzt haben.
Die unmittelbarere Sorge besteht darin, dass zunehmend zugängliche Schwachstellenforschung – unabhängig davon, ob sie von Menschen oder mit KI-Unterstützung entwickelt wurde – die für die Erstellung funktionierender Exploits erforderliche Zeit verkürzen kann.
Was Sicherheitsteams tun sollten, wenn sich die Zeitfenster für Patches verkürzen
Die Ergebnisse von CrowdStrike werfen Fragen zu Strategien für das Schwachstellenmanagement auf, die sich hauptsächlich auf Schweregradbewertungen und geplante Patch-Zyklen stützen.
Ein hoher Wert im Common Vulnerability Scoring System (CVSS) weist auf den technischen Schweregrad hin, sagt aber nicht unbedingt aus, ob Angreifer eine Schwachstelle aktiv ausnutzen.
Organisationen müssen auch die Verfügbarkeit öffentlicher Exploits, die Exponierung, die Einfachheit der Ausnutzung und Hinweise auf Aktivitäten von Angreifern berücksichtigen.
Für Verteidiger weist die Untersuchung auf mehrere Prioritäten hin:
Priorität | Empfohlene Maßnahme |
| Exponierte Systeme identifizieren | Ein präzises Inventar internetexponierter Assets und betroffener Software führen |
| Öffentliche Exploits überwachen | Neu veröffentlichte PoCs, Anleitungen zur Ausnutzung und relevante Bedrohungsinformationen verfolgen |
| Nach tatsächlichem Risiko priorisieren | Aktive Ausnutzung, Verfügbarkeit von Exploits, Exponierung und geschäftliche Auswirkungen neben CVSS berücksichtigen |
| Vorübergehende Schutzmaßnahmen anwenden | Vom Anbieter unterstützte Gegenmaßnahmen, Zugriffsbeschränkungen oder Isolierung einsetzen, wenn eine sofortige Patch-Installation nicht möglich ist |
| Mögliche Kompromittierung untersuchen | Verdächtige Aktivitäten prüfen, wenn die Ausnutzung vor der Behebung begonnen haben könnte |
| Behebung überprüfen | Bestätigen, dass Patches und kompensierende Kontrollen wie vorgesehen funktionieren |
Diese Maßnahmen können keinen Schutz gegen Angriffe garantieren, die wenige Minuten nach der Veröffentlichung des Exploit-Codes beginnen.
Sie können Organisationen dabei helfen, Risiken mit hoher Exponierung schneller zu erkennen und die Möglichkeiten für Angreifer zu verringern, während dauerhafte Lösungen bereitgestellt werden.
Erkennungs- und Reaktionsfähigkeiten sind ebenfalls wichtig, wenn die Ausnutzung beginnt, bevor ein Patch angewendet werden kann.
Öffentliche Schwachstellenforschung schafft einen Zielkonflikt bei der Sicherheit
Öffentliche Schwachstellenforschung bleibt unverzichtbar, damit Verteidiger Schwachstellen in Software verstehen, Schutzmaßnahmen validieren und Lösungen entwickeln können.
Doch dieselben technischen Details können Angreifern auch wiederverwendbaren Code und Anleitungen zur Ausnutzung liefern.
Die Ergebnisse von CrowdStrike veranschaulichen beide Seiten dieses Problems.
Der cPanel-Fall legt nahe, dass öffentliche Forschung die bereits laufende Ausnutzung beschleunigen kann. Der CopyFail-Vorfall zeigt, wie schnell Angreifer einen neu veröffentlichten PoC anpassen können, während die Entdeckung bei Fortinet veranschaulicht, wie vorhandener Exploit-Code um zusätzliche Fähigkeiten erweitert werden kann.
Die Ergebnisse belegen nicht, dass Forscher aufhören sollten, Informationen über Schwachstellen zu veröffentlichen. Stattdessen unterstreichen sie die Bedeutung koordinierter Offenlegung, zeitnaher Behebung und von Erkennungsfähigkeiten, die die schnelle Ausnutzung berücksichtigen.
Für Sicherheitsteams besteht die zentrale Erkenntnis darin, dass ein neu veröffentlichter PoC als dringendes Signal zur Bewertung der Exponierung behandelt werden sollte.
Bis eine Organisation mit ihrem nächsten planmäßigen Patch-Zyklus beginnt, könnten Angreifer diesen Code bereits einsetzen.
Weitere Nachrichten: Hacker manipulierten die Kühlungseinstellungen in drei französischen Blutbankeinrichtungen über einen Sicherheitsverstoß bei einem Drittanbieter, doch Überwachungssysteme erkannten die Änderungen, bevor Blutprodukte beschädigt wurden.