CISA nimmt vier ausgenutzte Schwachstellen in KEV auf und setzt Frist für Patches bis zum 12. November

Die Cybersecurity and Infrastructure Security Agency (CISA) hat am 9. November vier aktiv ausgenutzte Schwachstellen in GPUStack, FreeSWITCH, OpenSSH und IBM Aspera Faspex in ihren Katalog der Known Exploited Vulnerabilities (KEV) aufgenommen.

Betroffene zivile Bundesbehörden haben bis zum 12. November Zeit, die Schwachstellen zu beheben und die vorgeschriebene forensische Triage abzuschließen. Den Angaben zufolge können die Schwachstellen es Angreifern ermöglichen, die Authentifizierung zu umgehen, administrativen Zugriff zu erlangen oder Befehle auf betroffenen Systemen auszuführen – so die Ankündigung von CISA.

Bei allen vier Schwachstellen wurde eine Ausnutzung bestätigt, allerdings hat CISA weder die Angreifer identifiziert noch die Zahl der betroffenen Organisationen offengelegt. Administratoren sollten verwundbare Systeme priorisieren und auf unbefugten Zugriff prüfen, insbesondere wenn Angreifer möglicherweise Konten oder Zugangsdaten angelegt haben, die auch nach dem Einspielen des Patches noch gültig sind.

Vier ausgenutzte Schwachstellen in CISA-Katalog der KEV aufgenommen

GPUStack: CVE-2026-102895

GPUStack-Versionen vor 2.2.0 enthalten eine kritische Authentifizierungsumgehung, durch die entfernte Angreifer ohne Zugangsdaten Administratorzugriff erlangen können.

Laut dem GPUStack-Bericht konnte die Anwendung entfernte Anfragen fälschlicherweise als vertrauenswürdigen lokalen Datenverkehr behandeln. Angreifer konnten bestimmte Reverse-Proxy-Konfigurationen ausnutzen oder den X-GPUStack-Real-IP-Header manipulieren.

Bei erfolgreicher Ausnutzung können Angreifer Administrator-API-Schlüssel erstellen, Backends für KI-Inferenz ändern, auf Cloud-Zugangsdaten zugreifen und Befehle auf Worker-Systemen ausführen.

Der Anbieter dokumentierte einen Angriff auf eine GPUStack-2.1.1-Installation, bei dem schädliche Inferenz-Backends zum Starten von Reverse-Shells verwendet wurden.

FreeSWITCH: CVE-2026-116779

FreeSWITCH 1.11.2 und frühere Versionen enthalten eine kritische Schwachstelle zur Befehlsinjektion, die die Verarbeitung von SIP-MESSAGE-Nachrichten betrifft.

Die SignalWire-Sicherheitsmitteilung erklärt, dass speziell erstellte Nachrichten die interne API-Befehlsschnittstelle der Anwendung erreichen können.

Angreifer, die eine SIP-MESSAGE-Nachricht an ein betroffenes Profil senden können, können Befehle ausführen, auf Konfigurationsdateien und Zugangsdaten zugreifen oder Anrufe manipulieren. Je nach Authentifizierungseinstellungen kann für die Ausnutzung der Zugriff auf ein SIP-Konto erforderlich sein.

SignalWire bestätigt eine Ausnutzung in freier Wildbahn. Die Schwachstelle hat einen CVSS-Wert von 9,8 und wurde in FreeSWITCH 1.11.3 behoben.

OpenSSH: CVE-2026-123158

Die OpenSSH-Schwachstelle kann auf bestimmten Linux-Systemen, die musl libc ohne Pluggable Authentication Modules (PAM) verwenden, eine Umgehung der Authentifizierung ermöglichen.

Zu den betroffenen Konfigurationen gehören Alpine-Linux-Umgebungen. Die Schwachstelle betrifft nicht jede OpenSSH-Installation.

Der KEV-Eintrag von CISA bestätigt die aktive Ausnutzung. Die Schwachstelle wurde auch in einem aktuellen Bericht von eSecurity Planet über die Umgehung der SSH-Authentifizierung unter Alpine Linux behandelt.

Administratoren sollten ihre Linux-Distribution, OpenSSH-Version und Authentifizierungskonfiguration überprüfen, bevor sie die Betroffenheit ermitteln.

IBM Aspera Faspex: CVE-2026-123218

IBM Aspera Faspex in den Versionen 5.0.0 bis 5.0.19 enthält eine kritische Umgehung der Autorisierung, durch die Angreifer vollständige Administratorrechte erlangen könnten.

IBM bewertet die Schwachstelle mit CVSS 9,8.

Das IBM-Sicherheitsbulletin beschreibt einen Angriff unter Beteiligung eines authentifizierten Benutzers, obwohl der CVSS-Vektor angibt, dass keine Berechtigungen erforderlich sind. Das Bulletin erklärt diese Abweichung nicht.

IBM hat die Schwachstelle in Faspex 5.0.19 PL1 behoben. Administratoren müssen außerdem das eingesetzte faspex-core-Container-Image überprüfen.

Die Aufnahme der Schwachstelle in KEV durch CISA bestätigt, dass sie ausgenutzt wurde.

So beheben Sie die Schwachstellen und prüfen auf eine Kompromittierung

Die Frist von CISA bis zum 12. November gilt für betroffene zivile Bundesbehörden gemäß der Binding Operational Directive 26-04. Private Organisationen sind nicht an dieselbe Frist gebunden, sollten die Behebung jedoch priorisieren, da alle vier Schwachstellen ausgenutzt wurden.

Administratoren sollten die Anweisungen der betroffenen Anbieter befolgen und eine mögliche Kompromittierung untersuchen.

1. GPUStack: Aktualisieren und Administratorzugriff überprüfen

• Aktualisieren Sie auf GPUStack 2.2.0 oder höher.
• Bis zur Installation des Patches aktivieren Sie force_auth_localhost=true, schränken Sie den API-Zugriff ein und verhindern Sie, dass nicht vertrauenswürdige Clients den X-GPUStack-Real-IP-Header bereitstellen.
• Überprüfen Sie Administratorkonten, API-Schlüssel, Inferenz-Backends und Worker-Konfigurationen.
• Widerrufen Sie unbefugte API-Schlüssel und tauschen Sie möglicherweise offengelegte Cloud- oder Worker-Zugangsdaten aus.

Der GPUStack-Bericht von GPUStack bestätigt, dass Angreifer dauerhafte Administratorschlüssel erstellen können. Durch die Aktualisierung der Software werden diese Zugangsdaten nicht automatisch widerrufen.

2. FreeSWITCH: Patch einspielen und SIP-Konfigurationen prüfen

• Aktualisieren Sie auf FreeSWITCH 1.11.3 oder höher.
• Stellen Sie sicher, dass enable-chat-api-proto in SIP-Profilen deaktiviert bleibt, sofern es nicht ausdrücklich benötigt wird.
• Deaktivieren Sie eingehenden SIP-Chat mit enable-chat=false, wenn die Funktion nicht benötigt wird.
• Überprüfen Sie den SIP-MESSAGE-Datenverkehr, Konfigurationsänderungen und verdächtige Prozessaktivitäten.

SignalWire warnt, dass die MESSAGE-Authentifizierung allein die Schwachstelle nicht beseitigt. Administratoren sollten außerdem nicht benötigte Konten entfernen und offengelegte SIP-Profile überprüfen.

3. OpenSSH: Betroffene Linux-Konfigurationen ermitteln

• Prüfen Sie auf OpenSSH-Installationen, die musl libc ohne PAM verwenden.
• Spielen Sie das vom Betriebssystem oder Distributionsbetreuer bereitgestellte Sicherheitsupdate ein.
• Priorisieren Sie SSH-Dienste, die aus dem Internet erreichbar sind.
• Überprüfen Sie Authentifizierungsprotokolle auf ungewöhnliche Anmeldeversuche und unerwartet erfolgreiche Sitzungen.

Organisationen sollten bestätigen, ob ihre Systeme die Anforderungen der betroffenen Konfiguration erfüllen, statt alle OpenSSH-Installationen als verwundbar einzustufen.

4. IBM Aspera Faspex: Fehlerbereinigte Version installieren

• Aktualisieren Sie auf Faspex 5.0.19 PL1.
• Überprüfen Sie, dass der faspex-core-Container das Image in der Version 5.0.19 (1ce4b13, Fix Pack: 1).
• verwendet.
• Überprüfen Sie Administratorkonten, Änderungen an Berechtigungen und ungewöhnliche Dateiübertragungsaktivitäten.

Untersuchen Sie unbefugte Konfigurationsänderungen oder neu angelegte Konten mit erweiterten Berechtigungen.

5. Beweise sichern und Behebung überprüfen

CISA verlangt gemäß BOD 26-04 eine forensische Triage für die vier KEV-Einträge. Administratoren sollten relevante Protokolle und Systembeweise sichern, überprüfen, ob die Updates auf allen betroffenen Instanzen installiert sind, und Anzeichen für unbefugten Zugriff untersuchen.

Ähnliche Untersuchungsschritte wurden nach der jüngsten Umgehung der SonicWall-SSLVPN-Authentifizierung empfohlen, die CISA am 6. November in KEV aufgenommen hat.

Bei aus dem Internet erreichbarer Infrastruktur sollten Sicherheitsteams außerdem den Zeitraum vor der Verfügbarkeit von Patches überprüfen. Eine frühere Ausnutzung von Citrix NetScaler erforderte von Administratoren, forensische Beweise zu sichern und parallel zur Behebung eine Kompromittierung zu untersuchen.

Der Fix für FreeSWITCH war bereits vor dem KEV-Eintrag verfügbar, während die dokumentierte Ausnutzung von GPUStack das Erstellen schädlicher Backends umfasste. Systeme mit verwundbaren Versionen könnten bereits vor der Warnung von CISA kompromittiert worden sein.

Organisationen sollten die Updates vollständig einspielen, betroffene Systeme auf unbefugte Aktivitäten überprüfen und alle Zugangsdaten oder Zugriffsrechte widerrufen, die während einer Kompromittierung eingerichtet wurden.

Auch lesen: CISA hatte zuvor sieben ausgenutzte Schwachstellen aufgenommen , die KI-Infrastruktur und Unternehmenssoftware betrafen, darunter LiteLLM, Kestra und SonicWall.