WORLDTECHCISA nimmt sechs ausgenutzte Schwachstellen in KEV-Katalog auf und verschärft Vorgaben
Die US-Behörde Cybersecurity and Infrastructure Security Agency (CISA) hat sechs neue Schwachstellen in ihren Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen und begründet dies mit Belegen für aktive Angriffe. Parallel dazu tritt die verbindliche betriebliche Anweisung 26-04 in Kraft, die festlegt, in welcher Reihenfolge Bundesbehörden Sicherheitslücken schließen müssen.
Sechs Schwachstellen neu im Katalog
Die CISA hat sechs neue Schwachstellen in ihren Katalog bekannter ausgenutzter Schwachstellen aufgenommen. Eine Lücke landet dort nur, wenn belegt ist, dass sie aktiv ausgenutzt wird. Die Ergänzungen wurden am 20. Oktober 2026 bekanntgegeben.
Die Behörde kündigt an, auch künftig Schwachstellen aufzunehmen, sobald sie die Kriterien erfüllen.
Neue Pflichten für Bundesbehörden
Die Anweisung 26-04 mit dem Titel Prioritizing Security Updates Based on Risk legt Anforderungen an das Schwachstellenmanagement ziviler Behörden der US-Bundesverwaltung fest. Danach müssen Behörden hochriskante Schwachstellen aus dem Katalog rasch angehen, vor allem auf öffentlich erreichbaren Systemen, bei denen ein Angreifer nach erfolgreicher Ausnutzung die vollständige Kontrolle erlangen würde. Schwachstellen mit geringerem Risiko dürfen zurückgestellt werden.
Außerdem legt die Anweisung Grunderwartungen fest, wann Behörden prüfen müssen, ob Bedrohungsakteure ein System vor dem Einspielen des betreffenden Patches bereits kompromittiert haben.
Wirkung über Bundesbehörden hinaus
Die Anweisung gilt nur für zivile Bundesbehörden. Die CISA empfiehlt jedoch allen Organisationen, ein risikobasiertes Schwachstellenmanagement einzuführen und die im KEV-Katalog gelisteten Lücken vorrangig zu schließen.
Offene Fragen
- Um welche sechs Schwachstellen es sich handelt und welche Produkte betroffen sind?
- Wie viele Behörden müssen die neuen Erwartungen bis wann erfüllen?