# Das Tal der Tränen

Wir haben in den vergangenen Wochen deutlich mehr Updates eingespielt als sonst, viele davon kurzfristig und außerhalb der geplanten Wartungsfenster. Das war kein einmaliger Ausreißer. Es ist der Beginn eines Zustands, der uns noch eine Weile begleiten wird.

Was gerade passiert

Sicherheitslücken werden nicht mehr überwiegend von Menschen gefunden, sondern von KI-Systemen, die Quellcode automatisiert nach Fehlern durchsuchen. Das gilt für beide Seiten: Hersteller und Sicherheitsforscher finden mehr als je zuvor, Angreifer ebenso. Die Folge ist eine Update-Flut, die es in diesem Tempo bisher nicht gab.

Ein paar Beispiele aus den vergangenen Wochen:

• Microsoft: über 500 geschlossene Schwachstellen an einem einzigen Patchday im Juli, rund viermal so viele wie im Vorjahresmonat.
• Windows "Certighost" (CVE-2026-54121): seit dem 24. Juli kursiert ein öffentlicher Proof-of-Concept. Ein Domänenbenutzer ohne besondere Rechte kann sich darüber ein Zertifikat für einen Domain Controller ausstellen lassen und die Domäne übernehmen.
• Windows "LegacyHive": bis heute kein offizieller Patch von Microsoft, nur ein Micropatch von 0patch.
• Linux-Kernel: über 430 CVEs zwischen dem 19. und 20. Juli, also innerhalb von rund 30 Stunden. Zwei Ubuntu-Advisories vom 17. Juli behandeln jeweils mehr als 60 davon.
• nginx (CVE-2026-42533): ein Heap-Buffer-Overflow in der Script-Engine, der seit 2011 im Code steckt. CVSS 9,2, behoben in 1.30.4 und 1.31.3.
• FreeBSD: Ende Juni drei Kernel-Advisories an einem Tag, alle mit lokaler Rechteausweitung bis root, im Mai sieben Advisories an einem Tag.
• WordPress "wp2shell": Übernahme des CMS ohne Authentifizierung, seit vergangener Woche mit ersten bestätigten Opfern.
• KI-Werkzeuge selbst: Tausende geteilte Chats des Dienstes Claude landeten samt Zugangsdaten und internen Firmendaten in Suchmaschinen.

Auffällig ist das Muster dahinter. Viele dieser Fehler stecken seit zehn oder fünfzehn Jahren unentdeckt im Code. Neu ist nicht der Fehler, neu ist das Werkzeug, das ihn findet. Bei einer kritischen FreeBSD-Lücke aus dem Frühjahr steht der Hinweis auf ein KI-Modell sogar direkt im offiziellen Advisory, bei mehreren Linux-Kernel-Lücken war es dasselbe Bild.

Kurz gesagt: Der Abstand zwischen "Lücke wird bekannt" und "Lücke wird ausgenutzt" ist von Wochen auf Tage geschrumpft.

Was wir daraus machen

Wir arbeiten diese Welle konsequent ab, und zwar auf drei Ebenen:

• Virenschutz und Patch-Management. Auf allen betreuten Systemen sind Panda und das automatische Patch-Management aktiv. Wir gehen den Bestand aktuell noch einmal Gerät für Gerät durch und schalten nach, wo etwas fehlt oder sich ein System länger nicht gemeldet hat.
• Monitoring. Linux- und FreeBSD-Systeme haben wir über Zabbix im Blick, inklusive Update- und Systemzustand. Was auffällt, sehen wir, bevor es jemand anders sieht.
• Priorisierung. Lücken, für die bereits Angriffscode kursiert, ziehen wir vor. Alles andere läuft in der regulären Wartung mit.

Ehrlich dazugesagt: Das bedeutet häufigere Updates, engere Wartungsfenster und gelegentlich einen Projekttermin, der sich verschiebt. Sicherheitsupdates haben Vorrang. Ein Ausfall von mehreren Tagen kostet deutlich mehr als ein verschobener Termin.

Warum Patchen allein nicht mehr reicht

Es wird immer eine Lücke geben, für die es noch keinen Patch gibt. LegacyHive ist genau dieser Fall. Wer nur patcht, hat für diesen Moment keine Antwort.

Die Antwort heißt Schadensbegrenzung durch Segmentierung. Ein in Zonen aufgeteiltes Netzwerk sorgt dafür, dass ein befallener Rechner nicht automatisch den Server, die Kasse, die Telefonanlage oder die Kamera im Lager erreicht. Aus einem Totalausfall wird ein Zwischenfall in einem Bereich. Mit einer OPNsense und einem sauberen Regelwerk ist das kein Großprojekt, sondern solides Handwerk.

Wenn Sie wissen wollen, wie Ihr Netzwerk in dieser Hinsicht dasteht: Wir planen und realisieren so etwas. Melden Sie sich einfach.

Ausführlicher haben wir das hier beschrieben: IT-Sicherheit 2026: Nicht ob, sondern wann

Ein Hinweis zum Umgang mit KI-Werkzeugen

Falls in Ihrem Haus ChatGPT, Claude oder Copilot genutzt werden: keine Zugangsdaten, Kundendaten oder Vertragsunterlagen hineinkopieren und keine Chat-Links teilen. Der Vorfall der vergangenen Woche zeigt, wie schnell so etwas öffentlich und dauerhaft auffindbar wird. Eine klare interne Regelung dazu ist schnell aufgesetzt, wir helfen Ihnen gerne dabei.

Zum Weiterlesen

• Certighost: Microsoft warnt vor Proof-of-Concept-Exploit (heise online)
• LegacyHive: 0patch liefert Micropatch (Borns IT-Blog)
• wp2shell: erste Opfer (Borns IT-Blog)
• 432 Linux-Kernel-CVEs in 30 Stunden (oss-security)
• nginx CVE-2026-42533 im Detail (SOC Prime)
• Claude-Datenleck: Tausende Chats in Suchmaschinen (heise online)