CISA KEV 2. September 2026: Sieben neue Schwachstellen – Kestra, SonicWall, Switchvox, Starlette, LiteLLM und Artifactory aktiv ausgenutzt

Nur drei Tage bleiben US-Bundbehörden, um die sieben Schwachstellen zu patchen, die die Cybersecurity and Infrastructure Security Agency (CISA) am 2. September 2026 in ihren Known Exploited Vulnerabilities Catalog (KEV) aufgenommen hat. Das Bundesabkommen BOD 26-04 verlangt von betroffenen Behörden, bekannte ausgenutzte Lücken bis zum 5. September 2026 zu schließen – ein außergewöhnlich enger Zeitrahmen, der zeigt, wie ernst die Bedrohungslage ist. Unter den sieben Einträgen finden sich zwei Produkte mit dem maximalen CVSS-Base-Score von 10,0 von 10 sowie mehrere Open-Source- und KI-Infrastruktur-Komponenten, die in Unternehmen längst zum Standard gehören.

Das CISA KEV 2. September 2026 im Überblick

Der KEV-Katalog ist kein allgemeines Warnsystem, sondern eine Priorisierungsliste. CISA trägt dort nur Schwachstellen ein, für die es öffentlich bestätigte Beweise aktiver Ausnutzung gibt. Anders als das NVD-Rating nach theoretischer Schwere verknüpft der KEV-Eintrag also die technische Gefahr mit der realen Angreiferaktivität. Organisationen, die an US-Bundmitteln arbeiten oder kritische Infrastruktur betreiben, müssen die darin gelisteten CVEs typischerweise innerhalb kürzester Frist patchen oder durch dokumentierte Ausnahmen absichern.

Am 2. September 2026 kamen sieben neue CVEs hinzu. Sie betreffen ein VoIP-Telefonie-System, ein ASGI-Webframework, eine Open-Source-Orchestrierungsplattform, einen KI-Gateway-Proxy, einen Artefakt-Repository-Server und zwei SonicWall Secure-Mobile-Access-Appliances. Die Bandbreite zeigt ein bekanntes Muster: Angreifer suchen zunehmend an exponierten Netzwerkrändern und in KI-/DevOps-Toolchains nach Einfallstoren, anstatt frontal gegen Endpunktschutz vorzugehen.

Die sieben neuen KEV-Einträge im Überblick

Die Tabelle zeigt, dass nur drei der sieben Lücken unter die Marke 9,0 fallen, die restlichen vier aber trotzdem aktiv ausgenutzt werden. Genau das ist der Grund für den KEV-Eintrag: Die Relevanz richtet sich nach der Beobachtung realer Angriffe, nicht nach der reinen Risikobewertung. Wer also nur nach CVSS filtert, übersieht hier zwei weitere SonicWall- und die Starlette-Lücke, die in passenden Umgebungen ebenfalls hohen Schaden anrichten können.

Kestra CVE-2026-49869 – Unauthentifizierter RCE mit CVSS 10,0

Kestra OSS ist eine quelloffene, event-gesteuerte Orchestrierungsplattform, mit der Teams Workflows für Datenpipelines, ETL-Prozesse, Infrastructure-as-Code und KI-Workloads automatisieren. Weil sie oft direkt am Internet erreichbar betrieben oder zumindest aus internen Netzwerksegmenten ohne weitere Abschottung erreichbar ist, ist eine unauthentifizierte Remote-Code-Execution besonders brisant. Die US-Behörde CISA hat die Lücke zusammen mit den sechs anderen am 2. September 2026 in den KEV-Katalog aufgenommen. AiCybr berichtet, dass betroffenen US-Bundorganisationen bis zum 5. September 2026 eine forensische Triagierung und ein Patch durchgeführt werden müssen.

Technischer Angriffsweg

Die Schwachstelle sitzt im AuthenticationFilter von Kestra OSS. Um öffentliche Konfigurationsendpunkte zu erlauben, prüft der Filter, ob der angefragte Pfad auf /configs endet. Diese Suffix-Prüfung ist zu grob: Ein Angreifer kann API-Pfade konstruieren, die ebenfalls auf /configs enden, aber ganz andere interne Endpunkte ansprechen. Weil diese Pfade als öffentlich konfiguriert gelten, entfällt die Authentifizierung. Darüber hassen sich dann beliebige Workflows anlegen und ausführen lassen, was praktisch einer unauthentifizierten OS-Command-Injection gleichkommt. Laut NVD hat die Lücke den CVSS-Base-Score von 10,0 von 10 mit dem Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H – also Netzwerk-erreichbar, geringer Angriffsaufwand, keine Berechtigung, keine Benutzerinteraktion und Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.

Betroffene Versionen und Patches

Es sind alle Releases bis einschließlich 1.3.20 betroffen; für die ältere 1.0-Linie gilt 1.0.45 als gepatcht. Die beiden gepatchten Hauptversionen sind 1.0.45 und 1.3.21. Admins sollten nicht nur ein Upgrade durchführen, sondern auch die Kestra-Logs nach unautorisierten Workflow-Ausführungen oder API-Aufrufen auf Pfade mit dem Suffix /configs durchsuchen. Parallelen zu anderen unauthentifizierten RCE-Lücken in Open-Source-Plattformen zeigt der GitLab CE/EE Package Registry RCE-Fall, bei dem ebenfalls ein Update-Pfad über mehrere Minor-Versionen notwendig war.

SonicWall SMA1000 – Doppelter Angriffsvektor (CVE-2026-83548 & CVE-2026-83549)

SonicWall hat am 1. September 2026 das Advisory SNWLID-2026-0016 veröffentlicht und zwei aktiv ausgenutzte Schwachstellen in der SMA1000-Serie benannt. Die betroffenen Appliances – darunter die Modelle SMA 6210, SMA 7210 und die virtuelle SMA 8200v – dienen als SSL-VPN-Gateway für den sicheren mobilen Zugriff. Genau diese exponierte Position am Netzwerkrand macht sie zu einem beliebten Ziel; eine unauthentifizierte SSRF-Lücke mit CVSS 10,0 ist daher eine der schwerwiegendsten Meldungen des Monats.

Pre-Authentication SSRF mit maximaler CVSS-Bewertung

CVE-2026-83548 wird als Pre-authentication Server-Side Request Forgery über einen unbeabsichtigten Forward-Proxy-Pfad im Work-Place-Portal beschrieben. Ein entfernter, nicht authentifizierter Angreifer kann den SMA1000-Server dazu bringen, HTTP-Anfragen an interne Ressourcen zu senden. Das reicht zunächst für Informationslecks und Reconnaissance, lässt sich aber in SonicWall-Umgebungen mit der zweiten Lücke oder weiteren internen Schwachstellen zu einer vollständigen Kette bis hin zur Code-Ausführung kombinieren. Das SonicWall-PSIRT bestätigt, dass die Lücke aktiv ausgenutzt wird. Der CVSS-Base-Score von 10,0 von 10 zeigt, dass keinerlei Vorabzugriff nötig ist und die Auswirkungen als vollständig eingestuft werden.

Post-Authentication OS Command Injection

Die zweite Lücke, CVE-2026-83549, betrifft die Appliance Management Console (AMC). Hier ist zwar eine Authentifizierung erforderlich, aber ein legitimer Benutzer oder ein über CVE-2026-83548 erlangter Account kann unzureichend bereinigte Eingaben in Betriebssystembefehle einschleusen. Laut NVD erreicht die Lücke den CVSS-Base-Score von 7,8 von 10. In Kombination mit der SSRF-Lücke ergibt sich damit ein nahezu vollständiger Angriffspfad gegen das VPN-Gateway. Wer bereits frühere SonicWall- oder Fortinet-VPN-Lücken verfolgt hat, erkennt das Muster: SSL-VPN-Appliances gelten seit Jahren als Hochburg für staatliche und kriminelle Angreifer.

Sangoma Switchvox CVE-2026-9586 – SQL-Injection führt zu Reverse Shells

Sangoma Switchvox ist eine On-Premises-VoIP-Telefonielösung für mittelständische und größere Unternehmen. SecurityWeek berichtet, dass Angreifer die kritische SQL-Injection-Lücke CVE-2026-9586 aktiv ausnutzen, um ohne jegliche Anmeldung Reverse Shells und Krypto-Miner auf den Telefonie-Servern zu installieren. Die Lücke wurde parallel von Horizon3 untersucht und beschrieben.

Angriff über den /pa-Endpunkt

Der verwundbare /pa-Endpunkt in Switchvox SMB Edition 8.3 (Build 104997) verarbeitet XML-Daten, die mit einem <PolycomIPPhone>-Wurzelelement beginnen. Diese Eingaben werden ohne ausreichende Parametrisierung direkt in SQL-Abfragen eingefügt. Ein Angreifer kann über einen einfachen HTTP-POST-Request die Datenbankmanipulation auslösen, anschließend über den bestehenden Datenbankzugriff weitere Dateien ablegen und schließlich Code ausführen. Laut NVD liegt der CVSS-Base-Score bei 9,8 von 10, der Vektor ist CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Besonders problematisch ist, dass VoIP-Server oft aus dem Internet erreichbar sein müssen, um externe Telefonie-Endpunkte zu bedienen.

Erkennung und Schutzmaßnahmen

Betroffene Organisationen sollten sofort prüfen, ob sie Switchvox SMB Edition 8.3 einsetzen, ein verfügbares Sicherheitsupdate einspielen und alle Appliances nach unbekannten Prozessen, neuen Netzwerkverbindungen und verdächtigen Dateien im Webverzeichnis untersuchen. Da die Ausnutzung ohne Credentials erfolgt, reichen klassische Account-Überwachungen nicht aus; hier helfen nur Web-Application-Firewall-Regeln, Netzwerksegmentierung und ein zeitnahes Patch. Der Fall erinnert an den VMware vCenter Reverse-SSH-Kampagne-Fall, bei dem ebenfalls eine exponierte Management-Schnittstelle zur initialen Kompromittierung genutzt wurde.

Starlette, LiteLLM und JFrog – Angriffe auf KI- und DevOps-Infrastruktur

Der KEV-Block vom 2. September 2026 enthält mit Starlette, LiteLLM und JFrog Artifactory gleich drei Komponenten, die typischerweise in modernen KI- und Software-Entwicklungsumgebungen auftauchen. Sie zeigen, dass der Angriffsvektor über klassische Server hinaus in die Abhängigkeiten und Zwischenschichten der KI-Infrastruktur verschoben wird.

CVE-2026-48710: Host-Header-Manipulation im ASGI-Framework

Starlette ist ein leichtes ASGI-Framework, das unter anderem die Basis für FastAPI bildet und in vielen KI-Servern, LLM-Proxys und Agent-Frameworks zum Einsatz kommt. In Versionen bis einschließlich 1.0.0 wird der HTTP-Host-Header nicht validiert, bevor er für den Aufbau von request.url verwendet wird. Weil das Routing allerdings auf dem rohen HTTP-Pfad basiert, kann ein manipulierter Host-Header dazu führen, dass request.url.path vom tatsächlich angefragten Pfad abweicht. Middleware und Endpunkte, die ihre Zugriffsprüfung an request.url statt am echten Pfad vornehmen, lassen sich damit umgehen. Laut NVD liegt der CVSS-Base-Score bei 6,5 von 10. Die gepatchte Version ist Starlette 1.0.1. Der GitHub Security Advisory GHSA-86qp-5c8j-p5mr warnt ausdrücklich, dass vLLM, LiteLLM und KI-Agent-Frameworks von der Lücke betroffen sein können.

CVE-2026-59822 und CVE-2026-82329 als Supply-Chain-Risiken

LiteLLM fungiert als Proxy-Gateway für unterschiedliche Large-Language-Model-APIs. CVE-2026-59822 erlaubt laut NVD in Versionen vor 1.84.0, dass ein unauthentifizierter Angreifer am MCP-Streamable-HTTP-Endpoint einen gefälschten Authorization-Header verwendet und so interne Funktionen aufruft. Der CVSS-Base-Score beträgt 8,2 von 10. Parallel dazu listet CISA CVE-2026-82329 in JFrog Artifactory. Hier kann ein Angreifer mit Netzwerkzugriff in der Standardkonfiguration administrative Privilegien erlangen, was die Integrität von Software-Artefakten und damit die gesamte Build-Pipeline gefährdet. Beide Lücken sind besonders deshalb gefährlich, weil sie nicht im produktiven Endanwender-System, sondern in der Entwicklungs- und KI-Infrastruktur wirken – ein Angriff kann sich so beispielsweise über kompromittierte Python-Packages oder Docker-Images in Zielsystemen ausbreiten. Wer die Risiken von Supply-Chain-Angriffen systematisch angehen will, findet im Cisco ASA/FTD-Beitrag ähnliche Hinweise zur Absicherung exponierter Management- und Gateway-Systeme.

Präventive Maßnahmen für Unternehmen

Die sieben neuen KEV-Einträge eint, dass sie sich weitgehend durch etablierte Sicherheitspraktiken entschärfen lassen – wenn diese konsequent umgesetzt werden. Das beginnt bei der zeitnahen Patch-Installation und endet bei der Netzwerkarchitektur. Wer die Lücken isoliert betrachtet, übersieht häufig den größeren Zusammenhang: Fast alle betroffenen Produkte sind exponierte Gateways oder zentrale Infrastrukturkomponenten, deren Kompromittierung weitreichende Folgen hat.

Patch-Management innerhalb der CISA-Fristen

BOD 26-04 gibt US-Bundbehörden für KEV-Lücken eine Frist von etwa drei Tagen vor. Selbst wenn diese Vorgabe für private Unternehmen nicht direkt gilt, ist sie ein brauchbarer Maßstab: Lücken mit aktiver Ausnutzung sollten nicht im wöchentlichen oder gar monatlichen Patch-Zyklus warten, sondern priorisiert und innerhalb von 72 Stunden geschlossen werden. Dazu gehört ein klares Eskalationsverfahren, das IT-Sicherheitsteams ermächtigt, Wartungsfenster kurzfristig vorzuziehen. Für die sieben aktuellen CVEs bedeutet das konkret: Kestra auf 1.0.45/1.3.21 aktualisieren, SonicWall SMA1000 auf 12.4.3/13.0.2, Starlette auf 1.0.1, LiteLLM auf 1.84.0, JFrog Artifactory auf 7.111.4/7.104.17 und Switchvox auf das neueste verfügbare Sangoma-Sicherheitsupdate.

Netzwerksegmentierung und Überwachung

Viele der Lücken nutzen exponierte Schnittstellen aus. VPN-Gateways, Orchestratoren, Repository-Server und VoIP-Systeme sollten daher nicht direkt aus dem Internet erreichbar sein, sondern hinter einem VPN, einer Zero-Trust-Access-Lösung oder einer strengen IP-Whitelist stehen. Wo öffentliche Erreichbarkeit unvermeidbar ist, helfen Web-Application-Firewalls mit virtuellen Patching-Funktionen, um bekannte Angriffsmuster wie die Kestra-/configs-Suffix-Umgehung oder die Switchvox-/pa-SQL-Injection abzuwehren. SIEM-Regeln sollten auf ungewöhnliche Aufrufe an Endpunkte mit /configs-Suffix, auf fehlerhafte Host-Header in ASGI-Anwendungen und auf neue ausgehende Verbindungen von VoIP- und VPN-Appliances reagieren.

Fazit und Handlungsempfehlung

Das CISA KEV 2. September 2026 zeigt, dass aktive Ausnutzung nicht mehr nur bei klassischen Unternehmensanwendungen auftritt, sondern zunehmend in Open-Source-Komponenten, KI-Gateways und Netzwerk-Edge-Geräten. Zwei der sieben Lücken erreichen die maximale CVSS-Base-Score von 10,0, weitere drei fallen in den kritischen Bereich über 9,0. Gleichzeitig beweisen die Einträge für Starlette (CVSS 6,5) und SonicWall CVE-2026-83549 (CVSS 7,8), dass auch niedriger bewertete Lücken in den KEV-Katalog kommen, sobald Angreifer sie aktiv nutzen.

Ein besonderes Augenmerk verdient die Tatsache, dass vier der sieben betroffenen Produkte direkt oder indirekt in KI- und Automatisierungsstacks eingesetzt werden: Kestra für Workflows, Starlette und LiteLLM für KI-Serving, JFrog Artifactory für Software-Artefakte. Das deutet auf eine strategische Verschiebung hin: Statt breitflächiger Malware-Kampagnen konzentrieren sich Angreifer auf die Schwachstellen in der Infrastruktur, die KI-Workloads, CI/CD-Pipelines und Remote-Zugriff ermöglichen. Unternehmen, die diese Komponenten einsetzen, müssen daher ihre Vulnerability-Priorisierung an diesen Realitäten ausrichten.

Unternehmen sollten den CISA-KEV-Katalog als primären Input für die Priorisierung verwenden und nicht nur die CVSS-Zahl betrachten. Konkret empfohlen wird: Innerhalb von 72 Stunden alle betroffenen Produkte patchen, insbesondere Kestra, SonicWall SMA1000 und Sangoma Switchvox, eine forensische Prüfung auf Anzeichen aktiver Ausnutzung durchführen, exponierte Schnittstellen hinter WAF oder VPN verbergen und SIEM-Regeln für die genannten Angriffsmuster ergänzen. Wer diese Schritte umgehend umsetzt, reduziert das Risiko erheblich, Teil der nächsten Reverse-Shell- oder Krypto-Miner-Kampagne zu werden.