Neue Lücken erhöhen Druck auf IT-Abteilungen

Mehrere aktuelle Sicherheitsfälle zeigen, wie breit die Angriffsfläche für Unternehmen bleibt. Bei FortiMail-Appliances von Fortinet wird eine bislang nicht geschlossene Zero-Day-Schwachstelle bereits ausgenutzt. TeamViewer liefert Updates gegen fünf hoch eingestufte Lücken aus. Parallel haben internationale Ermittler unter deutscher Führung die Ransomwaregruppe Killsec getroffen, der rund 1.000 Angriffe weltweit zugeschrieben werden.

FortiMail-Lücke wird aktiv ausgenutzt

Besonders dringlich ist die Lage bei FortiMail. Wie heise berichtet, warnt auch die US-Behörde CISA vor Angriffen auf die Mail-Sicherheitsappliances. Die Schwachstelle trägt die Kennung CVE-2026-104286 und erreicht mit einem CVSS-Wert von 9.8 die höchste Risikokategorie. Angreifer können die Geräte aus dem Internet kompromittieren, ohne sich vorher anzumelden.

Ursache ist eine Path-Traversal-Schwachstelle im Umgang mit NULL-Zeichen. Dadurch lassen sich präparierte HTTP- oder HTTPS-Anfragen einsetzen, um Dateien auf dem System zu platzieren. In der Folge können Angreifer Schadcode starten und die Appliance übernehmen. Fortinet führt die Entdeckung auf das eigene Product-Security-Team zurück.

Betroffen sind mehrere FortiMail-Zweige: 8.0 bis 8.0.1, 7.6 bis 7.6.6, 7.4 bis 7.4.8 sowie 7.2 bis 7.2.9. Für den 7.2-Zweig empfiehlt der Hersteller den Wechsel auf 7.4. Für die neueren Versionen sind Sicherheitsupdates angekündigt, stehen aber noch nicht bereit.

Als Übergangslösung nennt Fortinet mehrere Maßnahmen. Administratorinnen und Administratoren können die identitätsbasierte Verschlüsselung deaktivieren. Außerdem sollen sie den Zugriff auf die Verwaltungsoberfläche aus dem Internet abschalten oder auf vertrauenswürdige private Netze beschränken. Fortinet nennt zudem technische Spuren, mit denen sich mögliche Kompromittierungen prüfen lassen.

TeamViewer schließt fünf Schwachstellen

Auch bei TeamViewer besteht Handlungsbedarf. Der Anbieter hat Updates für seine Fernwartungssoftware veröffentlicht. Laut heise stuft der Hersteller alle fünf behobenen Lücken als hohes Risiko ein. Die schwerwiegendste Schwachstelle verfehlt die kritische Bewertung nur knapp.

Diese Lücke betrifft unzureichende Zugriffskontrollen in TeamViewer Host, Full Client und daraus abgeleiteten Modulen für Linux, macOS und Windows. Bereits angemeldete Angreifer aus dem Netzwerk können dadurch Funktionen missbrauchen, Aktionen auslösen und eingeschleusten Code ausführen. Die Schwachstelle wird als CVE-2026-92370 geführt und kommt auf einen CVSS-Wert von 8.8.

Weitere behobene Fehler betreffen unter anderem Path Traversal, einen Heap-basierten Pufferüberlauf bei der Wiedergabe von Sitzungsaufzeichnungen, eine Race Condition im Windows-Installer sowie eine lokale Rechteausweitung im Zusammenhang mit Cloud-Aufzeichnungen. TeamViewer empfiehlt den Wechsel auf Full Client 15.82 und Host 15.82 oder neuere Versionen. Auch für ältere Entwicklungszweige stellt der Hersteller aktualisierte Pakete bereit.

Fernwartungssoftware ist für Angreifer besonders attraktiv, weil sie legitimen Zugriff auf Systeme ermöglicht. Werden solche Programme kompromittiert oder falsch abgesichert, kann daraus ein direkter Weg in Unternehmensnetze entstehen.

Ermittler gehen gegen Killsec vor

Neben den Warnungen vor neuen Lücken meldeten Behörden einen Erfolg gegen organisierte Cyberkriminalität. Unter Leitung der Staatsanwaltschaft und des Landeskriminalamts Hamburg gingen internationale Ermittler gegen die Gruppierung Killsec vor. Drei Verdächtige wurden vorläufig festgenommen, darunter ein 16-Jähriger und ein 18-Jähriger.

Killsec soll seit etwa 2024 aktiv gewesen sein und ein Ransomware-as-a-Service-Modell betrieben haben. Die Gruppe drang laut Ermittlern häufig über Schwachstellen in Cloudspeichern in Unternehmensumgebungen ein, kopierte Daten und drohte mit deren Veröffentlichung. In mehreren Fällen sollen dadurch erhebliche Lösegeldsummen geflossen sein.

Bei der Aktion durchsuchten Ermittler acht Objekte in Griechenland, Rumänien, Spanien und dem Vereinigten Königreich. Sie sicherten 110 Terabyte Daten, beschlagnahmten fünf Server sowie weitere Gegenstände. Die Infrastruktur diente dem Betrieb der Erpressersoftware und der Lagerung gestohlener Daten.

RSA-Forschung ohne akute Breitenwirkung

Auch aus der Kryptografieforschung kommt eine neue Entwicklung, die jedoch nicht als unmittelbare Gefahr für die meisten Systeme gilt. Ein Team um Laura Shea und Nadia Heninger von der University of California San Diego demonstrierte, dass sich unter speziellen Bedingungen Signaturen für einen 1024-Bit-RSA-Schlüssel erzeugen lassen, ohne das RSA-Modul zu faktorisieren.

Der Versuch benötigte rund 1.380 CPU-Jahre Rechenzeit über fünf Monate. Für eine klassische Faktorisierung eines vergleichbaren 1024-Bit-RSA-Moduls werden deutlich höhere Aufwände geschätzt. Der Angriff funktioniert nach Angaben der Forschenden aber nur in einem besonderen Szenario mit einem sogenannten Raw Signing Oracle. Übliche RSA-Signaturen mit verbreiteten Padding-Verfahren sind daher nicht direkt betroffen.

Die Fälle zeigen zwei unterschiedliche Ebenen derselben Sicherheitslage: Akut gefährlich sind vor allem ungepatchte Systeme an Netzgrenzen und weit verbreitete Verwaltungswerkzeuge. Langfristig bleibt zudem die Modernisierung kryptografischer Verfahren wichtig, auch mit Blick auf Post-Quanten-Kryptografie.