Remote

CERT-Bund

@certbund@social.bund.de

mastodon 4.7.3

Federal Computer Security Incident Response Team of Germany. #CERTBund is the national #CSIRT section of #BSI, member of the EU #CSIRTsNetwork & a strong supporter of the Common Security Advisory Framework #CSAF.

5177 Followers

3 Following

22 Posts

Joined March 01, 2023

Web:

https://bsi.bund.de/CERT-Bund

About:

https://wid.cert-bund.de/portal/iud/impressum

Privacy:

https://bsi.bund.de/dok/social-datenschutz

CERT-Bund @certbund@social.bund.de

· 2w ago

Aktuell informiert Check Point über zwei Sicherheitslücken in seinen Spark Firewalls, Security Gateways und Security Management Servern. Demnach nutzen Akteure Verwundbarkeiten in diesen Produkten zum Teil bereits seit mindestens Juli aus, um Netzwerke von Organisationen zu kompromittieren. IT-Sicherheitsverantwortliche sollten schnellstmöglich reagieren. Sowohl IoCs als auch Patches stehen zur Verfügung: https://www.bsi.bund.de/SharedDocs/Cybersicherheitswarnungen/DE/2026/2026-289157-1032.pdf

Version 1.0: Check Point - Angreifer nutzen Schwachstellen seit Sommer aus

Bundesamt für Sicherheit in der Informationstechnik

Version 1.0: Check Point - Angreifer nutzen Schwachstellen seit Sommer aus

Im Laufe des Septembers 2026 wies das IT-Sicherheitsunternehmen Check Point auf Schwachstellen in verschiedenen Produkten hin. So auch am 7. September, als der Hersteller ein Advisory für seine Spark Firewall-Serie veröffentlichte. Am 22. September informierte Check Point weiterhin über die Bedrohung für seine Security Management Server-Produkte. Bei diesen Verwundbarkeiten handelt es sich konkret um: CVE-2026-85102: Eine Authentication Bypass Schwachstelle mit der zusätzlichen Möglichkeit zur

6

0

6

0

CERT-Bund @certbund@social.bund.de

· 8mo ago

🚨 Immobilienangebote führen zu Schadsoftware 🚨

Cyberkriminelle platzieren aktuell verlockende Immobilienangebote im Portal "Kleinanzeigen". Der Anzeigentext enthält einen Link für eine angebliche Möglichkeit zur Online-Besichtigung der Immobilie. Der Link führt zu einer gefälschten Website, auf der die Nutzer aufgefordert werden, für die virtuelle 3D-Besichtigung eine Windows-Software herunterzuladen und zu installieren.
Achtung: Hierbei handelt es sich um Schadsoftware.

73

8

142

0

CERT-Bund @certbund@social.bund.de

· 8mo ago

In sozialen Netzwerken und anderen Medien geht aktuell eine Meldung viral, die vor angeblich gefälschten Benachrichtigungskarten im Namen des Paketdienstleisters DHL warnt.

Über einen QR-Code sollen Nutzer auf eine Website gelockt und dort zur Eingabe sensibler Daten aufgefordert werden (sogenanntes "Quishing").

Nach einer Prüfung des Portals Mimikama handelt es sich hierbei um eine Falschmeldung (Hoax):
https://www.mimikama.org/dhl-zettel-betrugswarnung-falsch/

29

7

36

1

CERT-Bund @certbund@social.bund.de

· 4mo ago

Der Hersteller Check Point hat eine Zero-Day Schwachstelle in seiner Remote Access VPN und Mobile Access Lösung geschlossen. Die Schwachstelle soll bereits seit Anfang Mai ausgenutzt werden. Betreiber sollten schnellstmöglich patchen und ihre Logs auf eine stattgefundene Ausnutzung prüfen, wenn die betroffene Konfiguration mit aktiviertem IKEv1 verwendet wird.
https://www.bsi.bund.de/SharedDocs/Cybersicherheitswarnungen/DE/2026/2026-263373-1032

6

0

14

0

CERT-Bund @certbund@social.bund.de

· 3mo ago

KI senkt Aufwand, Zeitbedarf und Einstiegshürden für Cyberangriffe maßgeblich. Angreifer können Zero-Day Schwachstellen durch KI mit geringerem Aufwand finden und Exploits innerhalb kürzester Zeit entwickeln, ohne die ehemalige Expertise zu benötigen. Verteidiger bleiben dagegen an reale Betriebsgrenzen gebunden. Um mit der neuen Bedrohung umzugehen, müssen Organisationen grundsätzlich ihre Angriffsfläche minimieren und Prozesse verbessern. Mehr dazu in der BITS:
https://www.bsi.bund.de/SharedDocs/Cybersicherheitswarnungen/DE/2026/2026-262788-1032

Version 1.0: Auswirkungen auf die Cybersicherheit von Organisationen durch die Entwicklung im Bereich Künstlicher Intelligenz

Bundesamt für Sicherheit in der Informationstechnik

Version 1.0: Auswirkungen auf die Cybersicherheit von Organisationen durch die Entwicklung im Bereich Künstlicher Intelligenz

Künstliche Intelligenz verändert die Cybersicherheitslage grundlegend und erfordert neue Maßstäbe in der Reaktionsgeschwindigkeit. Während böswillige Akteure in der Vergangenheit bereits arbeitsteilig auf Künstliche Intelligenz gesetzt hatten – beispielsweise um Phishing-Mails zu verfassen – sind aktuelle KI-Systeme derart leistungsfähig, dass Schwachstellen in Software innerhalb kurzer Zeit sowohl umfassend als auch teilweise autonom erkannt, analysiert und in verwertbare Angriffspfade überführ

4

2

12

0

CERT-Bund @certbund@social.bund.de

· 8mo ago

CERT-Bund sind aktuell rund 2.500 offen aus dem Internet erreichbare Management-Schnittstellen von VMware ESXi-Servern in Deutschland bekannt.
Diese sollten grundsätzlich nicht im Internet exponiert werden.

60% der Server laufen mit veralteten Versionen, die nicht mehr vom Hersteller unterstützt werden.
Weitere 31% laufen mit einer aktuellen Version, aber einem veralteten Patch-Stand.

CERT-Bund benachrichtigt deutsche Netzbetreiber seit zwei Jahren zu betroffenen Systemen in ihren Netzen.

17

10

10

0

CERT-Bund @certbund@social.bund.de

· 5mo ago

RE: @certbund@social.bund.de

Neue Entwicklung bei diesem Sachverhalt: Aktuelle Analysen weisen darauf hin, dass trotz Umsetzung der im September 2025 empfohlenen Maßnahmen weiterhin die Gefahr eines persistenten Zugriffs durch Angreifer besteht bzw. bestand. IT-Sicherheitsverantwortliche sollten daher die aktualisierten Hinweise nutzen, um nochmals eine etwaige Kompromittierung zu prüfen.

7

0

22

0

CERT-Bund @certbund@social.bund.de

· 5mo ago

In der weit verbreiteten Verwaltungssoftware cPanel & WHM wurde eine kritische Schwachstelle geschlossen, welche entfernten Angreifern ermöglicht die Authentifizierung zu umgehen. Die Schwachstelle soll bereits seit Wochen ausgenutzt worden sein. Betreiber von cPanel & WHM sollten umgehend prüfen, ob ihre Instanzen gepatcht sind und keine Kompromittierung vorliegt.
https://www.bsi.bund.de/SharedDocs/Cybersicherheitswarnungen/DE/2026/2026-246817-1032

5

0

10

1

CERT-Bund @certbund@social.bund.de

· 8mo ago

Replying to

Fortinet hat ein Advisory zu einer neuen Schwachstelle CVE-2026-24858 in der FortiCloud-SSO-Implementierung veröffentlicht. Diese erlaubt es Angreifern mit einem FortiCloud-Konto und einem registrierten Gerät, sich bei anderen Geräten anzumelden, welche anderen Konten zugeordnet sind, sofern die FortiCloud-SSO-Authentifizierung auf diesen aktiviert wurde. Patches sollten zeitnah installiert werden (sobald verfügbar). Das BSI hat entsprechend seinen Sicherheitshinweis aktualisiert.

7

0

5

1

CERT-Bund @certbund@social.bund.de

· 8mo ago

Ivanti hat in seiner Mobilgeräte-Management-Lösung Endpoint Manager Mobile (EPMM) zwei kritische Schwachstellen geschlossen. Es wurden bereits Angriffe bei einer begrenzten Anzahl an Betreibern beobachtet. Betreiber sollten schnellstmöglich die verfügbaren Hotfixes einspielen und auf eine stattgefundene Kompromittierung prüfen.
https://www.bsi.bund.de/SharedDocs/Cybersicherheitswarnungen/DE/2026/2026-221601-1032

Version 1.3: Ivanti EPMM - Aktive Angriffe über Zero-Day Schwachstellen beobachtet

Bundesamt für Sicherheit in der Informationstechnik

Version 1.3: Ivanti EPMM - Aktive Angriffe über Zero-Day Schwachstellen beobachtet

Am 29. Januar veröffentlichte der Hersteller Ivanti ein Advisory zu zwei kritischen Schwachstellen in seiner Mobilgeräte-Management-Lösung Endpoint Manager Mobile (EPMM), ehemals MobileIron Core. Die Schwachstellen CVE-2026-1281 und CVE-2026-1340 erlauben einem entfernten, nicht-authentifizierten Angreifer die Ausführung von Code und wurden nach dem Common Vulnerability Scoring System (CVSS 3.1) mit einem Score von 9.8 ("kritisch") bewertet. Neben dem möglichen Lateral Movement im verbundenen Ne

6

4

4

0

CERT-Bund @certbund@social.bund.de

· 6mo ago

Im Rahmen des Januar-Patchdays hatte Microsoft Schwachstellen in SharePoint geschlossen. Im März wurde bekannt, dass eine dieser bereits in Angriffen verwendet wird. Betreiber sollten daher schnellstmöglich die bereitstehenden Patches installieren. Leider zeigt sich immer wieder, dass dies in vielen Organisationen zu spät oder gar nicht passiert. Mehr als die Hälfte der exponierten On-Prem Instanzen in Deutschland sind noch für diese Schwachstelle verwundbar.
https://www.bsi.bund.de/SharedDocs/Cybersicherheitswarnungen/DE/2026/2026-238220-1032

3

3

4

0

CERT-Bund @certbund@social.bund.de

· 7mo ago

Das BSI hat seinen IT-Sicherheitshinweis zu Ivanti EPMM aktualisiert:
https://www.bsi.bund.de/SharedDocs/Cybersicherheitswarnungen/DE/2026/2026-221601-1032

Es liegen Hinweise vor, dass die Schwachstellen CVE-2026-1281 und CVE-2026-1340 bereits seit Mitte 2025 ausgenutzt wurden. ALLE Betreiber von Ivanti EPMMs sollten daher bei der Prüfung ihrer Systeme auf Kompromittierungen den Untersuchungszeitraum bis Juli 2025 zurück ausweiten. Es muss davon ausgegangen werden, dass die Anzahl kompromittierter Systeme deutlich höher ist als ursprünglich angenommen.

Version 1.3: Ivanti EPMM - Aktive Angriffe über Zero-Day Schwachstellen beobachtet

Bundesamt für Sicherheit in der Informationstechnik

Version 1.3: Ivanti EPMM - Aktive Angriffe über Zero-Day Schwachstellen beobachtet

Am 29. Januar veröffentlichte der Hersteller Ivanti ein Advisory zu zwei kritischen Schwachstellen in seiner Mobilgeräte-Management-Lösung Endpoint Manager Mobile (EPMM), ehemals MobileIron Core. Die Schwachstellen CVE-2026-1281 und CVE-2026-1340 erlauben einem entfernten, nicht-authentifizierten Angreifer die Ausführung von Code und wurden nach dem Common Vulnerability Scoring System (CVSS 3.1) mit einem Score von 9.8 ("kritisch") bewertet. Neben dem möglichen Lateral Movement im verbundenen Ne

4

0

5

0

CERT-Bund @certbund@social.bund.de

· 8mo ago

Replying to

@nwmichl CERT-Bund führt selbst keine aktiven Scans durch. Unsere Reports basieren auf akkumulierten Daten aus Drittquellen wie Shadowserver, Suchmaschinen und Sicherheitsforschenden. Neben dem kompletten öffentlich genutzten IPv4-Adressraum werden von diesen auch bekannte vielgenutzte IPv6-Subnetze gescannt. Die Identifikation solcher Subnetze kann z.B. auf Basis von Passive-DNS-Daten erfolgen.

3

1

0

0

CERT-Bund @certbund@social.bund.de

· 8mo ago

Replying to

Das BSI hat den Sachverhalt in einer BSI-IT-Sicherheitsmitteilung aufgegriffen und die wesentlichen Erkenntnisse aus verschiedenen Quellen zusammengeführt. https://www.bsi.bund.de/SharedDocs/Cybersicherheitswarnungen/DE/2026/2026-221445-1032

2

1

1

0

CERT-Bund @certbund@social.bund.de

· 8mo ago

Replying to

Mitteilung des Herstellers Fortinet dazu: https://www.fortinet.com/blog/psirt-blogs/analysis-of-sso-abuse-on-fortios Bislang wird die Schwachstelle nur zur Umgehung der Authentifizierung mittels FortiCloud SSO ausgenutzt, laut Hersteller sind jedoch alle auf SAML basierenden SSO-Implementierungen betroffen.

2

2

2

0

CERT-Bund @certbund@social.bund.de

· 8mo ago

Replying to

@halbwach @Philippe @mimikama Der QR-Code auf den kursierenden Bildern von vermeintlich gefälschten Karten scheint jedoch identisch zu sein mit dem QR-Code auf einer von DHL als Beispiel gezeigten Karte: https://www.dhl.de/dam/jcr:80ed19b4-51c2-4dbe-a81c-823ca32ff587/dhl-express-empfangen-benachrichtigungskarte.jpg

1

3

0

0

CERT-Bund @certbund@social.bund.de

· 8mo ago

Replying to

@halbwach @Philippe @mimikama Das überall verbreitete Bild mit den zwei Karten und darauf zerkritzeltem QR-Code wird auch von @mimikama gezeigt: https://www.mimikama.org/wp-content/uploads/2026/01/image-67.png.webp Der QR-Code auf diesen Karten scheint jedoch identisch zu sein mit dem auf der von DHL als Beispiel gezeigten Karte. Das deutet darauf hin, dass es sich zumindest bei diesen Karten nicht um Quishing handelt.

1

1

0

0

CERT-Bund @certbund@social.bund.de

· 8mo ago

Replying to

@scrat Die betroffenen Systeme laufen überwiegend bei Hosting-Providern, 70% allein bei Hetzner. Aber auch dort sollte der Zugriff auf die Management-Schnittstelle auf vertrauenswürdige Quell-IPs beschränkt oder über ein VPN abgesichert werden.

0

0

0

0