CISA entdeckt OpenSSH-Schwachstelle, Frist bis 12.11.

Die US-Cybersicherheitsbehörde CISA hat am Montag (9.) vier Schwachstellen in das Verzeichnis Known Exploited Vulnerabilities (KEV) aufgenommen, das Schwachstellen mit aktiven Ausbeutungsnachweisen listet. Darunter befindet sich die CVE-2026-123158 in OpenSSH, dem meistgenutzten Remote-Zugangsserver in Linux. Die Frist für Korrekturen für Bundesbehörden ist der 12. November, drei Tage nach der Aufnahme. Für die Schwachstelle von SonicWall, die am 6. November aufgenommen wurde, wurde eine Frist von zwei Wochen gegeben.

Die anderen drei Einträge betreffen GPUStack, eine Open-Source-Plattform zur Verwaltung von GPU-Clustern und zur Bereitstellung von KI-Modellen (CVE-2026-102895), FreeSWITCH von SignalWire, das als Grundlage für Telefonsysteme und Sprachplattformen genutzt wird (CVE-2026-116779), und IBM Aspera Faspex, ein System zum Übertragen großer Dateien (CVE-2026-123218). Alle vier haben die Kennzeichnung der obligatorischen forensischen Untersuchung erhalten, was bedeutet, dass die CISA nicht nur die Behebung, sondern auch die Überprüfung auf frühere Kompromittierungen verlangt.

Der Fall OpenSSH

Die Schwachstelle in OpenSSH, von Forschern „*sshole“ genannt, betrifft die sshd-Versionen vor 10.6p2 auf Linux-Systemen, die die musl-Bibliothek ohne PAM verwenden, was die Standardkonfiguration von Alpine Linux ist. Laut der Beschreibung der CISA liegt der Fehler in der Handhabung eines unerwarteten Rückgabecodes und ermöglicht es, die Authentifizierung zu umgehen. Praktisch können, gemäß der Warnung von Alpine und der Fachberichterstattung, gesperrte Konten mit einem Sternchen im Passwortfeld mit einem übergroßen Passwort zugänglich gemacht werden.

OpenSSH 10.6p2 wurde am 5. November veröffentlicht. Die Behebung lehnt nun zu kurze, gespeicherte Hashes ab, die ungültig sind. Alpine hat korrigierte Pakete in allen unterstützten Zweigen verteilt, und die vorläufige Empfehlung für diejenigen, die nicht sofort aktualisieren können, besteht darin, die Passwortanmeldung mit PasswordAuthentication auszuschalten. Distributionen, die auf glibc basieren, wie Red Hat, Ubuntu und Debian, sind laut den veröffentlichten Warnungen nicht betroffen.

Das Risiko für Unternehmen liegt weniger im physischen Server als vielmehr im Container. Alpine ist eines der beliebtesten Basisbilder in Docker, gerade weil es schlank ist, und Teams, die sshd in Bilder zur Fehlersuche oder zum Zugriff von Drittanbietern einbetten, könnten die verletzliche Konfiguration unwissentlich geerbt haben. OpenWrt, Buildroot und Yocto, die in Routern und eingebetteten Geräten verwendet werden, stehen ebenfalls auf der Liste der exponierten Systeme.

GPU als Angriffspunkt

Der Eintrag für GPUStack hat die engste Verbindung zur Unternehmens-IA-Agenda. Die CISA beschreibt den unbefugten administrativen Zugriff, der es ermöglicht, Benutzer und Modelle zu ändern, persistente Administrations-API-Schlüssel zu erstellen, Geheimnisse von Arbeitern und Cloud-Anbietern offenzulegen und Code über den Endpunkt POST /v2/inference-backends/from-yaml auszuführen. Die Version 2.2.0 behebt das Problem, so der CVE-Eintrag und die Fachberichterstattung.

Ein offenes Infektionsorchestrierungspanel übergibt dem Angreifer die Cloud-Zugangsdaten, die die GPUs bezahlen. Datenteams haben oft solche Werkzeuge außerhalb des formalen IT-Inventars bereitgestellt, was die Reaktion dort verlangsamt, wo die Kosten eines Missbrauchs, in Form von abgerechneten GPU-Stunden, am höchsten sind.

Bei FreeSWITCH weist die CISA auf Code-Injektion mit Konfigurations- und Credential-Lecks, willkürliche Anrufsteuerung und Ausführung von Befehlen hin. Die Behebung ist in Version 1.11.3 enthalten, laut der Warnung von SignalWire. Anbieter und Cloud-Contact-Center-Betreiber, die die Software als Sprachmotor nutzen, müssen das Update als dringend behandeln. Bei Aspera Faspex ermöglicht die Schwachstelle, dass ein authentifizierter Benutzer mit einer gefälschten Nachricht Privilegien eskaliert; IBM hat ein eigenes Bulletin herausgegeben.

Von der US-Behörde zu anderen Märkten

Die Frist bis zum 12. November gilt formal für die US-Bundesregierung, aber das KEV ist zu einem Referenzrahmen für Sicherheitsteams in anderen Ländern geworden. In der Europäischen Union, wo NIS2 eine dokumentierte Schwachstellenverwaltung für wesentliche Betreiber erfordert, ist eine Aufnahme in das Verzeichnis ein valides Argument, um außerhalb des Kalenders Wartungsfenster zu rechtfertigen. In Brasilien erfordern die Resolution CMN 4.893, die eine Cybersicherheitsrichtlinie für Finanzinstitutionen durchsetzt, und die Regulierung der Anatel für Betreiber (Resolution 740/2020) ebenfalls eine Schwachenverwaltung, und das KEV bietet die externe Basis, die Prüfer typischerweise anfordern.

Die Kombination in dieser Woche hat einen gemeinsamen Nenner: drei der vier Produkte sind Open-Source-Komponenten, die in anderen Produkten eingebettet sind, wie die CISA in den Aufzeichnungen von OpenSSH, GPUStack und FreeSWITCH anmerkt. Dies verschiebt die Arbeit des Patch-Teams auf die des Inventar-Managements. Die Frage, die der CISO bis Donnerstag beantworten muss, ist nicht, ob das Unternehmen OpenSSH nutzt, sondern in wie vielen Alpine-Images, vom jeweiligen Anbieter bereitgestellten Appliances und GPU-Clustern von Geschäftsbereichen es läuft, ohne dass jemand dies registriert hat.