CISA KEV: Angriffe auf jahrealte Lücken in BIND und Struts

Fünf Schwachstellen, deren Fixes seit Jahren existieren, stehen seit dem 8. Oktober 2026 im Katalog der aktiv ausgenutzten Sicherheitslücken der US-Cybersicherheitsbehörde CISA. Betroffen sind der FTP-Server ProFTPD, der DNS-Server ISC BIND, das Web-Framework Apache Struts sowie die Dokumenten- und CMS-Anwendungen ONLYOFFICE Docs und Strapi. Für US-Bundesbehörden endete die Abhilfefrist bereits am 11. Oktober 2026, nur drei Tage nach der Aufnahme. Der Kern des Falls liegt aber nicht im Patch, sondern im Inventar: Wer nicht weiß, dass ein System noch läuft, kann es auch nicht absichern.

CISA KEV: fünf Einträge, drei Tage Frist

Der KEV-Katalog (Known Exploited Vulnerabilities) umfasst inzwischen 1.739 Einträge. Alle fünf Neuzugänge tragen dasselbe Datum: aufgenommen am 8. Oktober 2026, Frist am 11. Oktober 2026. Zwischen Warnung und Deadline liegen damit nur drei Tage statt der üblichen längeren Abhilfefenster.

Für ProFTPD ist der Eintrag CVE-2015-3306 im KEV-Katalog einsehbar. Zugeordnet ist die Schwachstellenklasse CWE-284, also unzureichende Zugriffskontrolle. Die Nutzung durch Ransomware gibt CISA mit „Unknown" an, zusätzlich vermerkt der Eintrag eine Pflicht zur forensischen Nachanalyse („Forensic triage required per BOD 26-04: Yes"). Diese Triage ist der entscheidende Zusatz: Wo sie greift, genügt das nachträgliche Einspielen eines Patches nicht, es muss geprüft werden, ob ein Angreifer bereits im System war.

Für Apache Struts führt CISA den Eintrag CVE-2016-3081 mit identischen Daten. Klassifiziert ist er als Command Injection (CWE-77), ausnutzbar bis zur Codeausführung aus der Ferne, sofern die Dynamic Method Invocation aktiviert ist. Angreifer sprechen dann über ein method:-Präfix im Aufruf eigene Methoden an. Die Verknüpfung mit dem Apache-Bulletin S2-032 verweist auf einen längst veröffentlichten Fix.

Warum tauchen diese Lücken erst jetzt im Katalog auf? Weil „aktiv ausgenutzt" das Kriterium ist, nicht „neu".

Elf Jahre zwischen Patch und Warnung

Die Kennung CVE-2015-3306 stammt aus dem Jahr 2015, CVE-2016-3081 aus dem Jahr 2016. Die zugrunde liegenden Fehler sind also zehn bis elf Jahre alt, und entsprechend lange existieren Korrekturen. Wer ein halbwegs reguläres Patch-Management betreibt, dürfte beide Lücken längst geschlossen haben.

Genau darin liegt der eigentliche Befund. Die Aufnahme in den KEV-Katalog ist kein Patch-Notstand, sondern ein Inventar-Notstand. Gefährlich sind diese Systeme nicht, weil die Lücke unbekannt wäre, sondern weil sie außerhalb jeder Wartung stehen: Altsysteme, Testinstanzen, vergessene virtuelle Maschinen. Eine Analyse zum KEV-Katalog und dem Inventarproblem beschreibt das mit dem Bild eines Servers, „den nur noch Klaus kennt". Zugespitzt, aber selten falsch.

CISA selbst weist darauf hin, dass eine Schwachstelle auch eine eingebettete Open-Source-Komponente betreffen kann. Die verwundbare Software muss also nicht als eigenständiger Eintrag im Inventar stehen, sie kann in einer Anwendung stecken, die niemand mit dem Namen ProFTPD oder Struts verbindet. Das erklärt, warum eine seit Jahren gepatchte Lücke überhaupt noch produktiv laufen kann.

Fünf Produkte, fünf unterschiedliche Angriffsflächen

Die fünf Einträge decken sehr verschiedene Rollen im Netz ab: ein FTP-Daemon, ein DNS-Server, ein Web-Framework sowie mit ONLYOFFICE Docs und Strapi zwei Web-Anwendungen für Dokumente und Inhalte. DNS und FTP sind klassische Ziele, weil sie häufig direkt aus dem Internet erreichbar sind und selten im Fokus moderner Sicherheitsprogramme stehen.

Eine Übersicht aller fünf Einträge mit Kurzbeschreibungen und CVSS-Scores liegt vor, ebenso Detailangaben zu betroffenen und gepatchten Versionen. Zwei Einschränkungen gehören dazu: Für ISC BIND, ONLYOFFICE Docs und Strapi nennt der vorliegende Recherchestand keine einzelnen CVE-Nummern, und zu den beobachteten Angriffen selbst, also Wer, Wann und Wo, macht CISA keine Angaben. Die Aufnahme in den Katalog belegt die Ausnutzung, nicht die Herkunft.

Die Meldung, dass Angriffe auf diese alten Lücken beobachtet werden, hat die Fälle in den deutschsprachigen Raum getragen. Neue technische Details zu den Angriffen liefert sie nicht. Das Muster ist bekannt: Die Aufmerksamkeit gilt dem Angriff, die Arbeit liegt im Bestand.

Was Betreiber jetzt tun sollten

Als Standardmaßnahme verlangt CISA Mitigationen nach Herstellerangaben gemäß BOD 26-04; ist das nicht umsetzbar, soll die Produktnutzung eingestellt werden. Die Frist gilt formal nur für US-Bundesbehörden, die Schwachstellen selbst kennen keine Landesgrenzen. Wie stark deutsche oder europäische Organisationen betroffen sind, lässt sich aus den vorliegenden Informationen nicht ableiten.

Für die Praxis ergeben sich daraus vier Schritte:

Inventar prüfen: Läuft irgendwo noch ProFTPD, ein älterer BIND, eine Struts-Anwendung oder eine Instanz von ONLYOFFICE Docs und Strapi, auch in Test- und Schattenumgebungen?
Eingebettete Komponenten mitdenken: Wer nur seine Produktliste durchgeht, übersieht die verwundbare Bibliothek in einer Anwendung.
Forensische Nachanalyse: Wo Triage verlangt ist, reicht Patchen nicht aus.
Exponierte Dienste zuerst: FTP und DNS sind oft direkt erreichbar und damit die wahrscheinlichsten Einstiegspunkte.

Fazit

Der KEV-Katalog ist kein Patch-Alarm, sondern ein Bestandsproblem mit Zeitverzug. Die Fixes sind vorhanden, die Warnung ist alt, und trotzdem rechnet CISA mit aktiver Ausnutzung. Wer sein Inventar nicht kennt, kann diese Lücke nicht schließen, er weiß nicht einmal, dass sie bei ihm offen ist.

Quellen