Neue 0-days, Sicherheitslücken und Datenlecks (Sept. 2026)

Noch ein kurzer Nachtrag von dieser Woche. In den Cisco Nexus 9000-Switches gibt es einen kritische Schwachstelle, die eine Übernahme ermöglicht. Im HPE ArubaOS-CX gibt es kritische Schwachstellen, die gepatcht wurden. Eine Person mit dem Alias Nightmare Eclipse hat die Tage u.a. eine 0-Day-Schwachstelle in CrowdStrike Falcon veröffentlicht. Hier eine Zusammenfassung verschiedener Themen.

Cisco Nexus 9000 mit Schwachstelle CVE-2026-20212

In den Cisco Nexus 9000-Switches für Rechenzentren und Unternehmen gibt es eine kritische Schwachstelle CVE-2026-20212 (CVSS 3.x Score 9.8). Diese, in der Silicon One-Integration für Switches der Cisco Nexus 9000-Serie (und ggf. der 3000-Serie) enthaltene, Schwachstelle könnte es einem nicht authentifizierten Remote-Angreifer ermöglichen, Code mit Root-Rechten auszuführen. Diese Sicherheitslücke besteht, da die TCP-Ports 43210 und 43211 im standardmäßigen virtuellen Routing- und Forwarding-Bereich (VRF) der Schicht 3 (L3) zugänglich sind.

Ein erfolgreicher Angriff könnte es dem Angreifer ermöglichen, eine Verbindung zu einem betroffenen Gerät herzustellen und speziell gestaltete Eingaben zu senden, die als Code mit Root-Rechten ausgeführt werden könnten. Die Ausnutzung dieser Sicherheitslücke könnte zudem zum Absturz des S1HAL-Prozesses führen, was einen Neustart des Geräts zur Folge haben könnte. Cisco hat zum 2.9.2026 diese Sicherheitswarnung dazu veröffentlicht.

Kritische Sicherheitslücken in HPE ArubaOS-CX

In einem Daemon des Netzwerkbetriebssystems ArubaOS-CX bestehen mehrere Sicherheitslücken. Ein nicht authentifizierter Angreifer könnte diese Sicherheitslücken ausnutzen, indem er speziell gestaltete Pakete an den betroffenen Dienst sendet. Eine erfolgreiche Ausnutzung könnte zur Remote-Codeausführung mit erhöhten Berechtigungen führen. Die Schwachstelle CVE-2026-73749 (CVSS 3.x 8.8, critical)  beschreibt einen Pufferüberlauf, der die obige Ausnutzung ermöglicht.

HPE hat diesen Sicherheitshinweise samt Updates für das Netzwerkbetriebssystem ArubaOS-CX veröffentlicht. Bleeping Computer geht in diesem Beitrag auf dieses Thema ein.

FalconFlank: 0-Day-Schwachstelle in CrowdStrike Falcon

Nightmare Eclipse, der schon zahlreiche 0-day-Schwachstellen in Microsoft-Produkten publiziert hat, hat die Tage u.a. eine 0-Day-Schwachstelle (FalconFlank) in der Sicherheitssoftware CrowdStrike Falcon veröffentlicht.

Laut der Beschreibung auf GitHub ist FalconFlank ist eine 0-Day-Sicherheitslücke zur Rechteausweitung, die die Funktion zur Beseitigung bösartiger Office-Makros im Crowdstrike Falcon Sensor ausnutzt. Der Proof of Concept Exploit funktioniert derzeigt auf einem vollständig aktualisierten Windows 11 25H2 / Windows Server 2025 mit Crowdstrike Falcon – Phase 3 Optimal Protection, wobei die Funktion „Entfernung bösartiger Makros aus Microsoft Office-Dateien" aktiviert sein muss.

PrettyPrague: GenDigital Avast Antivirus 0-Day

Einige Tage vorher hat Nightmare Eclipse den 0-Day-Exploit PrettyPrague in GenDigital Avast Antivirus veröffentlicht. Der PoC nutzt eine Schwachstelle in der Avast-Sandbox aus, um die SAM-Datenbank von Windows auszulesen, und startet eine vollständige SYSTEM-Shell.

Zum Zeitpunkt der Erstellung dieses Beitrags funktioniert der PoC mit vollständig gepatchtem Avast Antivirus und gepatchtem Windows 11 25H2. Der Entdecker glaubt, dass diese Sicherheitslücke auch andere GenDigital-Produkte betrifft (wie z. B. AVG, Norton etc.). Derzeit ist der PoC mit jeder Version von Avast Antivirus kompatibel.

Azure VM per IMDS angreifen

Ein einziger curl-Befehl auf einer ungeschützten Azure-VM birgt das Risiko, dass das gesamte Abonnement über IMDS kompromittiert wird, heißt es in diesem Tweet. In diesem Blog-Beitrag wird gezeigt, wie Managed-Identity-Token die ultimative Backdoor für Azure-VMs sind.

Microsoft verschärft Anforderungen für Windows-Treiber

Microsoft reagiert auf diverse Regularien wie den EU Cyber-Resilienz Act (CRA) und verschärft die Richtlinien des Windows Hardware Compatibility Program (WHCP) für Windows 25H2/26H1 (und Windows Server 2025) Treiber. Ab März 2027 verlangt Microsoft, dass Entwickler von Treibern SBOMs & VEX-Erklärungen einreichen. SBOMs steht für Software Bill of Materials, eine formale Liste aller Bausteine, Bibliotheken und Abhängigkeiten, die in einer Software-Anwendung stecken. Die Details lassen sich im Techcommunity-Beitrag SBOMs and VEX statements will be required starting 03/2027 vom 2. September 2026 nachlesen.

Schwachstelle in USB-Drucker-Treiber

Ein Sicherheitsforscher mit dem Alias zeifan will eine Out-of-Bounds Read (OOB Read)-Schwachstelle im USB-Drucker-Treiber usbprint.sys von Windows entdeckt haben. Der Forscher hat die Schwachstelle an das Microsoft MSRC gemeldet, aber Microsoft hat sich entschieden, keinen Fix zu veröffentlichen, schreibt er in diesem Blog-Beitrag.

Beim Angriff wird ein bösartiges USB-Gerät an den Computer angeschlossen, dass sich als USB-Drucker ausgibt. Die USB-Einheit reagiert mit einer verzögerten IEEE-1284-Identitätsanfrage mit STALL und sendet einen speziell vorbereiteten (ohne NUL) USB-String-Deskriptor. Sobald usbprint.sys die Daten verarbeitet, kommt es im Kernel zu einem Out-of-Bounds Read. Das löst einen BlueScreen aus, so dass Windows per DoS lahm gelegt werden könnte.

CRPx0 ClickFix Ransomware-Analyse

CRPx0 ist eine ClickFix Ransomware-as-a-Service Operation, deren Köder sich als Windows- und macOS-Update-Aufforderungen sowie reCAPTCHA-Prüfungen tarnen, um Opfer dazu zu verleiten, einen kopierten Befehl auszuführen. Sicherheitsforscher von Ransom-ISAC haben eine vollständige Analyse dieses Angriffs offen gelegt und zeigen, wie man sich vor diesen Angriffen schützen kann.