CISA-Warnung: Vier kritische Lücken in VMware, Apple und Microsoft
Veröffentlicht am: 19.08.2026 um 12:14 Uhr | Redaktion boerse-global.de
Die US-Cybersicherheitsbehörde CISA hat am 19. August 2026 vier neue Sicherheitslücken in ihren Katalog der bekanntlich ausgenutzten Schwachstellen (KEV) aufgenommen. Die Behörde warnt davor, dass diese Fehler in Produkten von Microsoft, VMware und Apple bereits aktiv für Angriffe genutzt werden.
Für US-Bundesbehörden (FCEB) wurde eine verbindliche Frist bis zum 21. August 2026 gesetzt, um die betroffenen Systeme durch entsprechende Patches abzusichern.
Kritische Sicherheitslücken in vCenter und macOS
Besonders schwerwiegend wird die Schwachstelle CVE-2026-59310 eingestuft, die VMware vCenter betrifft. Mit einem CVSS-Wert von 9.8 gilt sie als kritisch. Die Lücke basiert auf einem sogenannten Directory Traversal im Syslog-Dienst, der es Angreifern ermöglicht, aus der Ferne Schadcode auszuführen (Remote Code Execution).
Da für diesen Exploit laut Expertenberichten derzeit kein Workaround verfügbar ist, bleibt die Installation der bereitgestellten Sicherheits-Updates die einzige effektive Schutzmaßnahme. Die CISA hatte diese spezifische Lücke bereits am 18. August 2026 in den KEV-Katalog aufgenommen.
Ebenfalls mit einem kritischen Wert von 9.8 bewertet wurde CVE-2026-65400 innerhalb des Betriebssystems macOS von Apple. Hierbei handelt es sich um einen Fehler im Authentifizierungsprozess der Screen-Sharing-Funktion. Angreifer können diesen Mangel ausnutzen, um Sicherheitsvorkehrungen zu umgehen.
Schwachstellen bei Microsoft IKE und SharePoint
Zwei weitere Neuzugänge im KEV-Katalog betreffen Microsoft-Produkte. Die Schwachstelle CVE-2026-33824 betrifft das Internet Key Exchange (IKE)-Protokoll und wird durch einen Double-Free-Fehler verursacht. Auch hier liegt die Bewertung bei einem CVSS-Score von 9.8. Die vierte im Bunde ist CVE-2026-55040 mit einem Wert von 9.1, die Microsoft SharePoint betrifft.
In diesem Fall ermöglicht eine schwache Authentifizierung den unbefugten Zugriff. Für alle vier genannten Sicherheitslücken stehen laut offiziellen Angaben inzwischen Patches der jeweiligen Hersteller zur Verfügung.
Angesichts der rasanten Entwicklung bei kritischen Sicherheitslücken müssen Unternehmen ihre IT-Infrastruktur heute proaktiver schützen denn je. Dieses kostenlose E-Book enthüllt, wie Sie Sicherheitslücken schließen und gleichzeitig neue gesetzliche Anforderungen erfüllen. IT-Sicherheit stärken ohne teure Investitionen
GitLab behebt kritischen GraphQL-Fehler
Parallel zu den Warnungen der CISA hat GitLab eine kritische Sicherheitslücke in seinen Community- und Enterprise-Editionen geschlossen. Die als CVE-2026-19478 identifizierte Schwachstelle weist einen CVSS-Wert von 9.4 auf. Sie ermöglicht es unbefugten Akteuren, mittels einer manipulierten GraphQL-Direktive Programmcode einzuschleusen. Damit könnten öffentliche Projekte ohne Autorisierung verändert oder gelöscht werden.
Betroffen von diesem Fehler sind die Versionen 18.2 bis vor 18.11.11 sowie die Versionsstränge 19.0, 19.1 und 19.2 jeweils bis zu den aktuellsten Sicherheits-Releases.
GitLab hat entsprechende Korrekturen in den Versionen 19.2.4, 19.1.6, 19.0.8 und 18.11.11 veröffentlicht. Während die Cloud-Dienste GitLab.com und GitLab Dedicated bereits abgesichert wurden, müssen Betreiber selbstverwalteter Instanzen dringend aktiv werden.
Immer mehr Unternehmen werden zur Zielscheibe von Cyberangriffen, die oft über bekannte Schwachstellen in der Software erfolgen. Experten erklären in diesem kostenlosen Report, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt kennen müssen. Aktuellen Cyber-Security-Report gratis anfordern
Sicherheitslage und Prävention
Die aktuelle GitLab-Lücke ist bereits der dritte kritische GraphQL-Fehler innerhalb des laufenden Jahres. Ein Notfall-Patch wurde bereits im Laufe der Woche zur Verfügung gestellt.
Obwohl Sicherheitsexperten des Unternehmens watchTowr die Schwachstelle nach eigenen Angaben innerhalb weniger Minuten reproduzieren konnten, gibt es bislang keine bestätigten Meldungen über eine aktive Ausnutzung im Feld. Um die Risiken zu minimieren, hat GitLab angekündigt, technische Details erst nach einer Frist von 90 Tagen zu veröffentlichen.
Unternehmen, die Patches nicht unmittelbar einspielen können, wird geraten, den Zugriff auf die GraphQL-Schnittstelle unter /api/graphql einzuschränken und die entsprechenden Protokolle engmaschig auf verdächtige Aktivitäten zu überwachen. Zusätzlich zum kritischen GraphQL-Fehler wurde im selben Update auch CVE-2026-19650 behoben, eine Schwachstelle für Cross-Site Request Forgery (CSRF) mit einem CVSS-Wert von 7.1.
