CISA setzt 3-Tage-Frist: Vier kritische Lücken bei VoIP, Dateitransfer, SSH und KI-Servern

Am Montag hat die US-Behörde CISA (Cybersecurity and Infrastructure Security Agency) vier neue Schwachstellen in ihren Known Exploited Vulnerabilities (KEV)-Katalog aufgenommen – mit der Bestätigung, dass alle vier bereits aktiv ausgenutzt werden. Ungewöhnlich an diesem Fall: Betroffen sind vier völlig unterschiedliche, aber sehr verbreitete Business-Systeme gleichzeitig – eine VoIP-Telefonanlage, ein Dateitransfer-Server, ein selbst gehosteter KI-Modellserver und der SSH-Dienst, über den weltweit Linux-Server administriert werden.

US-Bundesbehörden haben bis zum 12. November 2026 Zeit zum Patchen – nur drei Tage nach der Warnung. Diese Frist gilt zwar nicht direkt für Schweizer Firmen, die Botschaft dahinter schon: Wenn Angreifer diese Lücken bereits aktiv gegen Regierungsnetzwerke ausnutzen, tun sie das auch gegen jeden anderen, der dieselbe Software einsetzt – inklusive Schweizer KMU.

Die vier Lücken im Klartext

• GPUStack (CVE-2026-102895) – eine Plattform, mit der viele Firmen eigene KI-/LLM-Modelle selbst hosten statt Cloud-Anbieter zu nutzen. Wer intern einen KI-Server für Mitarbeitende betreibt, sollte prüfen, ob GPUStack zum Einsatz kommt.
• SignalWire FreeSWITCH (CVE-2026-116779) – eine Open-Source-Engine, auf der viele Telefonanlagen (PBX) und VoIP-Systeme laufen. Läuft Ihre Bürotelefonanlage oder Ihr Call-Center darauf, ist die Lücke aktuell ausnutzbar.
• OpenBSD OpenSSH (CVE-2026-123158) – das Fernzugriffsprotokoll, das praktisch auf jedem Linux-Server läuft. Die Sicherheitsfirma GreyNoise registrierte bereits am 7. November um 00:46 Uhr den ersten realen Ausnutzungsversuch in ihrem Honeypot-Netzwerk – nur wenige Tage vor der CISA-Warnung.
• IBM Aspera Faspex (CVE-2026-123218) – ein Dateitransfer-Server, mit dem viele grössere Organisationen grosse Dateien sicher übertragen. Die mit maximalem Schweregrad 9.8 bewertete Lücke erlaubt es bereits angemeldeten Nutzern, Berechtigungsprüfungen zu umgehen und sich höhere Rechte zu verschaffen. IBM hat den Fix in Version 5.0.19 PL1 bereitgestellt.

Was Sie heute tun sollten

1. Bestandsaufnahme machen. Fragen Sie Ihren IT-Dienstleister oder Ihr internes Team direkt: Läuft hinter unserer Telefonanlage FreeSWITCH? Haben wir OpenSSH auf einem Linux-Server oder NAS? Nutzen wir ein Aspera-Faspex-Dateiportal? Betreiben wir irgendwo einen selbst gehosteten GPUStack-KI-Server?
2. Sofort patchen oder updaten – nicht auf das nächste Wartungsfenster warten. Bei Aspera Faspex auf Version 5.0.19 PL1 aktualisieren, bei den übrigen Systemen die in der CISA-Warnung genannten Herstellerpatches ohne Verzögerung einspielen.
3. SSH-Exposition prüfen. Ist ein Linux-Server über SSH aus dem Internet erreichbar, sicherstellen, dass er gepatcht ist, den Zugriff wo möglich auf bekannte IP-Adressen beschränken und die Login-Protokolle seit dem 7. November auf unbekannte Versuche durchsehen.
4. Nicht annehmen, «wir sind zu klein, um ein Ziel zu sein». Dass ein CISA-Honeypot innert Tagen nach Bekanntwerden der Lücke angegriffen wurde, zeigt: Angreifer scannen breit und automatisiert – Unternehmensgrösse spielt für einen automatisierten Scanner keine Rolle.
5. Dokumentieren, was Sie wann geprüft haben. Ein einfaches Patch-Protokoll ist Gold wert, falls gegenüber Versicherung oder Kunden einmal Sorgfalt nachgewiesen werden muss.

Warum das immer wieder passiert

Dies ist die jüngste in einer stetigen Reihe von Warnungen zu aktiv ausgenutzten Lücken in geschäftskritischen Systemen – VPN-Gateways, NAS-Geräte, E-Mail-Security-Appliances und jetzt Telefon- und Dateitransfer-Infrastruktur. Das Muster bleibt gleich: Eine Lücke wird entdeckt, die Ausnutzung beginnt innert Tagen, und wer zu spät patcht, wird erwischt. Den Überblick zu behalten, welche dieser Meldungen die eigene IT-Landschaft tatsächlich betrifft, ist für sich genommen schon ein Vollzeitjob – genau diese laufende Überwachung und Patch-Verwaltung bleibt in vielen KMU ohne eigene Sicherheitsabteilung auf der Strecke.

Genau diesen Bereich beobachtet Flitz.ai weiter und berichtet über die Bedrohungen, die für echte Unternehmen relevant sind – nicht nur über Schlagzeilen. Wer einen zweiten, fachkundigen Blick auf Netzwerk, Telefonanlage oder Server möchte: The Mejlerö Company (hinter Flitz.ai) bietet eine kostenlose Netzwerk-Analyse und eine kostenlose 1-Stunden-Beratung für Unternehmen in Obwalden, Nidwalden, Luzern und Zürich, dazu laufenden Remote- und Vor-Ort-Support. Ein praktischer Einstieg, um herauszufinden, ob eine dieser Lücken bei Ihnen zutrifft – bevor es jemand anderes herausfindet.

Quellen: The Hacker News, CISA.gov, IBM Support.