Das Advisory betrifft die Citrix Workspace App für Windows, die in vielen Unternehmensumgebungen als Client für den Zugriff auf Citrix-Infrastrukturen eingesetzt wird. Da weder CVE-Details noch ein Advisory-Volltext vorliegen, ist eine präzise Bewertung von CVSS-Vektor, Authentifizierungsvoraussetzungen oder EPSS-Score nicht möglich. Die Formulierung 'nicht spezifizierter Angriff' deutet auf eine noch unvollständige Offenlegung hin, was eine konservative Einstufung erfordert. Citrix-Produkte sind historisch ein attraktives Angriffsziel; die Workspace App selbst läuft typischerweise im Benutzerkontext auf Endgeräten, was das Risiko gegenüber serverseitigen Komponenten etwas reduziert.
Das Advisory beschreibt eine XSS-Schwachstelle in Microsoft Edge, einem Browser, der im Unternehmenskontext der Beispiel GmbH auf Windows 10/11-Systemen typischerweise eingesetzt wird. XSS-Schwachstellen in Browsern erfordern in der Regel eine Benutzerinteraktion (Besuch einer präparierten Seite) und ermöglichen primär Session-Hijacking oder Credential-Diebstahl, keine direkte Systemkompromittierung. Da weder CVE-Details, CVSS-Vektor, EPSS-Score noch KEV-Status verfügbar sind, ist eine präzise Risikoeinschätzung nicht möglich – die Bewertung basiert auf dem typischen Schadenspotenzial dieser Schwachstellenklasse in Browsern.
Basierend auf dem Kundenprofil betrifft dieses Advisory keine im Einsatz befindlichen Systeme oder Technologien.
Basierend auf dem Kundenprofil betrifft dieses Advisory keine im Einsatz befindlichen Systeme oder Technologien.
Basierend auf dem Kundenprofil betrifft dieses Advisory keine im Einsatz befindlichen Systeme oder Technologien.
Basierend auf dem Kundenprofil betrifft dieses Advisory keine im Einsatz befindlichen Systeme oder Technologien.
Basierend auf dem Kundenprofil betrifft dieses Advisory keine im Einsatz befindlichen Systeme oder Technologien.
Basierend auf dem Kundenprofil betrifft dieses Advisory keine im Einsatz befindlichen Systeme oder Technologien.
Basierend auf dem Kundenprofil betrifft dieses Advisory keine im Einsatz befindlichen Systeme oder Technologien.
Basierend auf dem Kundenprofil betrifft dieses Advisory keine im Einsatz befindlichen Systeme oder Technologien.
Basierend auf dem Kundenprofil betrifft dieses Advisory keine im Einsatz befindlichen Systeme oder Technologien.
Basierend auf dem Kundenprofil betrifft dieses Advisory keine im Einsatz befindlichen Systeme oder Technologien.
Basierend auf dem Kundenprofil betrifft dieses Advisory keine im Einsatz befindlichen Systeme oder Technologien.
Basierend auf dem Kundenprofil betrifft dieses Advisory keine im Einsatz befindlichen Systeme oder Technologien.
Basierend auf dem Kundenprofil betrifft dieses Advisory keine im Einsatz befindlichen Systeme oder Technologien.
Basierend auf dem Kundenprofil betrifft dieses Advisory keine im Einsatz befindlichen Systeme oder Technologien.
Basierend auf dem Kundenprofil betrifft dieses Advisory keine im Einsatz befindlichen Systeme oder Technologien.
Basierend auf dem Kundenprofil betrifft dieses Advisory keine im Einsatz befindlichen Systeme oder Technologien.
Basierend auf dem Kundenprofil betrifft dieses Advisory keine im Einsatz befindlichen Systeme oder Technologien.
Basierend auf dem Kundenprofil betrifft dieses Advisory keine im Einsatz befindlichen Systeme oder Technologien.
Basierend auf dem Kundenprofil betrifft dieses Advisory keine im Einsatz befindlichen Systeme oder Technologien.
Basierend auf dem Kundenprofil betrifft dieses Advisory keine im Einsatz befindlichen Systeme oder Technologien.
Basierend auf dem Kundenprofil betrifft dieses Advisory keine im Einsatz befindlichen Systeme oder Technologien.
Basierend auf dem Kundenprofil betrifft dieses Advisory keine im Einsatz befindlichen Systeme oder Technologien.
Basierend auf dem Kundenprofil betrifft dieses Advisory keine im Einsatz befindlichen Systeme oder Technologien.
Basierend auf dem Kundenprofil betrifft dieses Advisory keine im Einsatz befindlichen Systeme oder Technologien.
Basierend auf dem Kundenprofil betrifft dieses Advisory keine im Einsatz befindlichen Systeme oder Technologien.
Apache ActiveMQ ist in der eingesetzten Technologiebasis der Beispiel GmbH nicht aufgeführt. Eine Bewertung der konkreten Schwachstellen ist zudem nicht möglich, da weder CVE-Details noch ein Advisory-Volltext vorliegen. Historisch wurden in Apache ActiveMQ kritische RCE-Schwachstellen (z. B. CVE-2023-46604) aktiv ausgenutzt, weshalb das Produkt generell als hochrisikoreich einzustufen ist – sofern es betrieben wird.
Basierend auf dem Kundenprofil betrifft dieses Advisory keine im Einsatz befindlichen Systeme oder Technologien.
Apache Cassandra ist in der eingesetzten Technologiebasis der Beispiel GmbH nicht vorhanden. Das Advisory betrifft eine Denial-of-Service-Schwachstelle in Apache Cassandra (Netty-Komponente), die für Umgebungen ohne dieses Produkt keine Angriffsfläche bietet. Mangels CVE-Details, CVSS-Vektor, EPSS-Score und Advisory-Volltext ist eine tiefergehende technische Bewertung nicht möglich. Da das Produkt nicht im Einsatz ist, ergibt sich kein Handlungsbedarf.
Basierend auf dem Kundenprofil betrifft dieses Advisory keine im Einsatz befindlichen Systeme oder Technologien.
Google Chrome und Microsoft Edge sind erfahrungsgemäß häufig von kritischen Schwachstellen betroffen, die über präparierte Webseiten ohne Authentifizierung ausgenutzt werden können. Da keine CVE-Details vorliegen, ist eine präzise CVSS- oder EPSS-Bewertung nicht möglich. Historisch werden Browser-Schwachstellen schnell aktiv ausgenutzt, und der Kunde setzt Windows 10/11 ein, auf denen Edge standardmäßig installiert ist. Die Einstufung als HOCH erfolgt konservativ auf Basis des bekannten Musters bei Browser-Advisories mit mehreren Schwachstellen.
Basierend auf dem Kundenprofil betrifft dieses Advisory keine im Einsatz befindlichen Systeme oder Technologien.
Google Chrome und Microsoft Edge sind typischerweise auf Windows 10/11-Arbeitsplätzen im Unternehmensumfeld weit verbreitet, was diese Schwachstellen für den Kunden relevant macht. Browser-Schwachstellen werden historisch häufig aktiv ausgenutzt, da sie über manipulierte Webseiten ohne Benutzerinteraktion über das Netzwerk erreichbar sind. Da keine CVE-Details oder EPSS-Scores vorliegen, kann die genaue Ausnutzbarkeit nicht bewertet werden – bei Browser-Advisories mit 'mehreren Schwachstellen' ist jedoch erfahrungsgemäß von mindestens einer hochkritischen Schwachstelle auszugehen. Die Confidence dieser Einschätzung ist entsprechend niedrig, da keine technischen Details verfügbar sind.
Basierend auf dem Kundenprofil betrifft dieses Advisory keine im Einsatz befindlichen Systeme oder Technologien.
Google Chrome und Microsoft Edge sind im Unternehmensumfeld nahezu universell verbreitet und damit hochrelevante Angriffsvektoren. Browser-Schwachstellen werden erfahrungsgemäß sehr schnell aktiv ausgenutzt, da sie über präparierte Webseiten ohne Benutzerinteraktion über das Netzwerk erreichbar sind. Da keine CVE-Details vorliegen, kann keine präzise CVSS- oder EPSS-Bewertung erfolgen – bei Browser-Advisories mit 'mehreren Schwachstellen' ist jedoch typischerweise von mindestens einer hochkritischen Schwachstelle (z.B. Memory Corruption, Use-after-Free) auszugehen. Der Kunde setzt Windows 10/11 ein, auf denen beide Browser standardmäßig vorhanden sind.
Google Chrome und Microsoft Edge sind in Unternehmensumgebungen nahezu universell verbreitet und damit ein bevorzugtes Angriffsziel. Browser-Schwachstellen – insbesondere wenn mehrere gleichzeitig adressiert werden – umfassen erfahrungsgemäß häufig speicherbezogene Fehler (Use-after-free, Heap-Corruption) mit Netzwerkzugang ohne Authentifizierung, da der Angriff über manipulierte Webseiten erfolgt. Da keine CVE-Details vorliegen, ist eine präzise CVSS- oder EPSS-Bewertung nicht möglich; historisch werden Browser-Patches jedoch regelmäßig zeitnah aktiv ausgenutzt. Der Kunde setzt Windows 10/11 ein, auf denen Edge als Standardbrowser vorinstalliert ist, was die Angriffsfläche erhöht.
Basierend auf dem Kundenprofil betrifft dieses Advisory keine im Einsatz befindlichen Systeme oder Technologien.
Das Advisory betrifft Google Chrome und Microsoft Edge mit mehreren Schwachstellen, die Codeausführung ermöglichen – eine klassisch kritische Schwachstellenkategorie in weit verbreiteten Browsern. Da keine CVE-Details oder EPSS-Scores vorliegen, ist eine präzise Exploitabilitätsbewertung nicht möglich. Erfahrungsgemäß werden Browser-RCE-Schwachstellen jedoch schnell aktiv ausgenutzt, da Angreifer lediglich einen Nutzer auf eine präparierte Webseite locken müssen (kein Netzwerkzugang zum Unternehmen erforderlich, keine Authentifizierung). Der Kunde setzt Windows 10/11 ein, auf denen Edge standardmäßig installiert ist und Chrome typischerweise weit verbreitet ist – die Angriffsfläche ist daher als hoch einzustufen.
Google Chrome und Microsoft Edge sind in Unternehmensumgebungen nahezu universell verbreitet und damit ein bevorzugtes Angriffsziel. Browser-Schwachstellen werden historisch sehr schnell aktiv ausgenutzt, da sie über manipulierte Webseiten ohne Benutzerinteraktion über das Netzwerk erreichbar sind. Da keine CVE-Details vorliegen, ist eine präzise CVSS- oder EPSS-Bewertung nicht möglich – bei Browser-Advisories mit 'mehreren Schwachstellen' ist jedoch erfahrungsgemäß von mindestens einer hochkritischen Schwachstelle (z.B. Use-after-free, Type Confusion) auszugehen. Der Kunde setzt Windows 10/11 ein, auf denen beide Browser typischerweise installiert sind.
Basierend auf dem Kundenprofil betrifft dieses Advisory keine im Einsatz befindlichen Systeme oder Technologien.
Basierend auf dem Kundenprofil betrifft dieses Advisory keine im Einsatz befindlichen Systeme oder Technologien.
Basierend auf dem Kundenprofil betrifft dieses Advisory keine im Einsatz befindlichen Systeme oder Technologien.
Basierend auf dem Kundenprofil betrifft dieses Advisory keine im Einsatz befindlichen Systeme oder Technologien.
Basierend auf dem Kundenprofil betrifft dieses Advisory keine im Einsatz befindlichen Systeme oder Technologien.
Basierend auf dem Kundenprofil betrifft dieses Advisory keine im Einsatz befindlichen Systeme oder Technologien.
Basierend auf dem Kundenprofil betrifft dieses Advisory keine im Einsatz befindlichen Systeme oder Technologien.
Basierend auf dem Kundenprofil betrifft dieses Advisory keine im Einsatz befindlichen Systeme oder Technologien.
Basierend auf dem Kundenprofil betrifft dieses Advisory keine im Einsatz befindlichen Systeme oder Technologien.
Basierend auf dem Kundenprofil betrifft dieses Advisory keine im Einsatz befindlichen Systeme oder Technologien.
Basierend auf dem Kundenprofil betrifft dieses Advisory keine im Einsatz befindlichen Systeme oder Technologien.
Basierend auf dem Kundenprofil betrifft dieses Advisory keine im Einsatz befindlichen Systeme oder Technologien.
Basierend auf dem Kundenprofil betrifft dieses Advisory keine im Einsatz befindlichen Systeme oder Technologien.
Basierend auf dem Kundenprofil betrifft dieses Advisory keine im Einsatz befindlichen Systeme oder Technologien.
Basierend auf dem Kundenprofil betrifft dieses Advisory keine im Einsatz befindlichen Systeme oder Technologien.
Basierend auf dem Kundenprofil betrifft dieses Advisory keine im Einsatz befindlichen Systeme oder Technologien.
EPSS 0.8% – sehr geringes Ausnutzungsrisiko. Übertrifft 53% aller bekannten CVEs. Kaum aktive Exploitation in der Wildnis beobachtet.
Das Advisory betrifft Git Large File Storage (git-lfs) auf Linux-Systemen, konkret Red Hat Enterprise Linux-Varianten. Der Kunde setzt SLES 15 und Ubuntu 22.04 LTS ein, nicht RHEL – die bereitgestellten Sicherheitsupdates gelten daher nicht direkt. Darüber hinaus ist git-lfs ein Entwicklerwerkzeug, das im beschriebenen Technologiestack des Kunden nicht aufgeführt ist. CVE-Daten und EPSS-Scores liegen nicht vor, da das Advisory sehr neu ist und die CVE-IDs (teils mit 2026er-Jahrgang) noch nicht in öffentlichen Datenbanken verfügbar sind – eine fundierte Exploitabilitätsbewertung ist daher nicht möglich.
EPSS 1.0% – sehr geringes Ausnutzungsrisiko. Übertrifft 57% aller bekannten CVEs. Kaum aktive Exploitation in der Wildnis beobachtet.
Das Advisory betrifft ausschließlich Red Hat OpenShift Container Platform 4.14 auf RHEL 8/9. Im Technologieportfolio der Beispiel GmbH ist weder OpenShift noch RHEL im Einsatz – die eingesetzten Linux-Systeme sind SLES 15 und Ubuntu 22.04 LTS. Obwohl einzelne CVEs mit CVSS bis 8.8 und netzwerkbasiertem Angriffsvektor ohne Authentifizierung (CVE-2026-43112) grundsätzlich ernst zu nehmen wären, sind die EPSS-Scores mit 0,3–1,0 % durchweg niedrig und kein Eintrag in der CISA KEV vorhanden. Eine Betroffenheit des Kunden ist nicht gegeben.
EPSS 0.6% – sehr geringes Ausnutzungsrisiko. Übertrifft 44% aller bekannten CVEs. Kaum aktive Exploitation in der Wildnis beobachtet.
Beide Schwachstellen (CVE-2026-64530, CVE-2026-74480) erfordern lokalen Zugriff mit üblichen Benutzerrechten – kein Netzwerkzugang möglich, was die Angriffsfläche erheblich reduziert. CVE- und EPSS-Daten sind noch nicht verfügbar, da das Advisory sehr neu ist; eine fundierte Exploitabilitätsbewertung ist daher nicht möglich. Der Kunde betreibt Ubuntu 22.04 LTS und SLES 15, jedoch bezieht sich das Sicherheitsupdate explizit auf Red Hat Enterprise Linux for ARM 64 (aarch64) – Patches für die eingesetzten Distributionen stehen möglicherweise noch aus oder sind separat zu prüfen. Da keine KEV-Einstufung vorliegt und lokale Privilegien erforderlich sind, ist das unmittelbare Risiko begrenzt, aber nicht zu vernachlässigen.
EPSS 0.5% – sehr geringes Ausnutzungsrisiko. Übertrifft 39% aller bekannten CVEs. Kaum aktive Exploitation in der Wildnis beobachtet.
Die Schwachstelle CVE-2026-53587 betrifft die Rust-Toolchain auf Linux-Systemen (konkret eine Schwachstelle in libgit2) und ermöglicht einen Remote-DoS-Angriff ohne Authentifizierung. Der Kundenkontext zeigt jedoch keine Rust-Entwicklungsumgebungen oder entsprechende Linux-Distributionen (RHEL/CentOS): Eingesetzt werden SLES 15 und Ubuntu 22.04 LTS, nicht Red Hat Enterprise Linux. Da keine CVE-Detaildaten (CVSS, EPSS) verfügbar sind und Rust-Entwicklungstools im beschriebenen Produktivumfeld des Kunden nicht gelistet sind, besteht keine erkennbare Angriffsfläche. Selbst wenn Rust auf den Linux-Systemen installiert wäre, handelt es sich um ein Entwicklungswerkzeug, das in Produktivumgebungen typischerweise nicht exponiert ist.
EPSS 0.2% – sehr geringes Ausnutzungsrisiko. Übertrifft 13% aller bekannten CVEs. Kaum aktive Exploitation in der Wildnis beobachtet.
Die Schwachstelle CVE-2026-18369 betrifft das Red Hat Certificate System (Dogtag) auf RHEL 8.6, das im Technologieportfolio der Beispiel GmbH nicht eingesetzt wird. Der Kunde nutzt SLES 15 und Ubuntu 22.04 LTS als Linux-Plattformen, jedoch kein Red Hat Enterprise Linux und kein Red Hat Certificate System. Zu CVE-2026-18369 liegen keine CVSS- oder EPSS-Daten vor, da das Advisory sehr neu ist; eine weitergehende Risikoeinschätzung ist daher ohnehin eingeschränkt. Trotz der beschriebenen Remote-Ausnutzbarkeit ohne Authentifizierung besteht für diesen Kunden kein Handlungsbedarf.
EPSS 0.7% – sehr geringes Ausnutzungsrisiko. Übertrifft 50% aller bekannten CVEs. Kaum aktive Exploitation in der Wildnis beobachtet.
strongSwan ist ein weit verbreiteter IPsec-VPN-Stack unter Linux. Der Kunde betreibt SLES 15, was direkt betroffen ist. Die Schwachstellen sind remote ohne Authentifizierung ausnutzbar und ermöglichen DoS sowie Informationsabfluss – für einen VPN-Gateway ein relevantes Angriffsszenario. CVE-Details und EPSS-Scores liegen noch nicht vor (sehr neues Advisory vom 2026-09-14), daher ist die tatsächliche Ausnutzbarkeit in der Praxis noch nicht quantifizierbar. Kein KEV-Eintrag bekannt. DoS gegen VPN-Infrastruktur kann Betriebsunterbrechungen verursachen, ist aber kein direkter Kompromittierungsvektor.
EPSS 0.8% – sehr geringes Ausnutzungsrisiko. Übertrifft 53% aller bekannten CVEs. Kaum aktive Exploitation in der Wildnis beobachtet.
Das Advisory betrifft git-lfs auf Red Hat Enterprise Linux (RHEL) 9.6. Die Beispiel GmbH setzt laut Technologieprofil SLES 15 und Ubuntu 22.04 LTS ein, jedoch kein RHEL. Darüber hinaus ist git-lfs ein Entwicklungswerkzeug für Git-basierte Workflows mit großen Dateien, das typischerweise nicht auf Produktionsservern betrieben wird. Zu keiner der sechs CVEs (alle aus 2026) liegen CVSS-Vektoren, EPSS-Scores oder KEV-Einträge vor, da das Advisory sehr neu ist und keine CVE-Metadaten verfügbar sind. Selbst bei Relevanz der Plattform wäre der Einsatz von git-lfs im Unternehmenskontext der Beispiel GmbH nicht erkennbar.
EPSS 0.8% – sehr geringes Ausnutzungsrisiko. Übertrifft 53% aller bekannten CVEs. Kaum aktive Exploitation in der Wildnis beobachtet.
Das Advisory betrifft Git Large File Storage (git-lfs) auf Linux-Systemen, konkret Red Hat Enterprise Linux 10.0. Der Kunde setzt weder RHEL noch git-lfs in seiner dokumentierten Technologiebasis ein. Die betroffenen Plattformen (Linux) umfassen zwar SLES 15 und Ubuntu 22.04 LTS im Kundenumfeld, jedoch ist git-lfs dort nicht als eingesetzte Technologie gelistet. Zu den genannten CVEs (alle aus 2026) liegen keine CVSS-Vektoren, EPSS-Scores oder KEV-Einträge vor, was eine präzise Exploitabilitätsbewertung zusätzlich erschwert.
EPSS 0.4% – sehr geringes Ausnutzungsrisiko. Übertrifft 37% aller bekannten CVEs. Kaum aktive Exploitation in der Wildnis beobachtet.
Das Advisory betrifft 'java-1_8_0-ibm' auf SUSE Linux Enterprise Server 12 SP5 und verwandten Produkten. Der Kunde setzt SLES 15 ein, nicht SLES 12 SP5 – die betroffene Plattform ist damit nicht im Einsatz. Darüber hinaus sind keine CVE-Details mit CVSS-Vektoren oder EPSS-Scores verfügbar, da das Advisory sehr neu ist. Selbst wenn IBM Java auf SLES 15 eingesetzt würde, wäre eine separate Prüfung erforderlich, da dieses Advisory explizit nur SLES 12 SP5 adressiert.
EPSS 0.2% – sehr geringes Ausnutzungsrisiko. Übertrifft 15% aller bekannten CVEs. Kaum aktive Exploitation in der Wildnis beobachtet.
Das Advisory betrifft 'image-builder' für Red Hat Enterprise Linux (RHEL) 9 und 10. Der Kunde setzt laut Technologieprofil SLES 15 und Ubuntu 22.04 LTS ein, jedoch kein RHEL. Die beschriebenen Schwachstellen (XSS in Go-Bibliotheken, DoS in OpenTelemetry-Go) sind daher in der vorliegenden Produktkonstellation nicht anwendbar. CVE-Daten und EPSS-Scores liegen noch nicht vor, da das Advisory sehr neu ist, was eine detaillierte Risikobewertung zusätzlich erschwert.
EPSS 0.5% – sehr geringes Ausnutzungsrisiko. Übertrifft 38% aller bekannten CVEs. Kaum aktive Exploitation in der Wildnis beobachtet.
Das Advisory beschreibt drei Linux-Kernel-Schwachstellen (CVE-2026-52933, CVE-2026-53196, CVE-2026-64387) mit unterschiedlichen Angriffsvektoren: eine Remote-ausnutzbare, eine lokale und eine physisch vorausgesetzte Schwachstelle. Da keine CVE-Details, CVSS-Scores oder EPSS-Werte vorliegen, ist eine präzise Risikoabschätzung nicht möglich. Der Kunde betreibt Ubuntu 22.04 LTS und SLES 15, ist also grundsätzlich betroffen – allerdings beziehen sich die verfügbaren Patches explizit nur auf Red Hat Enterprise Linux 10.0 und CodeReady Linux Builder, nicht auf die eingesetzten Distributionen. Die Remote-Ausnutzbarkeit einer der Schwachstellen erhöht das Risiko, solange keine weiteren Details zur Authentifizierungsvoraussetzung bekannt sind.
EPSS 0.6% – sehr geringes Ausnutzungsrisiko. Übertrifft 46% aller bekannten CVEs. Kaum aktive Exploitation in der Wildnis beobachtet.
Das Advisory betrifft das grafana-pcp-Paket (Performance Co-Pilot Grafana Plugin) auf Red Hat Enterprise Linux 9.x. Der Kunde setzt ausschließlich SLES 15 und Ubuntu 22.04 LTS als Linux-Systeme ein – kein RHEL. Obwohl die Schwachstellen grundsätzlich ernst zu nehmen sind (u. a. Privilegieneskalation ohne erforderliche Authentifizierung, Remote-Ausnutzbarkeit), ist die betroffene Softwarekombination im Kundensystem nicht vorhanden. CVE-Daten und EPSS-Scores liegen noch nicht vor, da das Advisory sehr neu ist, was eine abschließende Bewertung der Exploitwahrscheinlichkeit erschwert.
EPSS 1.9% – geringes Ausnutzungsrisiko. Übertrifft 78% aller bekannten CVEs. Ausnutzung möglich, aber selten beobachtet. Reguläres Patch-Management ausreichend.
Das Advisory betrifft python-GitPython auf SUSE Linux Enterprise-Plattformen, von denen SLES 15 im Kundenumfeld eingesetzt wird. Die beschriebenen Schwachstellen ermöglichen Remote-Codeausführung sowie Dateimanipulation, wobei für einzelne Schwachstellen Benutzerinteraktion oder unterschiedliche Privilegien erforderlich sind. CVE-Daten und EPSS-Scores liegen noch nicht vor (Advisory vom 14.09.2026), was eine präzise Exploitabilitätsbewertung erschwert. GitPython ist typischerweise kein direkt exponiertes Dienst-Paket, sondern wird in Entwicklungs- oder CI/CD-Kontexten genutzt – die tatsächliche Angriffsfläche hängt stark davon ab, ob und wie GitPython auf den SLES-Systemen des Kunden eingesetzt wird.
EPSS 0.5% – sehr geringes Ausnutzungsrisiko. Übertrifft 40% aller bekannten CVEs. Kaum aktive Exploitation in der Wildnis beobachtet.
Die Schwachstelle CVE-2026-64607 in HttpComponents HttpClient ermöglicht einen remote ausnutzbaren DoS-Angriff ohne Authentifizierung, was grundsätzlich ein relevantes Angriffsszenario darstellt. Der Kunde betreibt SLES 15, das explizit im Advisory als betroffene Plattform genannt wird (SUSE Linux Enterprise Server 15 SP7). Da keine CVE-Details, kein CVSS-Score und kein EPSS-Wert verfügbar sind, ist die genaue Ausnutzbarkeit schwer einzuschätzen; das Advisory ist sehr neu (2026-09-14). DoS-Schwachstellen in einer HTTP-Client-Bibliothek sind typischerweise nur dann kritisch, wenn die Bibliothek in exponierten, hochverfügbaren Diensten eingesetzt wird – die Auswirkung beschränkt sich auf Verfügbarkeit, nicht auf Vertraulichkeit oder Integrität.
EPSS 0.4% – sehr geringes Ausnutzungsrisiko. Übertrifft 28% aller bekannten CVEs. Kaum aktive Exploitation in der Wildnis beobachtet.
Die Schwachstelle CVE-2026-82397 in Python Tornado ermöglicht einen remote ausnutzbaren DoS-Angriff ohne Authentifizierung, was grundsätzlich relevant ist. Der Kunde betreibt SLES 15, das explizit im Advisory als betroffen gelistet ist – eine Betroffenheit ist daher möglich, sofern python-tornado oder python-tornado6 installiert ist. Da keine CVE-Details, kein CVSS-Score und kein EPSS-Wert vorliegen und das Advisory sehr neu ist, ist die reale Ausnutzbarkeit schwer einzuschätzen. DoS-Schwachstellen ohne Authentifizierung in Webframeworks sind im Unternehmenskontext ernst zu nehmen, aber selten kritisch, sofern keine geschäftskritischen Dienste direkt exponiert sind.
EPSS 0.4% – sehr geringes Ausnutzungsrisiko. Übertrifft 32% aller bekannten CVEs. Kaum aktive Exploitation in der Wildnis beobachtet.
Die Schwachstelle CVE-2026-12548 in libsoup ermöglicht remote Informationsausspähung und DoS ohne Authentifizierung, erfordert jedoch Benutzerinteraktion, was die reale Ausnutzbarkeit einschränkt. Der Kunde betreibt SLES 15, das explizit im Advisory als betroffene Plattform gelistet ist – damit besteht direkte Relevanz. Keine CVE-Detaildaten (CVSS, EPSS) verfügbar, da das Advisory sehr neu ist; eine präzise Exploitwahrscheinlichkeit kann daher nicht angegeben werden. Kein KEV-Eintrag bekannt; die Kombination aus fehlender Authentifizierung und Netzwerkzugang erhöht das Risiko, die Benutzerinteraktionsanforderung dämpft es.
EPSS 0.2% – sehr geringes Ausnutzungsrisiko. Übertrifft 15% aller bekannten CVEs. Kaum aktive Exploitation in der Wildnis beobachtet.
Die Schwachstelle CVE-2026-49825 betrifft die Python-Bibliothek lxml unter Linux (RHEL, Oracle Linux). Der Kunde setzt SLES 15 und Ubuntu 22.04 LTS ein, nicht Red Hat Enterprise Linux oder Oracle Linux. Für die eingesetzten Linux-Distributionen sind im Advisory keine Patches erwähnt, und lxml ist im Kundenkontext nicht als eingesetzte Technologie gelistet. Mangels CVE-Daten (CVSS, EPSS) ist keine präzise Exploitabilitätsbewertung möglich, jedoch ist die Relevanz für diesen Kunden nicht gegeben.
EPSS 4.5% – geringes Ausnutzungsrisiko. Übertrifft 91% aller bekannten CVEs. Ausnutzung möglich, aber selten beobachtet. Reguläres Patch-Management ausreichend.
Die Schwachstelle in nginx ermöglicht laut Advisory die Ausführung beliebigen Programmcodes, was grundsätzlich als kritisch einzustufen wäre. Da keine CVE-Details, kein CVSS-Vektor und kein EPSS-Score vorliegen, ist eine präzise Exploitabilitätsbewertung nicht möglich. Der Kunde setzt nginx produktiv ein, was eine direkte Betroffenheit begründet. Die schrittweise Bereitstellung von Patches für SUSE, RHEL und Oracle Linux über mehrere Wochen deutet auf eine koordinierte Disclosure hin; ein KEV-Eintrag ist nicht bekannt.