- Aktenzeichen
- BEO-2026-022
- Eingang
- Rubrik
- Technik IT-Sicherheit
- Einstufung
- offen
- Verfasser
- M.V.R.H.S.Rufname
- Bearbeiter
Nachtrag: Lücken offenhalten oder schließen: Schwachstellenmanagement und ein Zero-Day
.-. .-.
/ \ / \
| / \ | | / \ |
|| || || ||
|| || || ||
.-' ' - ' '-.
,' .--. .--. '.
.-. | _ | ___ | _ | ,.-.
( \ .(_).' \ / .(_).' / )
>- '--------\_|_/--------' -<
(_ .-------------------------. _)
`--- ---'-,
/ .-'''-. ';
; / ', \ Rabbit of
) / - y=, Caerbannog
_/ / /\ ' ; c
((((_/(((_______/_;,v=" ldb
ehrung an monty python. ascii-zeichnung von laura brown (ldb), via asciiart.website.
201508Z oct 26 · 51.7275 N, 11.5148 E
Nachtrag zum Artikel Lücken offenhalten oder schließen: Schwachstellenmanagement und ein Zero-Day.
Im ersten Beitrag hatte ich das Papier von GFF und Bitkom, das Advisory von BeyondTrust und den Bericht der Google Threat Intelligence Group nicht selbst gelesen. Das Papier und das Advisory habe ich jetzt geöffnet, dazu die Stellungnahme von BeyondTrust und die Warnung der US-Behörde CISA. Das ist wieder eine Zusammenfassung. Stand der Quellen: 14. bis 16. Oktober 2026.
Was neu ist
Das Papier. Das gemeinsame Papier von GFF und Bitkom vom 14. Oktober 2026 trägt den Titel „Whitepaper zur Nachrichtendienstrechtsreform: Staatliches Schwachstellenmanagement klar regeln“. Es sagt, was heise wiedergibt: Lücken sollen grundsätzlich geschlossen werden, Responsible Disclosure und der Schutz der Systeme seien der Regelfall. Ein Offenhalten brauche einen verpflichtenden, strukturierten Abwägungsprozess mit klaren Kriterien, Maßnahmen zur Risikominderung und wirksamer Kontrolle. Was dem BSI im Rahmen seiner Melde- und Koordinierungsfunktion anvertraut wird, dürfe „unter keinen Umständen“ an die Nachrichtendienste übermittelt werden, auch nicht freiwillig. Das Papier beruft sich auf eine Schutzpflicht des Staates, die das Bundesverfassungsgericht entschieden habe.
Der Gesetzentwurf. Das Bundeskabinett hat den Entwurf zur Reform des Nachrichtendienstrechts am 12. August 2026 beschlossen. Der Bundestag hat ihn am 24. September in erster Lesung beraten und an den Innenausschuss überwiesen. Am 12. Oktober fand dort eine öffentliche Anhörung statt. Ein beschlossenes Gesetz ist das weiterhin nicht.
Die Lücke. BeyondTrust schreibt im Advisory BT26-05, die Lücke CVE-2026-102764 sei behoben. Der Patch BT26-05-RS gilt für Remote Support der Versionen 24.3.1 bis 26.2.3, ältere Versionen müssen zuerst aktualisiert werden. Für alle SaaS-Kunden sei der Patch seit dem 9. Oktober ausgerollt. Selbst gehostete Systeme ohne automatische Updates müssen ihn von Hand einspielen.
Im Blog vom 15. Oktober, zuletzt geändert am 16. Oktober, nennt BeyondTrust den Beginn: Am 29. August 2026 sei die Lücke bei einem einzelnen gehosteten System und einem einzelnen selbst gehosteten System ausgenutzt worden. Dem Unternehmen seien zum Zeitpunkt der letzten Änderung nur diese zwei Kunden bekannt, und seit August habe es keine weiteren Hinweise auf Aktivität des Angreifers gesehen. Das ist die Angabe von BeyondTrust, nicht meine.
Die Zuordnung bleibt eine Einschätzung. BeyondTrust schreibt sinngemäß, es bewerte mit mittlerer bis hoher Sicherheit, dass die Aktivität dem Akteur gehört, den die Google Threat Intelligence Group und Mandiant als UNC5221 verfolgen und den Mandiant jetzt ARMORY CASTLE nennt. CrowdStrike verfolge denselben Cluster als WARP PANDA. Die Bewertung stütze sich auf das Vorgehen und stimme mit der von Mandiant überein. Einen forensischen Beweis für den Einsatz von KI-Werkzeugen habe BeyondTrust nicht.
CISA hat die Lücke am 16. Oktober in den Katalog der bekannten ausgenutzten Schwachstellen aufgenommen und fordert, den Patch einzuspielen.
Was weiter offen bleibt
- Das Gesetz ist nicht beschlossen. Ob die Forderungen des Papiers aufgenommen werden, weiß ich nicht.
- Die Zuordnung zu ARMORY CASTLE bleibt eine Einschätzung von BeyondTrust, Mandiant und der Google Threat Intelligence Group, keine Feststellung.
- Wie viele Systeme insgesamt betroffen sind, steht nicht fest. BeyondTrust kennt nach eigener Angabe zwei.
- Den Bericht von Mandiant habe ich nicht gelesen.
- Ob in diesem Fall eine Behörde die Lücke kannte, bevor sie öffentlich wurde, steht weiterhin in keiner Quelle.
Quellen
- GFF und Bitkom, 14.10.2026: Whitepaper zur Nachrichtendienstrechtsreform: Staatliches Schwachstellenmanagement klar regeln (PDF)
- Bundesregierung, 12.08.2026: Bundeskabinett beschließt Reform des Rechts der Nachrichtendienste
- Deutscher Bundestag, 12.10.2026: Reform des Nachrichtendienstrechts umstritten
- BeyondTrust, 15.10.2026: BT26-05
- BeyondTrust, 15.10.2026, zuletzt geändert 16.10.2026: ARMORY CASTLE and BT26-05: What Security Teams Need to Know
- CISA, 16.10.2026: CISA Urges Patching Critical Vulnerability in BeyondTrust Remote Support
Horidor