Rückblick 2025 20 Prozent mehr ausgenutzte Schwach­stellen im KEV-Katalog der CISA

Mit ihrem Katalog der „Known Exploited Vulnerabilities“ leistet die CISA einen wichtigen Beitrag für die Sicherheit der USA und hilft auch Un­ter­nehmen weltweit dabei, Sicherheitslücken zu priorisieren. Das waren die Highlights des Katalogs aus 2025.

Die Cybersecurity and Infrastructure Security Agency (CISA) ist die US-Regierungsbehörde des Ministeriums für Heimatschutz (DHS), die geschaffen wurde, um die Sicherheitsstandards für die kritische Infrastruktur der Vereinigten Staaten zu verbessern und die Cybersecurity-Abwehr gegen Bedrohungen zu stärken. Während die CISA primär für die USA zuständig ist und den dortigen Behörden Fristen zum Schließen von Sicherheitslücken auferlegen kann, hat sie auch eine wichtige Rolle auf globaler Ebene. Der Katalog der CISA „Known Exploited Vulnerabilities“ (KEV) ist international hoch angesehen und dient nicht nur US-Behörden als Orientierung, sondern auch Unternehmen und Organisationen aus anderen Ländern. Denn im KEV-Katalog nennt die CISA alle Schwachstellen, die bereits aktiv ausgenutzt werden, was die Priorisierung von Sicherheitsupdates erleichtern kann. Und diesen KEV-Katalog hat der Hersteller Cyble analysiert und festgestellt, dass die Anzahl bekannter ausgenutzter Sicherheitslücken in 2025 um 20 Prozent gestiegen ist.

Sicherheit cyber-physischer Systeme

Resilienz durch risiko­basiertes Schwach­stellen­management

Zuwachs im KEV-Katalog

Laut der Analyse umfasst die KEV-Datenbank derzeit 1.484 Software- und Hardwarefehler, die damit ein hohes Risiko für Cyberangriffe bergen. Genrell sei die Datenbank seit 2021, als der Katalog ins Leben gerufen wurde, stetig gewachsen, was dafür spricht, dass Cyberkriminelle Sicherheitslücken in IT-Systemen häufiger missbrauchen, um Unternehmen anzugreifen.

Cyble zufolge hat die CISA 2025 mindestens eine Schwachstelle aus ihrem Katalog entfernt, da keine ausreichenden Beweise für eine Ausnutzung vorlagen. Und auch teils sehr alte Sicher­heits­lücken werden fortlaufend aufgenommen. Die älteste Schwachstelle, die laut Cyble 2025 in den KEV-aufgenommen wurde, sei CVE-2007-0671 von 2007 und beschreibe eine Remote-Code-Ausführung in Microsoft Office Excel. Bei der insgesamt ältesten Schwachstelle handle es sich um CVE-2002-0367 aus dem Jahr 2002, die die Rechteausweitung im Debugging-Sub­system „smss.exe“ von Windows NT und Windows 2000 ermöglicht. Diese Schwachstelle wurde bei Ransomware-Angriffen ausgenutzt.

Termine 2026

Wann ist Microsoft Patchday?

Sicherheitslücken als Werkzeug für Ransomware-Angriffe

24 der im Jahr 2025 neu hinzugefügten Schwachstellen seien von Ransomware-Gruppen aus­genutzt worden. Darunter auch bekannte Sicherheitslücken wie CVE-2025-5777, bekannt als „Citrix Bleed 2“, und auch Schwachstellen in der Oracle E-Business Suite, die von der CL0P-Gruppe ausgenutzt wurden.

In NetScaler ADC und Gateway

Citrix veröffentlicht Notfall-Patches für kritische Schwachstellen

Dies sind die Schwachstellen, die den Sicherheitsforschenden zufolge 2025 neu in den KEV-Katalog aufgenommen wurden, da sie von Ransoware-Gruppe für Angriffe genutzt wurden. Cyble empfiehlt Unternehmen, diese Sicherheitslücken zu priorisieren.

Erpressungsversuche laufen

Notfall-Patches für Oracle E-Business Suite

Die Hersteller mit den meisten KEV-Sicherheitslücken

Welche Hersteller am häufigsten im KEV-Katalog genannt wurden, hat sich Cyble auch an­ge­sehen. Microsoft führt demnach erneut die Liste an: 2025 wurden 39 Sicherheitlsücken des Herstellers gelistet, 2024 waren es 36. Dies sind die Hersteller, die im vergangenen Jahr mit min­destens fünf aktiv ausgenutzten Sicherheitslücken bei der CISA vertreten waren:

Es habe auch Hersteller gegeben, die 2025 weniger häufig gelistet waren als 2024, was den Analysten zufolge darauf hindeutet, dass diese Hersteller ihre Sicherheitsmaßnahmen ver­bessert haben. Zu den Anbietern und Projekten, bei denen die Anzahl der KEV-Sicher­heits­lücken 2025 zurückgegangen sei, würden Adobe, Android, Apache, Ivanti, Palo Alto Networks und VMware gehören.

Security-Insider Podcast – Folge 107

Was Ethical Hacker antreibt

Die häufigsten Sicherheitslücken

Acht Software- und Hardware-Fehler (Common Weakness Enumerations, CWEs) traten bei den Sicherheitslücken, die 2025 neu in den KEV-Katalog aufgenommen wurden, besonders hervor.

• CWE-78 beschreibt eine unzureichende Neutralisierung von Sonderzeichen in Betriebs­system­be­fehlen (OS Command Injection). Sie war erneut die häufigste Schwachstelle in der KEV-Datenbank und machte 18 der 245 im Jahr 2025 hinzugefügten Schwachstellen aus.

• CWE-502 beschreibt die Deserialisierung nicht vertrauenswürdiger Daten, ist auf Platz zwei und trat in 14 der Schwachstellen auf.

• CWE-22 ist eine unzureichende Beschränkung eines Pfadnamens auf ein eingeschränktes Verzeichnis (Path Traversal) und rückte mit 13 Einträgen auf den dritten Platz vor.

• CWE-416, ein Use-After-Free-Fehler, der auf dem vierten Platz ist und für elf der neuen Schwachstellen in 2025 verantwortlich war.

• CWE-787 ist ein Fehler, der das Schreiben außerhalb des zulässigen Speicherbereichs beschreibt. Dieser war in zehn der neuen Schwachstellen ein Faktor.

• CWE-79 beschreibt Cross-Site-Scripting und trat sieben Mal auf. CWE-94 (Code Injection) und CWE-287 (unzureichende Authentifizierung) traten jeweils sechs Mal auf.

Die Sammlung der Known Exploited Vulnerabilities der CISA ist ein wichtiges Instrument für Unternehmen, um IT-Sicherheitsteams bei der Priorisierung von Patches und Schwachstellen zu unterstützen. Außerdem kann der Katalog Unternehmen auf Risiken durch Drittanbieter aufmerksam machen. Software- und Anwendungsentwicklungsteams sollten die Aktu­ali­sier­un­gen des KEV-Katalogs überwachen, um sich über gängige Softwareschwachstellen zu in­for­mieren, die von Angreifern regelmäßig ausgenutzt werden.

Priorisierung von Schwachstellen

Sicherheitslücken nur mit CVSS bewerten reicht nicht!

(ID:50671047)