Im KEV-Katalog der CISA 17 Jahre alte PowerPoint-Sicherheits­lücke taucht wieder auf

Die CISA nimmt eine 17 Jahre alte Code-Injection-Sicherheitslücke in Power­Point in ihren KEV-Katalog auf, weil sie erneut aktiv ausgenutzt wird. Der Fall zeigt, wie gezielt Angreifer nach ungepatchten Altlasten in Unter­neh­mens­net­zen suchen.

Im Januar 2026 veröffentlichte die CISA einen Hinweis, in dem sie bekannt gab, zwei Si­cher­heitslücken in ihren Katalog der Known Exploited Vulnerabilities (KEV) aufgenommen zu haben. Bei den beiden CVEs handelt es sich um eine Remote-Code-Execution-Schwachstelle in HPE OneView aus dem Jahr 2025 und eine Code-Injection-Sicherheitslücke aus dem Jahr 2009. Doch wieso fügt die CISA eine mittlerweile 17 Jahre alte Sicherheitslücke EUVD-2009-0560^* / CVE-2009-0556 (CVSS-Score 9.3 / EPSS-Score 76.76) erst jetzt dem KEV-Katalog hinzu?

CVSS 10.0 und Exploit

HPE-OneView-Sicherheitslücke wird sehr wahrscheinlich ausgenutzt

Systematisches Vorgehen von Cyberangreifern

Bei EUVD-2009-0560 / CVE-2009-0556 handelt es sich um eine Code Injection Vulnerability im Microsofts beliebten Programm PowerPoint. Die Versionen 2000 SP3, 2002 SP3 und 2003 SP3 sowie Power­Point in Microsoft Office 2004 für Mac ermöglichen es erfolgreichen Angreifern, beliebigen Code über eine PowerPoint-Datei auszuführen, deren OutlineTextRefAtom einen ungültigen Indexwert enthält. Dies kann zu Speicherbeschädigungen führen. Bereits im April 2009 wurde die Sicherheitslücke durch „Exploit:Win32/Apptom.gen“ ausgenutzt. Nun erhält sie durch die Meldung der CISA wieder Aufmerksamkeit, da der Softwarefehler wieder erneut für Cyberangriffe missbraucht wird. US-Behörden haben bis zum 28. Januar 2026 Zeit, die Sicherheitslücke zu schließen.

Dass die CISA diese alte Schwachstellen nun in ihren Katalog aufnimmt zeigt, dass Cyber­an­grei­fer immer systematischer vorgehen: Sie suchen nach alten Sicherheitslücken und hoffen sie in ungepatchten Systemen in ebenso alten und möglicherweise vergessenen Teilen von Un­ter­nehmensnetzwerken ausnutzen zu können.

Termine 2026

Wann ist Microsoft Patchday?

CISA hebt Emergency Directives auf

In derselben Meldung informiert die CISA darüber, zehn zuvor erlassene Emergency Directives aufzuheben, da die darin adressierten Schwachstellen inzwischen behoben oder durch andere Maßnahmen ausreichend mitigiert wurden. Emergency Directives (ED) sind verbindliche Si­cher­heitsanweisungen der US-Cyberbehörde, die sich an Bundesbehörden richten. Sie werden erlassen, wenn akut ausgenutzte Schwachstellen oder laufende Cyberangriffe eine sofortige Reaktion erfordern, und verpflichten die Behörden zu konkreten Schutz- oder Abhilfe­maß­nah­men innerhalb kurzer Fristen.

Die zehn Emergency Directives, die die CISA in ihrer jüngsten Meldung als aufgehoben („retired“) bezeichnet hat, weil sie inzwischen durch die KEV-Liste und BOD 22-01 abgedeckt oder er­folgreich umgesetzt wurden, sind laut Techradar:

• ED 19-01: Mitigation von DNS-Infrastructure-Tampering

• ED 20-02: Mitigation von Windows-Vulnerabilities aus dem Januar­Patch-Tuesday

• ED 20-03: Mitigation der Windows-DNS-Server-Schwachstelle aus dem Juli-Patch-Tuesday

• ED 20-04: Mitigation der Netlogon-Elevation-of-Privilege-Schwachstelle

• ED 21-01: Mitigation der SolarWinds Orion-Code-Kompromittierung

• ED 21-02: Mitigation von Microsoft-Exchange-On-Premises-Produktlücken

• ED 21-03: Mitigation von Pulse Connect Secure-Schwachstellen

• ED 21-04: Mitigation der Windows Print Spooler Service-Schwachstelle

• ED 22-03: Mitigation von VMware-Schwachstellen

• ED 24-02: Mitigation des signifikanten Risikos durch staatliche Kompromittierung von Microsoft-E-Mail-Systemen

Die Aufhebung der EDs bedeutet nicht, dass die zugrundeliegenden Schwachstellen unge­fähr­lich geworden sind. Doch es bedeutet, dass keine akute Gefahr mehr besteht, entweder weil Patches verfügbar sind oder weil die unmittelbare Angriffswelle beendet ist. Dennoch bleiben die Schwachstellen in der Regel relevant und werden deshalb in den KEV-Katalog überführt. Für Unternehmen bedeutet das, dass sie diese Sicherheitslücken nach wie vor priorisiert behandeln und sie in ihr langfristiges Schwachstellen-Management integrieren sollten.

* Hinweis zum EPSS-Score: Das Exploit Prediction Scoring System zeigt die Wahrscheinlichkeit in Prozent an, mit der eine Schwachstelle innerhalb der nächsten 30 Tage ausgenutzt wird. Der ent­sprechende Score kann sich im Laufe der Zeit verändern. Sofern nicht anders angegeben, beziehen wir uns auf den Stand des EPSS-Scores zum Zeitpunkt der Veröffentlichung des Artikels.

Rückblick 2025

20 Prozent mehr ausgenutzte Schwach­stellen im KEV-Katalog der CISA

(ID:50673309)