Cyberangriffe auf F5 BIG-IP, Check Point Security und Arista VeloCloud

IT-Verantwortliche müssen rasch handeln, um bereitgestellte Aktualisierungen zu installieren. Mehrere IT-Sicherheitsbehörden warnen vor derzeit laufenden Angriffen auf Sicherheitslücken in F5 BIG-IP, Check Point Security Gateway und Management sowie Arista VeloCloud Orchestrator On-Premise.

Etwa die US-amerikanische IT-Sicherheitsbehörde CISA warnt vor den Cyberangriffen. Check Point liefert in einer eigenen Sicherheitsmitteilung Informationen zu den Schwachstellen. Eine Schwachstelle im VPN-Zertifikatshandling des Security Gateways ermöglicht Angreifern aus dem Netz das Ausführen von Schadcode – ohne vorherige Authentifizierung (CVE-2026-85102, CVSS 9.8, Risiko „kritisch“). Updates zum Ausbessern der Schwachstelle stehen seit dem 9. September bereit, Angriffe beobachtet der Hersteller jetzt auf globaler Ebene seit dem 12. September. Eine zweite Schwachstelle hat erst jetzt einen Patch erhalten, es handelt sich um eine Zero-Day-Lücke in Check Points Management-Webservice. Angreifer können ohne Authentifizierung eine Path-Traversal-Lücke missbrauchen und Skripte aus beliebigen Pfaden starten sowie beliebige Java-Klassen laden (CVE-2026-93616, CVSS 9.8, Risiko „kritisch“). Die Sicherheitsmitteilung verlinkt auch die Aktualisierungen.

Vor einer angegriffenen Sicherheitslücke warnt Hersteller F5, betroffen ist BIG-IP APM. Sofern auf einem virtuellen Server Zugriffsrichtlinien und OAuth-Profile konfiguriert sind, kann präparierter, bösartiger Traffic zur Ausführung von Schadcode führen – wenn BIG-IP APM als OAuth Authorization Server fungiert (CVE-2026-94127, CVSS 9.8, Risiko „kritisch“). Die Sicherheitsmitteilung enthält auch Hinweise auf erfolgreiche Angriffe (Indicators of Compromise, IOC), anhand derer Admins prüfen können, ob ihre Systeme bereits attackiert wurden. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt in dem Zusammenhang ebenfalls vor dem beobachteten Missbrauch der Zero-Day-Lücke und rät zur Installation der bereitgestellten Hotfixes, die F5 in seiner Meldung verlinkt, oder dem Anwenden der temporären Gegenmaßnahmen.

Lücke mit Höchstwertung

In Arista VeloCloud Orchestrator (VCO) On-Premise attackieren bösartige Akteure zudem eine Sicherheitslücke, die die höchstmögliche Risikoeinstufung erreicht. Der Hersteller schwurbelt etwas um den heißen Brei herum, Angreifer aus dem Netz könnten privilegierte interne Funktionen aufrufen und das VCO-System damit beeinflussen. In den weiteren Details findet sich, dass Angreifer für den Missbrauch Zugriff auf das VCO-Webinterface benötigen, es sind jedoch keine Zugangsdaten nötig (CVE-2026-93952, CVSS 10.0, Risiko „kritisch“). Die Schwachstelle ist vom Typ „unzureichende Eingabeprüfung“ (CWE-20).

Die Mitteilung liefert ebenfalls einige Hinweise auf erfolgreiche Angriffe (IOC) und nennt bereits zwei gefixte Versionsstände: VCO 5.2.3.16 und 6.4.2.8 sollen abgesichert sein, für die ebenfalls verwundbaren Versionszweige 6.1.x und 7.0.x sollen demnächst ebenfalls Updates erscheinen.

IT-Verantwortliche sollten zügig die Gegenmaßnahmen oder bereitgestellte Updates anwenden, erklären alle betroffenen Hersteller.

Am Montag dieser Woche wurden Angriffe auf weitere Schwachstellen im Linux-Kernel insbesondere von älteren IoT-Geräten von Siemens bekannt.