CVE-Monitoring für Ihre Infrastruktur — WZ-IT überwacht Ihre Server, Container und Anwendungen auf bekannte Schwachstellen. Jetzt Termin vereinbaren
Drei Zahlen aus den letzten vier Monaten:
- CVSS 9.9 — Jellyfin: Path Traversal → Remote Code Execution als Root
- CVSS 10.0 — n8n: Unauthenticated RCE in Self-Hosted und Cloud
- 1.5 Mio. Server — cPanel: Authentication Bypass, aktive Exploitation seit Februar
Jede dieser Lücken betrifft Software, die Unternehmen produktiv einsetzen. Jede wurde öffentlich bekannt, bevor viele Betreiber gepatcht hatten. Und jede hätte mit aktivem CVE-Monitoring frühzeitig erkannt werden können.
Inhaltsverzeichnis
- Was 2026 bisher passiert ist
- Das Muster hinter den Lücken
- Warum apt update nicht reicht
- CVE-Monitoring: Was es ist und wie es funktioniert
- Tools für Unternehmen
- Unser Vorgehen bei WZ-IT
Was 2026 bisher passiert ist
Ein Beispiel ohne CVE-Nummer: Metabase, SQL-Injection mit CVSS 10.0 - aktiv ausgenutzt, aber in keinem NVD-Feed.
Jellyfin: CVSS 9.9 — Subtitle Upload → Root RCE
Im April 2026 wurde CVE-2026-35031 veröffentlicht. Die Lücke steckt im Subtitle-Upload-Endpoint von Jellyfin (Versionen vor 10.11.7). Ein authentifizierter Nutzer mit der Berechtigung "Upload Subtitles" — keine Admin-Rechte nötig — konnte über eine nicht validierte Format-Angabe beliebige Dateien auf dem Server schreiben.
Die Angriffskette: Path Traversal → Arbitrary File Write → .strm-Datei für Arbitrary File Read → Datenbank-Extraktion → Admin-Token → Root-RCE über ld.so.preload.
Ein einzelner API-Call, keine besonderen Rechte, vollständige Kompromittierung.
n8n: CVSS 10.0 — Unauthenticated RCE
CVE-2026-21858, Codename "Ni8mare": Ein unauthentifizierter Angreifer konnte über manipulierte Webhook- und Form-Requests beliebigen Code auf dem n8n-Server ausführen. Betroffen waren laut NVD die Versionen ab 1.65.0 und vor 1.121.0; behoben ist die Lücke in 1.121.0.
CVSS 10.0 — die höchste mögliche Bewertung. Kein Login nötig, keine User-Interaktion, Remote-Exploitation.
Am selben Tag wurde CVE-2026-21877 veröffentlicht, CVSS 9.9, diesmal Authenticated RCE (behoben in 1.121.3). Und im März 2026 wurden zwei weitere kritische Lücken in n8n veröffentlicht. Die ältere Expression-Injection-Lücke CVE-2025-68613 führt die US-Behörde CISA seit dem 11. März 2026 im Katalog Known Exploited Vulnerabilities, sie wird also aktiv ausgenutzt.
cPanel: CVSS 9.8 — 1.5 Mio. Server betroffen
CVE-2026-41940 ist eine Authentication-Bypass-Lücke in cPanel & WHM. Über eine CRLF-Injection im Login-Prozess konnten Angreifer sich als Root authentifizieren — ohne Passwort, ohne 2FA.
Die Lücke wurde Ende April 2026 öffentlich. Aber: Hinweise auf gezielte Exploitation existieren bereits seit Februar 2026. Mindestens 1.5 Millionen cPanel-Instanzen waren über das Internet erreichbar und potenziell betroffen. CISA hat CVE-2026-41940 am 30. April 2026 in den Katalog Known Exploited Vulnerabilities aufgenommen.
Apache HTTP Server: CVE-2026-23918 — Double Free → RCE
Auch Basistechnologie ist betroffen: Apache HTTP Server 2.4.66 hatte bei aktiviertem HTTP/2 eine Double-Free-Schwachstelle (CVSS 8.8), die zu Remote Code Execution führen konnte. Behoben ist sie in 2.4.67. Apache läuft auf Millionen von Webservern weltweit.
Das Muster hinter den Lücken
Alle vier Fälle haben Gemeinsamkeiten:
- Verbreitete Software — keine Nischenprodukte, sondern Tools die Hunderttausende bis Millionen einsetzen
- Hoher bis kritischer Schweregrad: CVSS 8.8 bis 10.0, und in allen vier Fällen über das Netzwerk ausnutzbar. Der Score allein sagt das nicht aus: Der Angriffsvektor steht im CVSS-Vektor (AV). Die Linux-Kernel-Lücke CVE-2026-53266 etwa ist ebenfalls mit 8.8 bewertet, setzt aber lokalen Zugriff voraus (AV:L).
- Patches waren verfügbar — in jedem Fall gab es innerhalb weniger Tage ein Update
- Viele haben trotzdem nicht gepatcht — weil sie von der Lücke nicht wussten
Punkt 4 ist das eigentliche Problem. Die Lücke existiert, der Patch existiert, aber der Betreiber weiß von beidem nichts.
Warum apt update nicht reicht
Wer glaubt, ein wöchentliches apt update && apt upgrade schützt die Infrastruktur, unterschätzt die Realität:
Was apt nicht abdeckt:
- Docker-Container (der Großteil moderner Self-Hosted Software)
- Helm Charts und Kubernetes-Deployments
- Selbst-kompilierte Software
- Anwendungen die über git pull + docker-compose up deployed werden
- npm/pip/composer Dependencies innerhalb von Containern
Was apt nicht kann:
- Priorisierung nach CVSS-Score
- Alerting bei kritischen Lücken
- Abhängigkeiten innerhalb von Container-Images scannen
- Erkennen ob eine CVE tatsächlich auf die eigene Konfiguration zutrifft
Ein Unternehmen das n8n per Docker Compose betreibt, erfährt von CVE-2026-21858 nicht durch apt. Es erfährt davon durch Hacker News, Twitter — oder durch den Angreifer.
CVE-Monitoring: Was es ist und wie es funktioniert
CVE-Monitoring ist die kontinuierliche Überwachung aller eingesetzten Softwareversionen gegen die öffentlichen Schwachstellen-Datenbanken (NVD, MITRE, Greenbone Feed, GitHub Security Advisories).
Ein vollständiges CVE-Monitoring umfasst:
| Ebene | Was wird geprüft | Beispiel-Tool |
|---|---|---|
| Netzwerk | Offene Ports, erreichbare Dienste, bekannte Schwachstellen | Greenbone OpenVAS |
| Container | Base-Images, Packages, Application Dependencies | Trivy, Grype |
| Code | Dependencies in package.json, requirements.txt, go.mod | Snyk, Dependabot |
| Konfiguration | Fehlkonfigurationen, Default-Credentials, TLS-Settings | OpenSCAP, Lynis |
| CVE-Intelligence | Neue CVEs tracken, filtern, priorisieren, Teams zuweisen | OpenCVE |
| Aggregation | Zentrale Sammlung, Deduplizierung, Compliance-Mapping | DefectDojo |
Das Ziel: Innerhalb von 24 Stunden nach Veröffentlichung einer CVE wissen, ob die eigene Infrastruktur betroffen ist.
Tools für Unternehmen
Greenbone OpenVAS — Netzwerk-Schwachstellen-Scan
OpenVAS scannt die Infrastruktur von außen und innen auf bekannte Schwachstellen. Die größte frei verfügbare Vulnerability-Datenbank am Markt. Erkennt veraltete Software, offene Ports, Fehlkonfigurationen.
Für Unternehmen relevant: regelmäßige automatisierte Scans mit Reporting, nicht nur einmalige Audits.
OpenCVE — CVE-Intelligence-Plattform
OpenCVE ist eine Open-Source Vulnerability-Intelligence-Plattform, die CVEs aus fünf autoritativen Quellen aggregiert (MITRE, NVD, RedHat, Vulnrichment und mehr) und stündlich aktualisiert. Der entscheidende Unterschied zu reinen Scannern: OpenCVE überwacht nicht eure Server, sondern die CVE-Datenbanken — und benachrichtigt euch proaktiv, wenn eine neue Schwachstelle für Software auftaucht, die ihr einsetzt.
Warum OpenCVE für Unternehmen relevant ist:
- Vendor/Product Subscriptions — Ihr abonniert die Software die ihr einsetzt (Proxmox, Nextcloud, n8n, nginx, PostgreSQL...) und bekommt nur relevante CVEs
- Projekte & Organisationen — CVEs nach Teams, Kunden oder Infrastruktur-Bereichen organisieren
- Custom Tags & Status-Tracking — CVEs als "In Analyse", "Risiko akzeptiert", "Gepatcht" markieren und einem Verantwortlichen zuweisen
- Filter & Views — Nach CVSS-Score, EPSS (Exploitation-Wahrscheinlichkeit), KEV (Known Exploited Vulnerabilities) und CWE filtern. Komplexe Filter als wiederverwendbare Views speichern
- Alerting — Benachrichtigungen per E-Mail, Webhook oder Slack sobald eine relevante CVE veröffentlicht oder aktualisiert wird
- Self-Hosted — Vollständig self-hostbar per Docker. Eure CVE-Daten bleiben auf eurer Infrastruktur
Hätte ein Unternehmen OpenCVE mit Subscriptions für Jellyfin, n8n und cPanel eingerichtet, wäre es innerhalb von Stunden nach Veröffentlichung der CVEs benachrichtigt worden — nicht erst Tage später über Tech-News.
OpenCVE ersetzt keine Scanner wie OpenVAS oder Trivy. Es ergänzt sie: Scanner finden was auf euren Servern läuft, OpenCVE sagt euch was in der Welt passiert.
Trivy — Container-Security
Trivy scannt Container-Images, Filesysteme und Git-Repositories auf CVEs in OS-Packages und Application Dependencies. Integriert sich in CI/CD-Pipelines (GitHub Actions, GitLab CI, Jenkins).
Ideal für Unternehmen die ihre Anwendungen per Docker/Kubernetes deployen.
DefectDojo — Zentrale Vulnerability-Plattform
DefectDojo aggregiert Findings aus über 200 Security-Tools, dedupliziert sie und mapped sie auf Compliance-Frameworks. Für Unternehmen die multiple Scanner einsetzen und eine zentrale Übersicht brauchen.
Wie die Tools zusammenspielen
Die Tools schließen sich nicht aus — sie ergänzen sich:
OpenCVE → "Es gibt eine neue CVE für n8n" (proaktiv)
Trivy → "Euer n8n-Container hat die betroffene Version" (Scan)
OpenVAS → "Der n8n-Port ist von außen erreichbar" (Netzwerk)
DefectDojo → Alles zentral zusammenführen, priorisieren, reporten
Für die meisten KMUs reicht OpenCVE + Trivy als Startpunkt. OpenVAS und DefectDojo kommen dazu, wenn die Infrastruktur wächst.
Unser Vorgehen bei WZ-IT
Wir bieten CVE-Monitoring als Teil unseres Managed-Operations-Angebots:
- Inventarisierung — Welche Software läuft in welcher Version auf welchem Server?
- Monitoring-Setup — OpenVAS für Netzwerk-Scans, Trivy für Container, automatisiertes Alerting
- Triage — Bei neuen CVEs: Betrifft es unsere Kunden? Wie kritisch? Wird es aktiv ausgenutzt?
- Patching — Koordiniertes Update mit Wartungsfenster, Rollback-Strategie, Verifikation
- Reporting — Monatlicher Security-Report mit allen gefundenen und behobenen Schwachstellen
Kein Unternehmen sollte von einer CVSS 10.0 Lücke aus den Nachrichten erfahren.
CVE-Monitoring für Ihre Infrastruktur? Wir überwachen Ihre Server, Container und Anwendungen — und patchen bevor es zu spät ist. Jetzt Termin vereinbaren | CVE-Monitoring Service
Weiterführende Guides
- Nextcloud Built-in CODE Server: Command Injection ohne Login (CVE-2026-110447)
- Metabase-Notfallpatch: SQL-Injection mit CVSS 10.0 - der Fall, in dem ein CVE-Feed allein nichts gemeldet hätte
- Schwachstellenmanagement mit OpenVAS & Greenbone CE — Installation und Konfiguration
- Managed Operations: CVE-Monitoring — Unser Service im Detail
- Linux-Patch-Management: Prozess, Fristen und Nachweis - wie aus einer CVE-Meldung ein dokumentiertes Update wird
- Schwachstellenscan mit OpenVAS - aktive Prüfung der Systeme als Ergänzung zum Inventarabgleich
- SLA & Service Levels — Standard, Professional, Enterprise
- Security Audit — Einmalige Sicherheitsanalyse Ihrer Infrastruktur
