Wenn die CISA einen Bug in ihren Known Exploited Vulnerabilities-Katalog stellt, ist das Game over für Hoffnungsdenken. Am 28. April 2026 hat sie gleich zwei Lücken eingetragen – und beide treffen alles, was du im Homelab oder im Mittelstand vermutlich gerade laufen hast.
HAMMER: ScreenConnect-Path-Traversal in der Hall of Shame
Der erste Eintrag heißt CVE-2024-1708 und beschreibt einen Path-Traversal-Bug in ConnectWise ScreenConnect 23.9.7 und älter. CVSS 8.4. Wirkt nach drei Jahren Schimmel, ist aber alles andere als alt – der Bug wird gerade aktiv mit CVE-2024-1709 verkettet, einem 10.0er-Authentication-Bypass.
Die Kombi ist seit 2024 bekannt, aber Hacker-Gangs wie Black Basta, LockBit-Ableger und ein gutes Dutzend Ransomware-Affiliates ziehen sie immer wieder aus der Schublade. Ein verwundbarer ScreenConnect-Server ist der Türöffner Nummer 1 in MSP-Netze.
SCHOCK: Die Behörden-Deadline ist 12. Mai 2026
Federal Civilian Executive Branch Agencies (also die US-Bundesverwaltung) müssen spätestens am 12. Mai 2026 gepatcht haben. CISA bittet alle Privatfirmen ausdrücklich, sich an diesem Datum zu orientieren. Übersetzt: Wenn dein MSP, dein Hoster oder deine eigene IT noch ein altes ScreenConnect betreibt, läuft die Uhr.
WIE du dich JETZT schützt
Vier Punkte, die du in der nächsten Stunde abarbeiten kannst:
- ScreenConnect-Version checken: wenn du auf 23.9.7 oder älter bist – sofort auf 23.9.8+ updaten, idealerweise auf die aktuelle 24.x-Linie.
- Externe Erreichbarkeit prüfen: ScreenConnect-Webportale haben in einem Inventar nichts auf Port 443 öffentlich verloren. Reverse-Proxy mit IP-Whitelist davorsetzen.
- MFA für alle Konsolen erzwingen: Ein Auth-Bypass kann auch Sessionsklau bedeuten – MFA stoppt zumindest die Anschlussanmeldungen.
- Logs der letzten 30 Tage durchforsten: 401/403-Wellen auf
/SetupWizard.aspxoder ungewöhnliche Path-Strings sind Indizien für Exploit-Versuche.
EXTRA-TIPP: Windows-Bug 32202 nicht vergessen
Im gleichen KEV-Update steckt CVE-2026-32202, ein Windows-Shell-Spoofing-Bug, der Schutzmechanismen unterläuft. Microsoft hat die Lücke nachträglich als aktiv ausgenutzt markiert. Wer beim April-Patch-Tuesday warmgelaufen ist, hat den Patch bereits gezogen. Falls nicht: Update einplanen.
FAZIT: Patch-Pflicht ist KEIN Behörden-Thema mehr
Der KEV-Katalog ist die realistischste Patch-Priorisierungsliste, die du bekommen kannst. Wenn dort ein Bug landet, heißt das: jemand wird gerade damit gehackt. Plan deinen Maintenance-Slot heute Abend ein, prüf alle deine Remote-Tools – und tu deinem MSP-Kollegen einen Gefallen, indem du ihn auf den Eintrag hinweist.