{"id":302,"date":"2026-06-22T00:00:00","date_gmt":"2026-06-21T20:00:00","guid":{"rendered":"https:\/\/shattered.io\/de\/?p=302"},"modified":"2026-06-22T04:20:49","modified_gmt":"2026-06-22T04:20:49","slug":"moveit-automation-cve-2026-4670-cvss-9-8-2026","status":"publish","type":"post","link":"https:\/\/shattered.io\/de\/2026\/06\/22\/moveit-automation-cve-2026-4670-cvss-9-8-2026\/","title":{"rendered":"MOVEit Automation CVE-2026-4670: CVSS 9,8, 1.400 Instanzen gef\u00e4hrdet [2026]"},"content":{"rendered":"\n<p class=\"wp-block-paragraph\">Eine kritische Sicherheitsl\u00fccke mit einem CVSS-Score von 9,8 bedroht weltweit mehr als 1.400 \u00f6ffentlich erreichbare MOVEit-Automation-Instanzen. Progress Software schloss <strong>CVE-2026-4670<\/strong> und die damit verkettete Privilege-Escalation-L\u00fccke <strong>CVE-2026-5174<\/strong> am 30. April 2026 mit einem Notch-Patch, doch Experten warnen: Wer noch nicht aktualisiert hat, spielt mit dem Feuer. Der Grund: MOVEit ist exakt dasselbe Produkt, das die Cl0p-Ransomware-Gruppe 2023 f\u00fcr den verheerenden Angriff auf 2.773 Organisationen und 95,8 Millionen Personen nutzte.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Entdeckt wurden die L\u00fccken von vier Sicherheitsforschern des <strong>Airbus SecLab<\/strong>: Ana\u00efs Gantet, Delphine Gourdou, Quentin Liddell und Matteo Ricordeau. Ihr Fund kommt zu einem Zeitpunkt, an dem viele Unternehmen im DACH-Raum gerade erst die NIS2-Umsetzung und das KRITIS-Dachgesetz in ihre Compliance-Prozesse integrieren, und zeigt, wie eng der Spielraum zwischen Patch-Release und aktivem Exploit sein kann.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"was-ist-cve-2026-4670-in-moveit-automation\">Was ist CVE-2026-4670 in MOVEit Automation?<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">MOVEit Automation ist ein Enterprise-Produkt von Progress Software f\u00fcr die automatisierte, SFTP- und API-gest\u00fctzte Datei\u00fcbertragung in regulierten Umgebungen, das vor allem im Finanz-, Gesundheits- und Beh\u00f6rdensektor eingesetzt wird. Die Schwachstelle <strong>CVE-2026-4670<\/strong> erm\u00f6glicht es einem nicht authentifizierten Angreifer, die Authentifizierungspr\u00fcfungen des Produkts vollst\u00e4ndig zu umgehen. Der Angriff erfolgt \u00fcber die internen Backend-Command-Port-Schnittstellen der MOVEit-Automation-Service-Komponente, die normalerweise nur f\u00fcr interne Prozesse erreichbar sind.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Progress Software beschreibt die Schwachstelle in seinem Security Advisory so: <em>&#8220;Critical and high vulnerabilities in MOVEit Automation may allow authentication bypass and privilege escalation through the service backend command port interfaces. Exploitation may lead to unauthorized access, administrative control, and data exposure.&#8221;<\/em> Der Hersteller betont, dass es <em>&#8220;no confirmed exploits in the wild&#8221;<\/em> gibt, aber gleichzeitig: <em>&#8220;Upgrading to a patched release, using the full installer, is the only way to remediate this issue.&#8221;<\/em><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Die zweite Schwachstelle, <strong>CVE-2026-5174<\/strong>, betrifft eine fehlerhafte Eingabevalidierung und erlaubt eine Privilege Escalation. F\u00fcr sich allein erfordert sie authentifizierten Zugriff, doch in Kombination mit CVE-2026-4670 bildet sie eine gef\u00e4hrliche Angriffskette: Der Angreifer umgeht zuerst die Authentifizierung, eskaliert dann seine Rechte und erlangt so administrative Kontrolle \u00fcber das gesamte Dateitransfer-System.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"technische-analyse-wie-der-angriff-funktioniert\">Technische Analyse: Wie der Angriff funktioniert<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Der Backend-Command-Port in MOVEit Automation ist eigentlich f\u00fcr interne Service-Kommunikation vorgesehen, etwa f\u00fcr die Verarbeitung automatisierter Datei\u00fcbertragungs-Workflows. CVE-2026-4670 erm\u00f6glicht es einem externen Angreifer, diesen Port anzusprechen und dabei Authentifizierungskontrollen zu \u00fcberspringen. Die technische Klassifizierung lautet <strong>CWE-288: Authentication Bypass Using an Alternate Path or Channel<\/strong>.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Was den CVSS-Score von 9,8 rechtfertigt, ist die Kombination aus mehreren Faktoren: Der Angriff ben\u00f6tigt keine vorherigen Anmeldedaten, keine Benutzerinteraktion und keine lokale Pr\u00e4senz. Damit erf\u00fcllt CVE-2026-4670 alle Kriterien f\u00fcr einen Remote-Code-Execution-Angriff der schwersten Kategorie. Die Angriffsvektoren sind im CVSS-V3.1-Vector <code>CVSS:3.1\/AV:N\/AC:L\/PR:N\/UI:N\/S:U\/C:H\/I:H\/A:H<\/code> abgebildet.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Sicherheitsexperten von Rapid7 ordnen solche Command-Port-Schwachstellen als besonders gef\u00e4hrlich ein, weil sie in der Praxis oft schwer zu erkennen sind: Webserver-Logs und herk\u00f6mmliche WAF-Regeln decken die betroffene Service-Schnittstelle h\u00e4ufig nicht ab. Das bedeutet, dass ein erfolgreicher Angriff auf CVE-2026-4670 in einer ungepatchten Umgebung f\u00fcr Wochen oder Monate unentdeckt bleiben kann.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"betroffene-versionen-und-offizieller-patch\">Betroffene Versionen und offizieller Patch<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Progress Software hat in seinem Security Bulletin vom 30. April 2026 die betroffenen Versionen und die jeweiligen Fixes klar aufgelistet. Wer noch auf einer der folgenden Versionen l\u00e4uft, ist akut gef\u00e4hrdet:<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table><thead><tr><th>Betroffene Version<\/th><th>CVE-2026-4670<\/th><th>CVE-2026-5174<\/th><th>Fix-Version<\/th><th>Release-Datum<\/th><\/tr><\/thead><tbody><tr><td>MOVEit Automation 2025.1.4 und fr\u00fcher<\/td><td>Betroffen<\/td><td>Betroffen<\/td><td>2025.1.5<\/td><td>30. April 2026<\/td><\/tr><tr><td>MOVEit Automation 2025.0.8 und fr\u00fcher<\/td><td>Betroffen<\/td><td>Betroffen<\/td><td>2025.0.9<\/td><td>30. April 2026<\/td><\/tr><tr><td>MOVEit Automation 2024.1.7 und fr\u00fcher<\/td><td>Betroffen<\/td><td>Betroffen<\/td><td>2024.1.8<\/td><td>30. April 2026<\/td><\/tr><tr><td>MOVEit Automation vor 2024.0.0<\/td><td>Betroffen<\/td><td>Betroffen<\/td><td>Upgrade auf 2024.1.8+ erforderlich<\/td><td>30. April 2026<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">Progress Software betont einen kritischen Punkt: Das Einspielen des Patches erfordert den <strong>Full Installer<\/strong>, nicht nur ein Delta-Update. Das bedeutet, dass der MOVEit-Automation-Service w\u00e4hrend der Installation offline geht. F\u00fcr Organisationen, die MOVEit f\u00fcr zeitkritische Datei\u00fcbertragungen nutzen, muss das Patch-Fenster sorgf\u00e4ltig geplant werden. Ein partial update oder ein manuelles Hotfix reichen nicht aus, um die L\u00fccke zu schlie\u00dfen.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"airbus-seclab-die-forscher-die-die-luecke-fanden\">Airbus SecLab: Die Forscher, die die L\u00fccke fanden<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Hinter der Entdeckung von CVE-2026-4670 und CVE-2026-5174 steckt das <strong>Airbus SecLab<\/strong>, die interne Sicherheitsforschungsabteilung des europ\u00e4ischen Luft- und Raumfahrtkonzerns. Die vier verantwortlichen Forscher, <strong>Ana\u00efs Gantet, Delphine Gourdou, Quentin Liddell und Matteo Ricordeau<\/strong>, meldeten die Schwachstellen Progress Software privat (Responsible Disclosure), bevor der Patch am 30. April 2026 ver\u00f6ffentlicht wurde.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Das Airbus SecLab ist bekannt f\u00fcr gezielte Sicherheitsforschung an Enterprise-Software, die in sicherheitskritischen Umgebungen eingesetzt wird, also genau dem Anwendungsbereich, in dem MOVEit Automation verbreitet ist. Der Umstand, dass Airbus-eigene Forscher diese L\u00fccke gefunden haben, zeigt, wie ernst der Konzern die Sicherheit der Software-Lieferkette nimmt, auf die seine eigenen Systeme angewiesen sind.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Die koordinierte Offenlegung ist positiv zu bewerten: Durch den Responsible-Disclosure-Prozess konnte Progress Software einen Patch bereitstellen, bevor Details \u00f6ffentlich wurden. Das steht in scharfem Kontrast zu 2023, als Cl0p CVE-2023-34362 aktiv ausgenutzt hatte, bevor Progress Software \u00fcberhaupt von der Schwachstelle wusste. Damals war es ein echter Zero-Day, der von kriminellen Akteuren im Voraus beschafft wurde.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"1-400-exponierte-instanzen-das-globale-risikoprofil\">1.400 exponierte Instanzen: Das globale Risikoprofil<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Internet-weite Scans zeigen, dass zum Zeitpunkt der Patch-Ver\u00f6ffentlichung am 30. April 2026 mehr als <strong>1.400 MOVEit-Automation-Instanzen \u00f6ffentlich erreichbar<\/strong> waren. Nicht alle davon liefen zwingend auf ungepatchten Versionen, aber die Zahl illustriert das potenzielle Angriffsfl\u00e4che. MOVEit-Transfer-Instanzen (das separate Produkt) kommen noch hinzu.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Besonders brisant ist, dass MOVEit-Produkte typischerweise in Hochrisikoumgebungen eingesetzt werden: Krankenh\u00e4user \u00fcbertragen Patientendaten, Finanzdienstleister bewegen Zahlungsdaten, Beh\u00f6rden handhaben B\u00fcrgerinformationen. Jede dieser Instanzen ist ein potenzielles Einfallstor, wenn sie nicht gepatcht wird. Und der Window-of-Exposure, also die Zeit zwischen Patch-Release und vollst\u00e4ndig implementiertem Update, ist erfahrungsgem\u00e4\u00df bei Enterprise-Software l\u00e4nger als bei Consumer-Produkten: Interne Genehmigungsprozesse, Wartungsfenster und Kompatibilit\u00e4tstests verz\u00f6gern Patches oft um Wochen.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Sicherheitsforscher von Emsisoft, die 2023 die MOVEit-Breaches systematisch dokumentierten, warnten bereits damals, dass der Wert \u00f6ffentlich exponierter Instanzen ein schlechter Indikator f\u00fcr das tats\u00e4chliche Risiko ist: Viele MOVEit-Systeme sind hinter Firewalls oder in DMZ-Architekturen versteckt, k\u00f6nnen aber trotzdem \u00fcber kompromittierte Netzwerke erreicht werden. Die 1.400 Instanzen sind also eine Untergrenze, kein Gesamtbild.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"der-grosse-vergleich-2023-vs-2026\">Der gro\u00dfe Vergleich: 2023 vs. 2026<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Um das Risiko von CVE-2026-4670 einzusch\u00e4tzen, ist der Blick auf das Jahr 2023 unvermeidlich. Damals nutzte die Cl0p-Ransomware-Gruppe die Schwachstelle CVE-2023-34362 in MOVEit Transfer aus und l\u00f6ste eine Kaskade von Datenschutzverletzungen aus, die als eines der schwersten Supply-Chain-Ereignisse der Geschichte gilt.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table><thead><tr><th>Faktor<\/th><th>2023: CVE-2023-34362 (MOVEit Transfer)<\/th><th>2026: CVE-2026-4670 (MOVEit Automation)<\/th><\/tr><\/thead><tbody><tr><td>CVSS-Score<\/td><td>9,8 (Kritisch)<\/td><td>9,8 (Kritisch)<\/td><\/tr><tr><td>Schwachstellentyp<\/td><td>Auth-Bypass via SQL Injection<\/td><td>Auth-Bypass via Backend-Command-Port<\/td><\/tr><tr><td>Betroffene Organisationen<\/td><td>2.773 (best\u00e4tigt, Stand Juni 2024)<\/td><td>0 best\u00e4tigt (1.400+ exponiert)<\/td><\/tr><tr><td>Betroffene Personen<\/td><td>95.788.491<\/td><td>Noch keine<\/td><\/tr><tr><td>Gesch\u00e4tzter Gesamtschaden<\/td><td>15,8 Milliarden US-Dollar<\/td><td>Noch nicht bezifferbar<\/td><\/tr><tr><td>Angreifer-Gruppe<\/td><td>Cl0p (Russland-affiliiert)<\/td><td>Keine bekannten Angreifer<\/td><\/tr><tr><td>Zero-Day-Fenster<\/td><td>Mindestens 4 Tage (27.\u201331. Mai 2023)<\/td><td>Kein Zero-Day (Responsible Disclosure)<\/td><\/tr><tr><td>Exploit-Status<\/td><td>Aktiv ausgenutzt vor dem Patch<\/td><td>Kein bekannter Exploit (Stand: 22. Juni 2026)<\/td><\/tr><tr><td>Entdeckung durch<\/td><td>Kriminelle Akteure<\/td><td>Airbus SecLab (koordiniert)<\/td><\/tr><tr><td>Bekannte Opfer<\/td><td>Shell, British Airways, US DoE, BBC, EY, PwC<\/td><td>Keine best\u00e4tigt<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">Der Unterschied zwischen 2023 und 2026 ist strukturell entscheidend: Damals war es ein echter Zero-Day, der von Cl0p aktiv ausgenutzt wurde, bevor Progress Software den Patch bereitstellen konnte. Diesmal haben Airbus-Forscher die Schwachstelle verantwortungsvoll gemeldet, sodass ein Patch verf\u00fcgbar ist, bevor Kriminelle die L\u00fccke ausnutzen konnten. Das gibt Unternehmen und Beh\u00f6rden ein Zeitfenster, das 2023 nicht existierte.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Aber die Geschichte zeigt auch: Die L\u00fccke zu kennen und sie zu schlie\u00dfen sind zwei verschiedene Dinge. Im Jahr 2023 dauerte es Monate, bis alle betroffenen Organisationen gepatcht hatten. Manche wurden erst im Herbst 2023 informiert, dass ihre Daten bereits abgeflossen waren. Genau dieses Risiko besteht auch 2026, solange nicht alle 1.400+ Instanzen auf die gepatchten Versionen aktualisiert wurden.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"welche-branchen-sind-besonders-gefaehrdet\">Welche Branchen sind besonders gef\u00e4hrdet?<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">MOVEit Automation ist kein Produkt f\u00fcr Heimanwender. Es ist gezielt f\u00fcr Enterprise-Umgebungen entwickelt, die strenge Compliance-Anforderungen erf\u00fcllen m\u00fcssen, und genau diese Umgebungen machen es zu einem besonders attraktiven Angriffsziel. Folgende Sektoren stehen im Fokus:<\/p>\n\n\n\n<ul class=\"wp-block-list\"><li><strong>Finanzdienstleister:<\/strong> Banken, Versicherer und Zahlungsanbieter nutzen MOVEit f\u00fcr die automatisierte \u00dcbertragung von Transaktionsdaten, Abrechnungen und regulatorischen Meldungen. Ein erfolgreicher Angriff bedeutet direkten Zugriff auf sensible Finanzdaten von Kunden und Gesch\u00e4ftspartnern.<\/li><li><strong>Gesundheitswesen:<\/strong> Krankenh\u00e4user, Labore und Krankenkassen \u00fcbertragen \u00fcber MOVEit Patientendaten, Laborbefunde und Abrechnungsdaten. Diese Daten sind im Darknet besonders wertvoll, weil sie sich f\u00fcr Identit\u00e4tsdiebstahl und Erpressung eignen.<\/li><li><strong>Beh\u00f6rden und kritische Infrastruktur:<\/strong> 2023 waren das US-Energieministerium, das Office of Personnel Management und mehrere Bundesbeh\u00f6rden unter den Opfern. In Deutschland fallen MOVEit-nutzende Beh\u00f6rden unter den Anwendungsbereich des KRITIS-Dachgesetzes.<\/li><li><strong>Unternehmensdienstleister:<\/strong> Steuerberater, Wirtschaftspr\u00fcfer (EY, PwC wurden 2023 getroffen) und Rechtsanwaltskanzleien verwalten hochsensible Mandantendaten, die \u00fcber sichere Datei\u00fcbertragungskan\u00e4le ausgetauscht werden.<\/li><\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Besonders gef\u00e4hrlich ist das so genannte Downstream-Risiko: Wenn ein Dienstleister oder Outsourcing-Partner MOVEit betreibt und kompromittiert wird, sind auch alle Kunden dieses Dienstleisters betroffen. Im Fall Maximus, der 2023 mit 11,3 Millionen betroffenen Personen das gr\u00f6\u00dfte Einzelopfer war, handelte es sich um genau dieses Muster: ein Outsourcing-Anbieter f\u00fcr US-Regierungsleistungen.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"deutschland-und-der-dach-raum-im-fokus\">Deutschland und der DACH-Raum im Fokus<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">In Deutschland sind \u00f6ffentlich nicht benannte Organisationen im Finanz- und Gesundheitssektor bekannte MOVEit-Nutzer. Das BSI (Bundesamt f\u00fcr Sicherheit in der Informationstechnik) hat zu CVE-2026-4670 bisher keine eigene Warnmeldung herausgegeben, aber die allgemeine Empfehlung zur unverz\u00fcglichen Aktualisierung kritischer Software gilt uneingeschr\u00e4nkt. Organisationen, die unter das KRITIS-Dachgesetz fallen und MOVEit f\u00fcr Datei\u00fcbertragungen nutzen, sind verpflichtet, die L\u00fccke im Rahmen ihrer Patch-Management-Prozesse zeitnah zu schlie\u00dfen.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Der Kontext macht die Bedrohung greifbarer: Wie das BKA in seinem Cybercrime-Lagebericht 2025 feststellte, richtete Cyberkriminalit\u00e4t in Deutschland 2024 einen Gesamtschaden von rund 202 Milliarden Euro an. Supply-Chain-Angriffe \u00fcber Enterprise-Software wie MOVEit sind dabei eines der effektivsten Werkzeuge krimineller Gruppen, weil sie mit einem einzigen kompromittierten System Zugang zu Dutzenden von Opfern erm\u00f6glichen.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">\u00d6sterreichische und Schweizer Organisationen sind dem gleichen Risiko ausgesetzt. Die ENISA (Europ\u00e4ische Agentur f\u00fcr Cybersicherheit) hat in ihrem Threat Landscape 2025 Supply-Chain-Angriffe als eine der drei wichtigsten Bedrohungen f\u00fcr europ\u00e4ische Unternehmen eingestuft. MOVEit ist ein paradigmatisches Beispiel daf\u00fcr, wie ein einzelnes verbreitetes Produkt zur Achillesferse ganzer Branchen werden kann.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"die-cl0p-frage-droht-eine-zweite-welle\">Die Cl0p-Frage: Droht eine zweite Welle?<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Die naheliegendste Frage ist: Wird Cl0p oder eine vergleichbare Ransomware-Gruppe CVE-2026-4670 ausnutzen, so wie sie 2023 CVE-2023-34362 ausgenutzt hat? Zum gegenw\u00e4rtigen Zeitpunkt, dem 22. Juni 2026, gibt es keine \u00f6ffentlichen Belege daf\u00fcr, dass Cl0p oder ein anderer Bedrohungsakteur aktive Exploits gegen CVE-2026-4670 einsetzt.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Aber der Zeitfaktor ist entscheidend. 2023 hat Cl0p die Schwachstelle in MOVEit Transfer ausgenutzt, noch bevor Progress Software von der L\u00fccke wusste. Im Jahr 2026 ist der Sachverhalt anders: Der Patch ist seit fast zwei Monaten verf\u00fcgbar. Aber Bedrohungsakteure analysieren \u00f6ffentlich bekannte CVEs mit CVSS 9.8 intensiv auf Reverse-Engineering-M\u00f6glichkeiten. Sobald ein Proof-of-Concept-Exploit \u00f6ffentlich wird, beginnt typischerweise die Ausbeutungsphase durch kriminelle Gruppen.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Cl0p selbst hat sich 2024 und 2025 auf Angriffe \u00fcber andere Datei\u00fcbertragungsprodukte konzentriert, darunter GoAnywhere MFT und Cleo Harmony. Das Muster dieser Gruppe ist klar: Sie investiert erhebliche Ressourcen in die Analyse von Enterprise-Datei\u00fcbertragungssoftware, weil ein einziger Zero-Day Zugang zu Hunderten von Opfern gleichzeitig erm\u00f6glicht. Es gibt keinen Grund, anzunehmen, dass dieser Ansatz 2026 nicht auf MOVEit Automation ausgeweitet werden k\u00f6nnte, wenn genug ungepatchte Instanzen verbleiben.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"timeline-von-der-entdeckung-bis-zum-patch\">Timeline: Von der Entdeckung bis zum Patch<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Die bekannte Chronologie der Ereignisse rund um CVE-2026-4670 und CVE-2026-5174 zeigt, wie eine koordinierte Offenlegung in der Praxis funktioniert:<\/p>\n\n\n\n<ul class=\"wp-block-list\"><li><strong>Fr\u00fchjahr 2026:<\/strong> Ana\u00efs Gantet, Delphine Gourdou, Quentin Liddell und Matteo Ricordeau vom Airbus SecLab identifizieren die Authentication-Bypass-Schwachstelle in MOVEit Automation bei internen Sicherheitsanalysen.<\/li><li><strong>Vor dem 30. April 2026:<\/strong> Airbus SecLab meldet die Schwachstellen privat an Progress Software (Responsible Disclosure). Das genaue Datum der Meldung ist \u00f6ffentlich nicht bekannt.<\/li><li><strong>30. April 2026:<\/strong> Progress Software ver\u00f6ffentlicht das Security Bulletin, die gepatchten Versionen (2024.1.8, 2025.0.9, 2025.1.5) und \u00f6ffentliche CVE-Eintr\u00e4ge. Keine Details zur Exploit-Technik werden ver\u00f6ffentlicht.<\/li><li><strong>Mai 2026:<\/strong> Sicherheitsforscher und Threat-Intelligence-Anbieter analysieren das Bulletin. Internet-Scans zeigen mehr als 1.400 \u00f6ffentlich erreichbare Instanzen.<\/li><li><strong>22. Juni 2026:<\/strong> Kein best\u00e4tigter Exploit in freier Wildbahn. Das Patch-Fenster ist seit fast zwei Monaten offen.<\/li><\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Was fehlt, ist die genaue Zeit zwischen Entdeckung und Meldung an Progress Software. Diese Information ist f\u00fcr die Risikobeurteilung relevant: Wenn Airbus SecLab die L\u00fccke intern hatte, bevor sie gemeldet wurde, w\u00e4re in diesem Zeitraum theoretisch eine parallele Entdeckung durch Angreifer m\u00f6glich gewesen. Die Tatsache, dass bis heute kein Exploit bekannt ist, deutet darauf hin, dass der Prozess sauber abgelaufen ist.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"sofortmassnahmen-fuer-moveit-betreiber\">Sofortma\u00dfnahmen f\u00fcr MOVEit-Betreiber<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">F\u00fcr Organisationen, die MOVEit Automation betreiben, ist die Handlungsliste klar und priorisiert. Progress Software gibt als einzige vollst\u00e4ndige Gegenmassnahme das Upgrade mit dem Full Installer an. Zus\u00e4tzliche Ma\u00dfnahmen k\u00f6nnen das Risiko bis zum Patch-Zeitpunkt reduzieren:<\/p>\n\n\n\n<ol class=\"wp-block-list\"><li><strong>Version pr\u00fcfen:<\/strong> Sofortige Inventarisierung aller MOVEit-Automation-Instanzen und Versionspr\u00fcfung. Betroffen sind alle Versionen bis 2025.1.4, 2025.0.8 bzw. 2024.1.7.<\/li><li><strong>Patch einspielen:<\/strong> Upgrade auf 2025.1.5, 2025.0.9 oder 2024.1.8 mit dem Full Installer. Eine Wartungsunterbrechung ist einzuplanen.<\/li><li><strong>Backend-Command-Port isolieren:<\/strong> Den Service-Backend-Command-Port \u00fcber Firewall-Regeln auf vertrauensw\u00fcrdige interne IPs beschr\u00e4nken. Kein \u00f6ffentlicher Zugriff auf diese Schnittstelle.<\/li><li><strong>Logs auswerten:<\/strong> Protokolle auf anomale Authentifizierungsversuche, unerwartete Zugriffsquellen und Privilege-Escalation-Muster pr\u00fcfen. Verd\u00e4chtige Aktivit\u00e4ten vor dem 30. April 2026 sind besonders relevant.<\/li><li><strong>Netzwerksegmentierung \u00fcberpr\u00fcfen:<\/strong> MOVEit Automation sollte nicht direkt aus dem Internet erreichbar sein, sondern hinter einer WAF oder einem Reverse Proxy betrieben werden.<\/li><li><strong>Notfallkontakte aktivieren:<\/strong> Im DACH-Raum sind KRITIS-Betreiber verpflichtet, erhebliche Sicherheitsvorf\u00e4lle dem BSI zu melden. Interne Incident-Response-Pl\u00e4ne sollten f\u00fcr den Ernstfall aktivierbar sein.<\/li><\/ol>\n\n\n\n<p class=\"wp-block-paragraph\">Ein wichtiger Punkt f\u00fcr den Betrieb: Progress Software empfiehlt ausdr\u00fccklich, keine alternativen Workarounds zu suchen. Es gibt keinen dokumentierten Weg, die Schwachstelle ohne den vollst\u00e4ndigen Patch zu schlie\u00dfen. Wer versucht, das Problem \u00fcber Konfigurations\u00e4nderungen zu l\u00f6sen, riskiert eine falsche Sicherheitswahrnehmung.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"marktauswirkungen-fuer-progress-software\">Marktauswirkungen f\u00fcr Progress Software<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Das zweite kritische MOVEit-Ereignis innerhalb von drei Jahren ist f\u00fcr Progress Software mehr als ein technisches Problem. Das Unternehmen, das MOVEit 2022 von Ipswitch \u00fcbernahm, hat nach den 2023er-Breaches erhebliche Reputationsverluste erlitten. Zahlreiche Kunden haben seitdem alternative Produkte evaluiert, darunter IBM Aspera, GoAnywhere MFT, Axway, und Open-Source-Alternativen wie Nextcloud.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Die Tatsache, dass CVE-2026-4670 durch Responsible Disclosure gefunden wurde und kein Breach passiert ist, ist f\u00fcr Progress Software eine vergleichsweise gute Nachricht. Aber die Wiederholung kritischer Authentifizierungs-Schwachstellen in demselben Produkt wirft grunds\u00e4tzliche Fragen zur Code-Qualit\u00e4t und zum Secure-Development-Lifecycle auf. Enterprise-Kunden in regulierten Branchen werden diese Fragen an ihre Vendor-Management-Prozesse stellen.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Der globale Markt f\u00fcr Managed File Transfer (MFT) hatte laut verf\u00fcgbaren Branchenanalysen ein Volumen von rund 1,5 Milliarden US-Dollar im Jahr 2024 und w\u00e4chst j\u00e4hrlich um etwa 8 Prozent. MOVEit ist eines der Marktf\u00fchrerprodukte. Ein weiterer gro\u00dfer Breach k\u00f6nnte Marktanteile dauerhaft verschieben, besonders in Europa, wo DSGVO-Compliance die Anforderungen an sichere Datei\u00fcbertragung nochmals versch\u00e4rft.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"experten-einschaetzung-was-sicherheitsverantwortliche-jetzt-tun-sollten\">Experten-Einsch\u00e4tzung: Was Sicherheitsverantwortliche jetzt tun sollten<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Sicherheitsverantwortliche in deutschen Organisationen sollten CVE-2026-4670 nicht als theoretisches Risiko behandeln. Die Parallelen zur 2023er-Katastrophe sind zu offensichtlich, und die Ausgangssituation ist nicht komfortabel: Ein CVSS 9.8, keine Authentifizierung erforderlich, kein Benutzerinteraktion, volle Kontrolle \u00fcber das betroffene System als Angriffsergebnis.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Progress Software hat klar kommuniziert: <em>&#8220;No alternative mitigation is available.&#8221;<\/em> Das ist eine seltene, aber wichtige Aussage. In vielen CVE-Bulletins gibt es tempor\u00e4re Workarounds, die Zeit kaufen. Bei CVE-2026-4670 gibt es diese Option nicht. Das erh\u00f6ht den Druck auf IT-Teams, Patching-Priorit\u00e4ten entsprechend zu setzen.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">F\u00fcr Organisationen, die MOVEit Automation f\u00fcr kritische Business-Prozesse nutzen, aber das Patch-Fenster wegen Produktionsbeschr\u00e4nkungen nicht sofort \u00f6ffnen k\u00f6nnen, empfehlen Sicherheitsexperten als tempor\u00e4re Ma\u00dfnahme die vollst\u00e4ndige Deaktivierung des \u00f6ffentlichen Zugriffs auf die MOVEit-Automation-Schnittstelle, bis das Upgrade eingespielt werden kann. Kein ungehinderter Datentransfer ist besser als ein kompromittiertes System.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"5-prognosen-fuer-die-weitere-entwicklung\">5 Prognosen f\u00fcr die weitere Entwicklung<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Basierend auf der Analyse der technischen Details und der historischen Entwicklung ergeben sich folgende Einsch\u00e4tzungen f\u00fcr die kommenden Monate:<\/p>\n\n\n\n<ol class=\"wp-block-list\"><li><strong>Proof-of-Concept-Exploit in Q3 2026:<\/strong> Sicherheitsforscher werden mit hoher Wahrscheinlichkeit in den n\u00e4chsten Monaten einen PoC-Exploit f\u00fcr CVE-2026-4670 ver\u00f6ffentlichen, sobald gen\u00fcgend technische Details im \u00f6ffentlichen Diskurs verf\u00fcgbar sind. Das wird die Zahl der Angriffe auf ungepatchte Systeme erh\u00f6hen.<\/li><li><strong>Erste best\u00e4tigte Breaches bis September 2026:<\/strong> Organisations, die den Patch bis Ende Juli 2026 nicht eingespielt haben, riskieren, Opfer von Angriffen zu werden. Erfahrungswerte aus fr\u00fcheren Enterprise-Schwachstellen wie CVE-2023-34362 zeigen, dass ungepatchte Systeme typischerweise innerhalb von 60 bis 90 Tagen nach PoC-Ver\u00f6ffentlichung angegriffen werden.<\/li><li><strong>CISA f\u00fcgt CVE-2026-4670 zum Known Exploited Vulnerabilities Catalog hinzu:<\/strong> Sobald erste aktive Exploits best\u00e4tigt sind, wird die US-Beh\u00f6rde die Schwachstelle in ihren KEV-Katalog aufnehmen, was auch f\u00fcr viele deutsche Organisationen mit US-Gesch\u00e4ftsbeziehungen bindende Auswirkungen hat.<\/li><li><strong>Progress Software investiert in strukturelle Code\u00fcberpr\u00fcfung:<\/strong> Nach zwei kritischen Auth-Bypass-Schwachstellen in MOVEit innerhalb von drei Jahren ist zu erwarten, dass Progress Software externe Penetrationstests und Code-Audits ausweitet, um das Kundenvertrauen zu sichern.<\/li><li><strong>BSI-Empfehlung f\u00fcr KRITIS-Betreiber:<\/strong> Das BSI wird voraussichtlich eine spezifische Warnung f\u00fcr kritische Infrastruktur herausgeben, sobald erste Exploits in der Praxis auftreten, \u00e4hnlich der Vorgehensweise bei Log4Shell und anderen Enterprise-Schwachstellen mit branchenweiter Relevanz.<\/li><\/ol>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"verwandte-berichterstattung\">Verwandte Berichterstattung<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Weitere Artikel zu kritischen Schwachstellen und Cybersicherheit in Deutschland:<\/p>\n\n\n\n<ul class=\"wp-block-list\"><li><a href=\"\/de\/veeam-backup-rce-kritisch-cisa-kev-2026\/\">Veeam Backup RCE: CVSS 9,9, 4x auf CISA KEV gelistet [2026]<\/a><\/li><li><a href=\"\/de\/langflow-cve-2026-33017-rce-ki-pipelines-2026\/\">Langflow CVE-2026-33017: CVSS 9,3, KI-Pipelines in 20 Stunden kompromittiert [2026]<\/a><\/li><li><a href=\"\/de\/bka-cybercrime-lagebericht-2025\/\">BKA Cybercrime-Lagebericht 2025: 333.922 F\u00e4lle, 202 Mrd. \u20ac Schaden [2026]<\/a><\/li><li><a href=\"\/de\/kritis-dachgesetz-2026\/\">KRITIS-Dachgesetz 2026: 1 Mio. \u20ac Bu\u00dfgeld, 17. Juli Deadline<\/a><\/li><li><a href=\"\/de\/check-point-vpn-zero-day-cve-2026-50751\/\">Check Point VPN Zero-Day: CVSS 9,3, Qilin Ransomware [2026]<\/a><\/li><\/ul>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"faq-moveit-automation-cve-2026-4670\">FAQ: MOVEit Automation CVE-2026-4670<\/h2>\n\n\n\n<h3 class=\"wp-block-heading\" id=\"was-ist-cve-2026-4670\">Was ist CVE-2026-4670?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">CVE-2026-4670 ist eine kritische Authentication-Bypass-Schwachstelle (CVSS 9,8) in MOVEit Automation von Progress Software. Sie erlaubt nicht-authentifizierten Angreifern, die Zugangskontrolle des Systems \u00fcber die Backend-Command-Port-Schnittstelle zu umgehen und vollen administrativen Zugriff zu erlangen.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\" id=\"ist-moveit-transfer-ebenfalls-betroffen\">Ist MOVEit Transfer ebenfalls betroffen?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">CVE-2026-4670 und CVE-2026-5174 betreffen spezifisch <strong>MOVEit Automation<\/strong>, nicht MOVEit Transfer. Das sind zwei verschiedene Produkte im MOVEit-Portfolio. Das Bulletin von Progress Software vom 30. April 2026 bezieht sich ausschlie\u00dflich auf Automation-Versionen. MOVEit Transfer-Nutzer sollten trotzdem regelm\u00e4\u00dfig das Progress Security Center auf aktuelle Advisories pr\u00fcfen.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\" id=\"wie-patche-ich-mein-system\">Wie patche ich mein System?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Das Upgrade auf die gepatchten Versionen (2024.1.8, 2025.0.9 oder 2025.1.5) muss mit dem <strong>Full Installer<\/strong> durchgef\u00fchrt werden. Ein Patch-only-Update ist nicht ausreichend. Das System wird w\u00e4hrend der Installation offline sein. Progress Software stellt das Update \u00fcber das regul\u00e4re Download-Portal f\u00fcr Kunden bereit.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\" id=\"gibt-es-hinweise-auf-aktive-angriffe\">Gibt es Hinweise auf aktive Angriffe?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Stand 22. Juni 2026 gibt es laut Progress Software keine best\u00e4tigten Exploits in der Praxis. Das kann sich aber schnell \u00e4ndern, insbesondere wenn ein Proof-of-Concept-Exploit ver\u00f6ffentlicht wird. Die Erfahrung aus 2023 zeigt, dass MOVEit-Schwachstellen von Bedrohungsakteuren aggressiv ausgenutzt werden, sobald sie bekannt sind.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\" id=\"muss-ich-den-vorfall-dem-bsi-melden\">Muss ich den Vorfall dem BSI melden?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Wenn Ihre Organisation unter KRITIS oder das KRITIS-Dachgesetz 2026 f\u00e4llt und Sie einen Sicherheitsvorfall im Zusammenhang mit CVE-2026-4670 feststellen, besteht eine Meldepflicht gegen\u00fcber dem BSI. Auch unter NIS2 (in deutsches Recht umgesetzt seit Dezember 2025) sind wesentliche und wichtige Einrichtungen verpflichtet, erhebliche Sicherheitsvorf\u00e4lle innerhalb von 24 Stunden zu melden.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\" id=\"was-war-der-schaden-durch-die-moveit-breaches-2023\">Was war der Schaden durch die MOVEit-Breaches 2023?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Die 2023er-MOVEit-Kampagne der Cl0p-Gruppe traf 2.773 best\u00e4tigte Organisationen und exponierte Daten von 95,8 Millionen Personen. Der gesch\u00e4tzte Gesamtschaden bel\u00e4uft sich auf rund 15,8 Milliarden US-Dollar, berechnet auf Basis von IBM-Benchmark-Kosten pro betroffenem Datensatz. Zu den bekannten Opfern z\u00e4hlten Shell, British Airways, die BBC, EY, PwC und mehrere US-Bundesbeh\u00f6rden.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\" id=\"welche-alternativen-gibt-es-zu-moveit-automation\">Welche Alternativen gibt es zu MOVEit Automation?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Zu den wichtigsten Alternativen im Enterprise-MFT-Markt geh\u00f6ren IBM Aspera, GoAnywhere MFT (Fortra), Axway Managed File Transfer und f\u00fcr DSGVO-konforme Cloud-L\u00f6sungen Nextcloud oder Tresorit. Jedes dieser Produkte hat eigene Sicherheitsprofile und sollte vor einer Migration gr\u00fcndlich evaluiert werden.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Eine kritische Sicherheitsl\u00fccke mit einem CVSS-Score von 9,8 bedroht weltweit mehr als 1.400 \u00f6ffentlich erreichbare MOVEit-Automation-Instanzen. Progress Software schloss CVE-2026-4670 und die damit verkettete Privilege-Escalation-L\u00fccke CVE-2026-5174 am 30. April 2026\u2026<\/p>\n","protected":false},"author":2,"featured_media":303,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[3],"tags":[],"class_list":["post-302","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-security"],"_links":{"self":[{"href":"https:\/\/shattered.io\/de\/wp-json\/wp\/v2\/posts\/302","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/shattered.io\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/shattered.io\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/shattered.io\/de\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/shattered.io\/de\/wp-json\/wp\/v2\/comments?post=302"}],"version-history":[{"count":1,"href":"https:\/\/shattered.io\/de\/wp-json\/wp\/v2\/posts\/302\/revisions"}],"predecessor-version":[{"id":304,"href":"https:\/\/shattered.io\/de\/wp-json\/wp\/v2\/posts\/302\/revisions\/304"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/shattered.io\/de\/wp-json\/wp\/v2\/media\/303"}],"wp:attachment":[{"href":"https:\/\/shattered.io\/de\/wp-json\/wp\/v2\/media?parent=302"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/shattered.io\/de\/wp-json\/wp\/v2\/categories?post=302"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/shattered.io\/de\/wp-json\/wp\/v2\/tags?post=302"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}