Forschungsfeld · Threat Intelligence
Schwachstellen und Bedrohungen einordnen – bevor das Zeitfenster schließt
Vami Research ordnet neue Schwachstellen und Vorfälle zeitnah ein – mit Lagebildern, die betroffene Versionen, Angriffswege und Sofortmaßnahmen nennen. Priorisiert wird mit CVSS, EPSS und dem KEV-Katalog der CISA. Dark Web Monitoring, Angriffserkennung, MDR und Resilienzübungen schließen die Lücke zwischen Signal und Maßnahme.
- Lagebilder
- CVSS · EPSS · KEV
- Dark Web Monitoring
- SIEM · EDR · NDR
- MDR
- Cyber-Resilienz
- CACS-Methodik
- Deep Dives
- 7
- Whitepaper
- 0
- Lösungen
- 1
Mehr Schwachstellen, kürzere Reaktionsfenster
Nach dem BSI-Lagebericht 2025 wurden zwischen Juli 2024 und Juni 2025 durchschnittlich 119 neue Schwachstellen pro Tag bekannt; die an BSI-Honeypots gemessenen Exploitation-Angriffe nahmen um 38 Prozent zu. Eine IT-Sicherheitsinformation des BSI stuft die Auswirkungen der KI-Entwicklung mit Kritikalität 2 („Gelb“) ein: KI senkt Aufwand, Zeit und Einstiegshürden für offensive Fähigkeiten. Alles sofort zu patchen ist bei diesen Mengen keine Strategie.
Bei öffentlich gewordenen Lücken ist unsere Rolle die zeitnahe Analyse und Einordnung. Die PHP2Shell-Lücken haben Wiz Research, Calif, OpenAI und das PHP-Projekt am 21. Oktober 2026 offengelegt; unser Lagebild erschien am selben Tag. Zu Brotli2Shell folgte am 27. Oktober 2026 ein Lagebild, zur manipulierten Claude-Code-Erweiterung im Cursor-Marktplatz am 31. Oktober 2026 eine Analyse – jeweils mit betroffenen Versionen, Prüfschritten und konkreten Sofortmaßnahmen.
Das Forschungsfeld verbindet diese Lagebilder mit dem Regelbetrieb: risikobasiertes Schwachstellenmanagement, External Attack Surface Management, Dark Web Monitoring, Angriffserkennung mit SIEM, EDR und NDR, Deception, MDR sowie Business Continuity Management nach BSI-Standard 200-4 und ISO 22301. Für Netzbetreiber im Stromsektor kommt die Klassifizierung von Cyberangriffen nach der CACS-Methodik hinzu.
Offene Fragen der Praxis
- 01
Welche Schwachstelle schließen Sie zuerst, wenn täglich mehr als hundert neue bekannt werden?
Unser Ansatz
Wir priorisieren mit drei Signalen: CVSS 4.0 für die technische Schwere, EPSS für die Wahrscheinlichkeit einer Ausnutzung in den nächsten 30 Tagen, der KEV-Katalog der CISA für nachgewiesene Ausnutzung. KEV-gelistete Funde auf erreichbaren Systemen stehen vorn. Fristen staffeln wir nach Risiko, etwa nach dem Modell der CISA-Direktive BOD 26-04; für Zero-Days ohne Patch greifen Ersatzmaßnahmen wie virtuelles Patchen.
- 02
Wie wird aus der Meldung einer kritischen Lücke ein Plan, den Betriebsteams sofort umsetzen können?
Unser Ansatz
Unsere Lagebilder zu PHP2Shell und Brotli2Shell nennen Ursache, gefixte Versionen, Angriffswege und einen 7-Punkte-Plan, dazu eine Betroffenheitsprüfung. Bei Brotli2Shell führt der Plan von außen nach innen: sichtbar machen, wo Brotli entpackt wird, Brotli-kodierte Requests an WAF oder Proxy abweisen, exponierte Dienste zuerst patchen, Berichte von Lieferanten einfordern, alles dokumentieren, Meldepflichten prüfen.
- 03
Welche Signale aus Untergrund und externer Angriffsfläche liefern Frühwarnung statt Alarmrauschen?
Unser Ansatz
Beide brauchen Triage. Dark-Web-Treffer verifizieren wir und priorisieren sie nach Kontotyp und exponiertem Dienst; dann folgen Passwort-Reset, beendete Sitzungen, MFA-Prüfung und die Suche nach der Abflussquelle. EASM-Funde werden attributiert, validiert und nach Exponiertheit, Ausnutzbarkeit und Geschäftskritikalität priorisiert. Maßstab ist die Zeit bis zur wirksamen Maßnahme, nicht die Trefferzahl.
- 04
Was ändert sich für Detektion und Reaktion, wenn KI und Agenten Angriffe beschleunigen?
Unser Ansatz
Unsere Grundhaltung ist Assume Breach: Gepatchte Zero-Days gelten als ausgenutzt, bis das Gegenteil belegt ist. Detektion bauen wir als Engineering-Disziplin auf – Sigma-Regeln, Abdeckung gegen MITRE ATT&CK, SIEM, EDR und NDR im Zusammenspiel. Agentische Systeme mit Tools und APIs behandeln wir selbst als Angriffsziel; KI setzen wir in der Abwehr ergänzend ein, nie als Ersatz.
Was wir festhalten
- 01
CVSS, EPSS und KEV beantworten drei verschiedene Fragen
Wer nur nach CVSS-Basiswert patcht, behandelt viele Lücken dringlich, die nie ausgenutzt werden, und übersieht aktiv angegriffene mit mittlerem Score. CVSS misst die Schwere, EPSS die Wahrscheinlichkeit einer Ausnutzung, KEV zeigt, ob sie bereits nachweislich stattfindet. Erst zusammen und bezogen auf erreichbare Systeme ergeben sie eine risikobasierte Reihenfolge.
Beleg: Schwachstellenmanagement
- 02
Im laufenden CVE-Jahrgang 2026 bleiben im Mittel rund zehn Stunden bis zur Ausnutzung
Nach Daten der Zero Day Clock, abgerufen am 29. Juli 2026, sank die mittlere Zeit bis zur ersten bestätigten Ausnutzung von 2,3 Jahren im CVE-Jahrgang 2018 auf rund zehn Stunden im laufenden Jahrgang 2026 – einem Teiljahr mit 97 bestätigten Fällen. Klassisches Schwachstellenmanagement bleibt nötig, braucht aber kontinuierliche Prüfung als Ergänzung.
Beleg: Zero-Day-Monitoring
- 03
Bei Brotli2Shell sind auch KI-Agenten mit Web-Werkzeugen gefährdet
Brotli2Shell betrifft nicht nur Server, die eingehende Requests entpacken. Angreifbar sind auch Dienste, die Antworten fremder Server automatisch dekomprimieren – darunter Webhooks, Crawler und KI-Agenten, die vom Nutzer gewählte URLs abrufen. Eine WAF sieht diese Richtung nicht und ersetzt den Patch deshalb nicht.
Beleg: Brotli2Shell (CVE-2026-111497): Was Unternehmen jetzt über Node2Shell und HTTP2Shell wissen müssen
- 04
Abgeflossene Zugangsdaten gehen Ransomware häufig voraus
Nach dem Verizon Data Breach Investigations Report 2026 hatten 73 Prozent der untersuchten Ransomware-Opfer im Jahr vor dem Angriff ein Infostealer- oder Credential-Leak-Ereignis, die Hälfte davon binnen 95 Tagen. Wer solche Treffer früh erkennt und verifiziert, kann die Angriffskette an ihrem ersten Glied unterbrechen.
Beleg: Dark Web Monitoring
Wie wir vorgehen
Vami Research verbindet externe Signale mit dem Zustand Ihrer Umgebung: Was ist bekannt, was ist bei Ihnen erreichbar, was wird bereits ausgenutzt – und wer muss es wann melden?
Priorisierung mit drei Signalen
CVSS 4.0 für die Schwere, EPSS für die Ausnutzungswahrscheinlichkeit, CISA KEV für nachgewiesene Ausnutzung – gewichtet nach Erreichbarkeit aus dem Internet.
Lagebild-Format
Ursache, betroffene und gefixte Versionen, Angriffswege, Maßnahmenplan und Meldepflichten – datiert, mit Quellen und Betroffenheitsprüfung.
Externe Angriffsfläche
EASM aus DNS, Certificate-Transparency-Logs und Scan-Daten; Vamiset ergänzt ein Read-only-Inventar in Cloud und Code und den Scan von außen, heute ohne KI-Funktion.
Managed Zero-Day-Monitoring
VamiSec setzt von außen VamiRedteam mit drei KI-Agenten im autorisierten Scope ein; codenah überwacht VamiAppSec die SBOM jedes Releases auf aktiv ausgenutzte Schwachstellen.
Detection Engineering
Sigma-Regeln, Abdeckung gegen MITRE ATT&CK, SIEM, EDR und NDR im Zusammenspiel; Use-Cases als Portfolio mit Lebenszyklus, kalibriert gegen Alarmmüdigkeit.
CACS-Klassifizierung
Cyberangriffe im Stromsektor nach der ENTSO-E-Skala einstufen: Ursache, potenzielle Auswirkung und Schwere entlang der ATT&CK-Kill-Chain.
So starten Sie
- 1Sichtbar machenAssets, externe Angriffsfläche und Log-Quellen erfassen; Hinweise von Herstellern, CERT-Bund und aus dem KEV-Katalog laufend auswerten.
- 2EinordnenBetroffenheit prüfen, mit CVSS, EPSS und KEV priorisieren, das Lagebild mit Datum und Quellen festhalten.
- 3Handeln und meldenPatchen oder kompensieren, Detektion nachziehen, Meldepflichten nach NIS2, DSGVO, DORA und Cyber Resilience Act prüfen.
Deep Dives, Whitepaper und Analysen
Deep Dives 7
Analysen & News
- 27. Oktober 2026Brotli2Shell (CVE-2026-111497): Was Unternehmen jetzt über Node2Shell und HTTP2Shell wissen müssen
- 31. Oktober 2026Claude-Code-Erweiterung im Cursor-Marktplatz manipuliert: Was Entwicklerteams jetzt über die SSH-Hintertür wissen müssen
- 21. Oktober 2026PHP2Shell (CVE-2026-109618, CVE-2026-109619): kritische Lücken im Kern von PHP ermöglichen Codeausführung ohne Anmeldung (öffnet externe Website)
Weitere Seiten
Vom Feld in die Umsetzung
Verwandte Forschungsfelder
Ein Lagebild für Ihre Umgebung?
Wir prüfen Ihre Betroffenheit, priorisieren mit CVSS, EPSS und KEV und begleiten die Umsetzung. Bei Verdacht auf eine Kompromittierung erreichen Sie unser CSIRT rund um die Uhr unter csirt@vamisec.com.