Beinahe wöchentlich machen Meldungen über neu entdeckte oder geschlossene Sicherheitslücken die Runde in IT-Kreisen und entsprechenden Medien. Adressaten sind meist Softwarehersteller, Admins in Unternehmen und Nutzer:innen, die entsprechend zum Handeln aufgerufen werden.

Die Liste der 20 Top-Einfallstore für Hacker:innen aus China, die jetzt von den drei nationalen Sicherheitsbehörden der USA, CISA, FBI und NSA veröffentlicht wurde, ist entsprechend eher ein Who is who der gemeldeten Sicherheitslücken der vergangenen Monate als ein Handlungsaufruf.

Überwiegend handelt es sich um sogenannte Remote-Code-Ausführungen. Dabei nutzen Angreifer:innen aus der Ferne einen Fehler im System aus und könne über eine Malware die Kontrolle über bestimmte Bereiche oder die gesamte IT-Infrastruktur.

Ganz oben auf der Liste findet sich etwa eine kritische Schwachstelle in der Java-Bibliothek Log4j, die gemeinsam mit weiteren Sicherheitslücken im Dezember 2021 auch beim BSI in Deutschland die Alarmglocken läuten ließ.

Auch die Sicherheitslücken in Gitlab CE/EE, Atlassian sowie Microsoft Exchange hatten in den vergangenen Monaten für Schlagzeilen gesorgt. Zudem sind in der Top-20-Liste eine Reihe weiterer Lücken in Microsoft-Programmen zu finden.

Die in der Liste aufgeführten Schwachstellen sind alle schon bekannt und auch durch Updates und Patches geschlossen worden. Das heißt aber nicht, dass sie nicht mehr ausgenutzt werden können. Denn sowohl im Firmenbereich bei Servern als auch bei privaten Nutzer:innen sind noch vielfach nicht upgedatete Systeme im Einsatz, wie Expert:innen immer mal wieder warnen.

Da es sich bei den chinesischen Hacker:innen vor allem um staatlich gesteuerte Akteur:innen handeln dürfte, sind freilich vor allem kritische Infrastruktur und politische sowie militärische Einrichtungen im Visier, wie winfuture.de schreibt. Entsprechend sollten diese Organisationen zuallererst diese und andere bekannten Lücken durch Updates schließen.