Ausgezeichnet mit zwei Pwnie Awards – warum die Erkenntnisse aus den OpenSSH-Lücken für Security Teams jetzt entscheidend sind. Saeed Abbasi, Senior Manager Product Management for Security Research bei Qualys, erklärt in seinem Kommentar, was Security Teams von der Forschung lernen können.
Foto: Qualys
Saeed Abbasi, Senior Manager Product Management for Security Research bei Qualys
Die Auszeichnung mit zwei Pwnie Awards auf Black Hat und DEF CON ist für uns eine Bestätigung unserer Arbeit an OpenSSH. Prämiert wurden regreSSHion (CVE-2024-6387) sowie unsere mehrjährige Analyse, die unter anderem CVE-2025-26465 aufgedeckt hat. Awards sind ein guter Anlass, über die eigentliche Bedeutung dieser Funde zu sprechen: Welche Schlüsse können Security Teams daraus für ihre tägliche Praxis ziehen.
regreSSHion ist eine pre-auth Remote Code Execution im OpenSSH-Server auf glibc-basierten Linux-Systemen – die erste ihrer Art seit fast zwanzig Jahren. Die Schwachstelle war 2006 behoben, wurde jedoch 2020 unbeabsichtigt wieder eingeführt. Das zeigt, wie wichtig konsequente Regressionstests in der Software-Lieferkette sind.
CVE-2025-26465 verdeutlicht, wie Konfigurationen das Sicherheitsniveau beeinflussen. Ist VerifyHostKeyDNS aktiviert, kann ein Machine-in-the-Middle-Angreifer schon beim Verbindungsaufbau falsche Schlüssel platzieren. Die Auszeichnung “Epic Achievement” würdigt diesen mehrjährigen Analyseansatz, zu dem auch weitere Funde wie CVE-2025-26466 gehören.
Für unsere Auswertung wurden mehr als 8,8 Millionen anonymisierte Vulnerability-Lifecycle-Ereignisse aus vielen unterschiedlichen Unternehmensumgebungen betrachtet. Das Ergebnis zeigt einen klaren Trend: Etwa die Hälfte aller Schwachstellen wird am selben Tag geschlossen, der Großteil innerhalb der ersten 30 Tage. Danach flacht die Kurve deutlich ab und ein Long-Tail bleibt bestehen. Diese Werte spiegeln aggregierte Daten über viele Organisationen wider und sind keine feste Restquote pro Unternehmen. Gerade in diesem langen Restzeitraum entstehen häufig Sicherheitsvorfälle.
Abbildung 1: Prozentualer Anteil der noch offenen Schwachstellen seit der Entdeckung, basierend auf anonymisierten Daten der Qualys Threat Research Unit (TRU).
Alles, was aus dem Internet erreichbar und ausnutzbar ist, sollte höchste Priorität haben und so schnell wie möglich behoben werden. Eine Priorisierung nach realer Ausnutzbarkeit und tatsächlicher Exponierung verschiebt die kritischsten Patches an den Anfang. Automatisierung bei Erkennung, Priorisierung und Verteilung ermöglicht es, in Stunden statt in Wochen zu reagieren. Same-Day-Patching ist weniger eine Frage des Aufwands als vielmehr das Ergebnis klarer Richtlinien und eingespielter Prozesse.
Die Pwnie Awards sind ein willkommener Anlass, um auf diese Themen aufmerksam zu machen. Der nachhaltige Effekt entsteht durch enge Zusammenarbeit mit Maintainern, Anbietern und der Research-Community. Verantwortungsvolle Offenlegung und schnelle Patches verbessern die Ausgangslage für alle. Unser Ziel bleibt, Erkenntnisse zeitnah in belastbare Praxis umzusetzen – und den Zeitraum, in dem Angreifer eine Chance haben, so kurz wie möglich zu halten.
