Nicht mal einen irreführenden Link habe Stelios Kouloglou angeklickt. Dennoch wurde das Mitglied des EU-Sonderausschusses, das in den Jahren 2022 und 2023 den Einsatz kommerzieller Staatstrojaner-Software und mögliche Verstöße gegen EU-Recht untersuchte, selbst Opfer mehrerer Angriffe. Das kanadische Citizen Lab hat heute einen Bericht veröffentlicht, demzufolge auch geheime Dokumente und Besprechungen ausgespäht worden sein könnten.

Stelios Kouloglou ist investigativer Journalist und war zwischen 2015 und 2024 Mitglied des EU-Parlaments. Im Jahr 2022 wurde er stellvertretendes Mitglied des PEGA-Komitees der EU, das als Reaktion auf das Pegasus Project gegründet wurde: Dieses hatte offengelegt, dass Menschen aus dem Journalismus, Aktivismus und der Politik sowie andere Bürger:innen weltweit mit der Software Pegasus ins Visier genommen worden waren. Der Ausschuss sollte die europäische Dimension des Skandals untersuchen und Konsequenzen erarbeiten.

Während der Spionage-Ermittlung ausspioniert

Pegasus ist ein Staatstrojaner des israelischen Unternehmens NSO Group, mit der sich iOS- und Android-Geräte ausspähen lassen. Als Staatstrojaner gelten Programme, mit denen Ermittlungsbehörden heimlich in IT-Systeme eindringen und diese überwachen.

Dem Citizen Lab der Universität Toronto zufolge ist dies der erste Nachweis, dass ein Mitglied des PEGA-Ausschusses Ziel eines Angriffs geworden war. Angestoßen wurde die Analyse durch das Opfer selbst: Im Mai dieses Jahres wandte sich Kouloglou an das Citizen Lab, das eine forensische Analyse seines iPhones durchführte. Das Ergebnis: Sein Gerät wurde gleich zwei Mal, am 21. Oktober 2022 und am 6. und 7. März 2023 mit Pegasus infiziert. Der erste Angriff lag in einer „besonders intensiven“ Arbeitsphase des Komitees zu einem vorläufigen Bericht über Überwachungsfälle. Zum Zeitpunkt des zweiten Angriffs trug Kouloglou zu Diskussionen um den finalen Ausschussbericht bei.

Das Citizen Lab schreibt die Angriffe keinem konkreten Klienten der NSO Group zu. Die Analyse würde aber darauf hinweisen, dass dieselben Angreifenden hinter den Attacken auf sieben russische und belarussische Journalist:innen und Aktivist:innen stecken könnten. Die Infektionen lassen sich mit derselben Apple-ID verbinden. Auf Kouloglous Smartphone kamen offenbar Infektionen in Belgien und Griechenland vor: Die Angreifenden könnten also über eine NSO-Group-Lizenz verfügt haben, die mehrere europäische Länder einschloss.

Alle Arbeit umsonst?

Das Citizen Lab ruft dazu auf, dass frühere Mitglieder des PEGA-Ausschusses und ihre Mitarbeitenden ihre Geräte analysieren lassen sollten. Es liege an der EU und auch nationalen Parlamenten, Angriffe auf ihre Parlamentsmitglieder und parlamentarische Prozesse zu untersuchen.

Dass die Analyse politisches Gehör findet, ist unwahrscheinlich: Die Empfehlungen des Komitees stauben ein. Seitdem haben abermalige Untersuchungen den Einsatz weiterer Staatstrojaner aufgedeckt. In Deutschland wurde noch in diesem Jahr ein Gesetzentwurf diskutiert, der der Bundespolizei erlauben würde, Geräte mit Schadsoftware zu infiltrieren.

Wer als Admin für das Beseitigen von Sicherheitslücken zuständig ist – oder als Journalist über ebensolche berichten will, um Verantwortlichen die Arbeit zu erleichtern –, ist auf zuverlässige Informationsquellen angewiesen. Die müssen im allerersten Schritt beim Priorisieren helfen: Welche Updates sollten möglichst zeitnah durchgeführt werden, um Gefahren abzuwenden, und welche können warten?

Das Common Vulnerability Scoring System (CVSS) soll als De-facto-Standard diese erste Einschätzung erleichtern: Scores von 1.0 („low“) über „medium“ bis hin zum Maximum von 10.0 („critical“) bewerten den Schweregrad. Das klingt wunderbar einfach – doch in der Praxis klaffen die Einschätzungen je nach Quelle oft weit auseinander.

„Jetzt patch…“ – Kommando zurück?

Ursprünglich sollte der Titel dieses Beitrags in etwa so lauten: „Jetzt aktualisieren: Wichtige Sicherheitsupdates für Tomcat und ActiveMQ verfügbar“.

Die Headline eines typischen heise-security-Alerts also, basierend auf einer Warnmeldung des CERT-Bund mit Verweis auf Einträge in der GitHub Advisory Database. Ein Alert deshalb, weil sich unter den gesammelten Sicherheitshinweisen auch zwei als kritisch gekennzeichnete Sicherheitslücken in Apache Tomcat befanden: CVE-2026-53434 und CVE-2026-55276.

Was auf den ersten Blick eindeutig meldenswert schien, verwirrte auf den zweiten. Denn in den Diskussionsbeiträgen auf der Apache-Mailingliste zu CVE-2026-53434 beziehungsweise CVE-2026-55276 schätzt ein Entwickler aus dem Apache-Team die Bedrohung in beiden Fällen als niedrig („low“) ein.

Die Beschreibungen sind jeweils eher knapp. Deutlich wird: CVE-2026-53434 ist nur unter sehr eng gesteckten Bedingungen ausnutzbar, nämlich wenn Admins den sogenannten FFM-Konnektor in Verbindung mit Zertifikatsperrlisten (Certificate Revocation Lists, CRLs) konfiguriert haben. CVE-2026-55276 wiederum ist ein eher vage beschriebener Autorisierungsbug, zu dem ein separates Red-Hat-Advisory anmerkt: „This is a logging-only issue with no runtime security impact[…]“.

Im Score vergriffen

Wie kommen nun die in der National Vulnerability Database (NVD) hinterlegten Scores von 9.1 für CVE-2026-55276 beziehungsweise CVE-2026-53434 zustande?

Ein Blick in die NVD-Einträge mit dem Vermerk „CISA-ADP“ offenbart ein Eingreifen der US-Cybersicherheitsbehörde CISA in den Scoring-Prozess. Die hat seit 2024 die Erlaubnis, in ihrer Rolle als Authorized Data Publisher (ADP) Einträge in der CVE-Datenbank eigenmächtig zu vervollständigen. Zwar nur innerhalb eines vordefinierten Daten-Containers, dafür aber ohne Rücksprache mit den CNAs (CVE Numbering Authorities), die die Einträge angelegt haben. Haben diese keinen CVSS-Punktwert hinterlegt, kann die CISA im Rahmen ihres sogenannten Vulnrichment-Prozesses „nachbessern“.

Entwickler haben diese Praxis in der Vergangenheit immer wieder kritisiert. So äußerte etwa Daniel Stenberg, Erfinder und Hauptentwickler des Open Source-Kommandozeilentools cURL, dass der Prozess des CVSS-Scorings schon per se ein hohes Risiko für Fehleinschätzungen berge. Diese Gefahr werde durch eigene Punkteberechnungen autorisierter Instanzen wie der CISA noch verschärft.

Im Zweifel genauer hinschauen

Schon die Kritik am CVSS-System selbst reicht von der intransparenten Herleitung von Formeln über die Komplexität im Hinblick auf diverse Zusatzmetriken bis hin zu den Eigeninteressen der jeweils bewertenden Personen, die den Score in eine für sie günstige Richtung von Hype bis Verharmlosung verschieben können.

Wenn dann auch noch eine ADP mit fast zufällig wirkenden Scores dazwischenfunkt, wird aus einer grundsätzlich guten Idee eine reine Zeitverschwendung. Und schlimmstenfalls eine Gefahrenquelle für Admins, die Patches irrtümlich hinten anstellen, weil sie sich zu sehr auf einen Score verlassen haben, statt diesen kritisch zu hinterfragen.

Zurück zu Tomcat und ActiveMQ: Die Updates sollten Sie natürlich trotzdem einspielen. Aber in Ruhe und vielleicht sogar beim Hören des Passwort-Podcasts von heise security, dessen aktuelle Folge sich um Sinn und Unsinn von CVSS und anderen Klassifikationssystemen dreht.

(ovw)