100.000 CVEs: Patchen nach Risiko statt Score

Die Zahl der 2026 veröffentlichten CVEs hat am 13.11. die Marke von 100.000 überschritten. Der Sicherheitsanbieter VulnCheck zählte am Nachmittag 100.222 Einträge, berichtet The Register. Andere Zählungen liegen knapp darunter: CVE.ICU kommt am Morgen des 14.11. auf 97.664 CVEs für 2026. Am Bild ändert das nichts. Im ganzen Jahr 2025 waren es laut CVE.ICU 48.150, die Zahl hat sich also binnen eines Jahres mehr als verdoppelt.

Woher die Flut kommt

Josh Bressers von VulnCheck sieht den Hauptgrund in der Schwachstellensuche mit KI. Sie treibe "a majority of what we're seeing", sagt er gegenüber The Register. Anthropics Programm Glasswing ist dabei nur ein kleiner Teil: VulnCheck schreibt Anthropic bis zum 09.11. genau 442 CVEs zu, etwa 0,5 Prozent aller CVEs des Jahres. Wie diese Bilanz einzuordnen ist, haben wir uns beim Glasswing-Zwischenstand genauer angesehen. Der Rest kommt von vielen Forschenden und Firmen, die mit KI-Werkzeugen Code durchsuchen.

Was nicht mitwächst und was schneller wird

Der Anteil der Lücken, die tatsächlich ausgenutzt werden, bleibt laut VulnCheck stabil bei etwa 1,4 Prozent. Das sind für 2026 bisher 1.363 Einträge im Katalog ausgenutzter Lücken von VulnCheck. Weil die Gesamtzahl steigt, wächst aber auch diese absolute Zahl.

Schneller wird dagegen die Zeit bis zum ersten Angriff. Im Median vergingen 2025 laut VulnCheck 120 Tage zwischen Veröffentlichung einer CVE und ihrer Ausnutzung, im ersten Halbjahr 2026 nur noch 80. Die Sicherheitsfirma CrowdStrike beobachtete laut The Register, dass 88 Prozent der Angriffe mit öffentlich verfügbarem Proof of Concept innerhalb von 48 Stunden nach dessen Veröffentlichung begannen.

Maintainer ändern ihre Abläufe

Am deutlichsten spüren die Flut die Open-Source-Projekte. Das curl-Projekt nimmt seit dem 26.10.2026 Meldungen mit niedrigem und mittlerem Schweregrad nur noch als öffentliche Issues auf GitHub an. Privat über HackerOne laufen nur noch Lücken der Stufen HIGH und CRITICAL. Maintainer Daniel Stenberg begründet das mit einer Welle von Meldungen, an der Forschende mit KI-Werkzeugen großen Anteil hätten. Über 90 Prozent der Einreichungen der letzten Jahre lagen unter HIGH. Öffentlich sollen mehr Leute bei Bewertung und Fix helfen können.

Was das für Teams heißt

Wer bisher jede kritische CVE nach CVSS-Score abarbeitet, kommt bei doppelter Menge nicht mehr hinterher. Bressers sagt dazu: "We don't have a security problem anymore. We have a data problem now." Die Frage ist nicht mehr, wie hoch ein Score ist, sondern ob eine Lücke im eigenen System erreichbar ist und angegriffen wird.

Eine brauchbare Vorlage dafür kommt von der US-Cybersicherheitsbehörde CISA. Ihre Richtlinie BOD 26-04 vom 10.06.2026 gilt zwar nur für US-Bundesbehörden, die vier Prüffragen taugen aber für jedes Team:

Aus den Antworten ergibt sich die Frist für den Fix. Im schlimmsten Fall verlangt CISA Behebung innerhalb von drei Tagen und zusätzlich eine forensische Prüfung, ob das System schon kompromittiert ist.

Praktisch heißt das für Entwicklungsteams: wissen, welche eigenen Dienste von außen erreichbar sind, die KEV-Kataloge im Blick behalten und Abhängigkeits-Updates so weit automatisieren, dass ein Patch nicht wochenlang im Backlog liegt. Für QA bedeutet die Flut vor allem mehr Sicherheits-Updates in Abhängigkeiten. Wer dafür eine verlässliche Regressionssuite hat, kann sie schneller einspielen.