NOVA fand 14.090 Zero-Days in 60 Tagen: Das Patch-Fenster ist tot

Die Zahl, die Platform-Leads vor ihrem nächsten Board-Meeting verinnerlichen müssen, lautet 14.090. So viele bestätigte Schwachstellen hat ein einziges autonomes System in zwei Monaten aus Open-Source-Projekten extrahiert, von denen die meisten Fintech-, iGaming- und Crypto-Stacks transitiv abhängen. Wer sein Sicherheitsbudget für 2026 auf der Annahme aufgebaut hat, dass die CVE-Zuflussraten ungefähr wie 2024 aussehen würden, dessen Annahme ist inzwischen überholt – und jeder nachgelagerte Vertrag, vom WAF-Anbieter bis zum SOC-Personalmodell, ist davon betroffen.

Die Zahlen

Der Rohdaten-Output von Palo Altos Network and Open-Source Vulnerability Analyzer, wie ihn Unit 42 am 4. August veröffentlichte, ist der Typ von Datensatz, der Planungsannahmen grundlegend verändert. NOVA analysierte 3.915 Open-Source-Projekte in sechs großen Ökosystemen in rund 60 Tagen und lieferte 14.090 bestätigte Findings. Nur 85 davon stimmten mit bereits bekannten öffentlichen Schwachstellenquellen überein – und selbst diese 85 wurden größtenteils zwei bis acht Wochen nach NOVAs Entdeckung veröffentlicht. 40 % der Findings wurden als hoch oder kritisch eingestuft.

Zum Vergleich: OSS-Fuzz. Googles Fuzzing-Infrastruktur wurde 2016 gestartet und hatte bis August 2023 mehr als 10.000 Schwachstellen in 1.000 Projekten identifiziert und behoben. Das sind sieben Jahre spezialisierter Automatisierung, getragen von einem der bestfinanzierten Infrastruktur-Teams der Branche. NOVA generierte ein vergleichbares Volumen in zwei Monaten – mit einer Pipeline, die bis zum abschließenden Disclosure-Schritt keine menschliche Prüfung erforderte.

Die Aufschlüsselung nach Ökosystemen ist für alle wichtig, die Supply-Chain-Risiken kalkulieren. Go dominierte mit 1.636 Projekten und 3.281 Findings, gefolgt von JavaScript/TypeScript mit 2.197 Projekten und 2.836 Findings. Dann kehrt sich die Verteilung um. PHP: 17 Projekte, 2.740 Findings. C/C++: 39 Projekte, 1.925 Findings. Java/JVM: 14 Projekte, 1.784 Findings. Eine Handvoll Ruby-, Python-, Lua- und Perl-Codebasen ergänzte weitere 1.524.

Diese Umkehrung verdient genaue Beachtung. Die PHP- und Java-Cluster zeigen, dass Legacy-Webplattformen und Enterprise-Server immer noch Schwachstellen-Goldminen sind, sobald ein kompetenter Analyzer sie vollständig durchliest. Die Go- und JS-Zahlen zeigen, dass moderne Paket-Ökosysteme weniger Bugs pro Paket produzieren, aber weiter downstream reichen. Beides ist für ein Platform-Team relevant, nur in unterschiedlichen Spalten des Risikoregisters. Die meisten analysierten Projekte hatten weniger als 10.000 Codezeilen, obwohl NOVA auch Codebasen mit über einer Million Zeilen verarbeitete. Die CVE-Datenbank steht kurz davor, eine Welle zu absorbieren, für die sie nicht konzipiert wurde.

Was wirklich neu ist

Autonomes Bug-Finding ist keine Neuigkeit. Fuzzer, statische Analyzer und Symbolic-Execution-Engines beschäftigen sich seit einem Jahrzehnt mit Open Source. Neu ist die Form der Pipeline. NOVA findet nicht nur Kandidaten. Es analysiert die Projekthistorie, liest den Quellcode, identifiziert Kandidaten, erstellt einen funktionierenden Proof of Concept, validiert den Trigger deterministisch in einer sauberen Umgebung, generiert einen Patch-Kandidaten und erstellt einen Disclosure-Bericht. Das ist der gesamte Vulnerability-Lifecycle – von Recon bis zum Responsible-Disclosure-Paket – ohne menschliches Zutun bis zum abschließenden Review-Gate.

Die wirtschaftliche Konsequenz: Die Grenzkosten für die Erstellung einer neuartigen, ausnutzbaren, patch-fertigen Schwachstelle sind gerade kollabiert. Unit 42 stellt fest, dass die stärksten Ergebnisse aus einem Ensemble aus Frontier- und Open-Weight-Modellen in Kombination mit spezialisierten Sicherheitstools und automatisierten Harnesses stammten. Diese Ensemble-Architektur ist reproduzierbar. Jedes gut finanzierte Angriffsteam – und jedes staatliche Programm – kann eine Variante davon bauen. Das Defensiv-Team eines Series-B-Fintechs kann das nicht.

Es gibt eine zweite Neuheit, die Aufmerksamkeit verdient. Die 85 Findings, die sich mit öffentlichen Quellen überschnitten, wurden größtenteils zwei bis acht Wochen nach NOVAs Entdeckung veröffentlicht. In operativer Sprache: Ein solches System verschafft seinem Betreiber einen zweimonatigen Vorsprung gegenüber dem öffentlichen CVE-Stream. Für einen Angreifer, der eine ähnliche Pipeline gegen dieselben Ökosysteme betreibt, ist das ein permanentes asymmetrisches Fenster auf jede Codebasis, von der der Stack abhängt. Der CISA KEV-Katalog ist per Design ein nachlaufender Indikator. Er ist gerade noch nachlaufender geworden.

Palo Altos Reaktion, gleichzeitig mit der Forschung angekündigt, ist Advanced Virtual Patching, das verspricht, Schutzmaßnahmen innerhalb von Stunden bereitzustellen – gegenüber dem branchenüblichen 55-Tage-Patch-Deployment-Fenster – mithilfe sogenannter Vaulted Protection, die Mitigationen vor der Verfügbarkeit des Upstream-Patches liefert. Ob dieses spezifische Produkt hält, was es verspricht, ist eine separate Frage. Die architektonische Richtung – netzwerkbasierte Mitigationen im Wettlauf mit einem KI-generierten Exploit-Stream – ist nun das einzige glaubwürdige Vorgehen für Teams, die ihren SDLC nicht in sechs Monaten neu aufbauen können.

Was in Sicherheitsteams bereits eingepreist ist

Sicherheitsbewusste CTOs haben seit mindestens achtzehn Monaten „KI wird Angriffe beschleunigen" eingepreist. Was nicht eingepreist war, ist das Verhältnis. Eine Neuheitsrate von 99,4 % bei 14.090 Findings bedeutet, dass das öffentliche Vulnerability-Disclosure-System kein vernünftiger Proxy mehr für das ist, was im Dependency-Graph existiert. Das verändert mehrere Anbietergespräche, die gerade stattfinden.

SCA-Tools, die auf veröffentlichten CVEs basieren, werden bald dünn aussehen. Wenn Ihr Snyk-, Dependabot- oder äquivalenter Vertrag in Q4 erneuert wird, lautet die Frage nicht mehr „Welche Datenbank ist größer?", sondern: „Wie sieht Ihre Roadmap für die Aufnahme von KI-generierten Disclosure-Streams von Clearinghouses wie Lightwell und Akrites aus?" Palo Alto leitet NOVA-Disclosures über diese Clearinghouses. Erwarten Sie, dass sie zu Gatekeepern einer neuen Disclosure-Ebene werden – und eine Lizenzierungsdiskussion wird folgen.

Der Head of Platform in jeder regulierungssensiblen Branche – lizenziertes iGaming, reguliertes Fintech, Healthcare – sollte seinen CFO diese Woche fragen, ob die aktuellen WAF- und Netzwerksicherheitsausgaben als Capex oder als Dienstleistungsvertrag mit Neuverhandlungsklauseln strukturiert sind. Denn der Fall für eine Budgetverschiebung von Endpoint und SIEM hin zu inline-Netzwerkmitigation mit Sub-Day-Deployment-SLAs ist gerade erheblich stärker geworden. Anbieter, die sich nicht zu Stunden-statt-Wochen-Schutz-SLAs verpflichten können, werden schnell Marktanteile verlieren. Die Virtual-Patching-Kategorie, ein Jahrzehnt lang schlafend, steht vor ihrem Moment – und die Incumbents wissen es.

Was nicht eingepreist ist: die Auswirkungen auf den Einstellungsmarkt. Wenn ein kleines Team mit dem richtigen Ensemble dieses Volumen an Findings generieren kann, sinkt der Wert eines Mid-Level-Vulnerability-Researchers, der hauptsächlich öffentliche CVEs triagt. Der Wert eines Senior-Researchers, der eine autonome Discovery-Pipeline entwerfen und betreiben kann, steigt hingegen deutlich. Vergütungsbänder im Security-Engineering werden sich innerhalb von zwölf Monaten aufspalten.

Gegenmeinung

Die Konsenslesart dieser Forschung lautet, dass Angriff entschieden vorausgeeilt ist. Ich würde dieser Einschätzung zumindest teilweise widersprechen. NOVA ist ein Defender-Tool, betrieben von einem Defender-Anbieter, verantwortungsvoll durch Clearinghouses disclosed, mit automatisch generierten Patches. Dieselbe Fähigkeit beschleunigt in denselben Händen upstream-Fixes erheblich. Wenn Palo Alto und seine Mitbewerber diese Pipelines kontinuierlich gegen die tausend kritischsten Abhängigkeiten betreiben und Patches upstream pushen, könnte die Open-Source-Supply-Chain in achtzehn Monaten bedeutend sicherer sein als heute.

Das pessimistische Szenario setzt voraus, dass Angreifer dieselbe Pipeline aufbauen. Das ist ein reales Risiko, aber es ist nicht kostenlos. Das Betreiben von Ensemble-Frontier-Modellen über Tausende von Projekten hat eine Rechnung. Den Validation-Harness und den PoC-Generator zu bauen ist kein triviales Engineering. Staatliche Akteure werden das absolut tun. Ransomware-Gruppen irgendwann auch. Aber der mittelklassige Commodity-Angreifer muss immer noch auf öffentliche Disclosure warten, um Patches zu reverse-engineeren – genau der Workflow, den Advanced Virtual Patching zu durchbrechen konzipiert ist. Die Lücke zwischen Top-Tier-Angriff und Commodity-Angriff könnte sich sogar vergrößern, und Defender können Ressourcen auf erstere konzentrieren.

Wichtigste Erkenntnisse

• Der öffentliche CVE-Stream ist jetzt ein nachlaufender Indikator um zwei Monate oder mehr. Jede Sicherheitsarchitektur, die davon ausgeht, dass CVEs die Frontier bekannter Schwachstellen darstellen, muss gegen private Disclosure-Streams aus KI-gesteuerten Forschungsprogrammen neu bewertet werden.
• Virtual Patching wechselt von Nice-to-have zur Kernbudgetlinie. Teams mit 55-Tage-Patch-Zyklen sind strukturell exponiert. Netzwerkbasierte Mitigation mit Stunden-statt-Wochen-SLAs ist die einzige realistische Brücke – und die Anbieterauswahl sollte dies beim nächsten Erneuerungszyklus stark gewichten.
• Supply-Chain-Reichweite schlägt Codebase-Größe. Die Go- und JavaScript-Zahlen zeigen, dass kleine Pakete mit breiter Downstream-Adoption genauso riskant sind wie große monolithische Server. SBOM-Tooling, das den transitive Blast Radius nicht abbilden kann, ist unzureichend.
• Einstellungsmarkt spaltet sich auf. CVE-Triage-Rollen verlieren an Wert. Pipeline-Builder- und Harness-Engineer-Rollen erzielen eine Prämie. Vergütungsbänder und Job-Architektur sollten entsprechend geplant werden, bevor die Q1-2027-Anforderungen herausgehen.
• Clearinghouse-Beziehungen sind die neue Abhängigkeit. Lightwell und Akrites – und wer ihnen folgt – werden zwischen KI-generierten Entdeckungen und öffentlicher Disclosure sitzen. Platform-Leads sollten Ingestion-Pathways jetzt etablieren, nicht nach dem ersten Vorfall.

Teams, die ihre Sicherheitsarchitektur für 2027 evaluieren, sollten sich jetzt eine konkrete Frage stellen: Wenn die nächste hochkritische Schwachstelle in ihrem Dependency-Graph von einer autonomen Pipeline entdeckt wird, die sie nicht betreiben, an ein Clearinghouse disclosed wird, das sie nicht abonniert haben, und weaponisiert wird, bevor sie den öffentlichen CVE-Feed erreicht – was ist dann ihre kompensierende Kontrolle, wer bezahlt dafür, und wann?