Zwei Zero-Days in einer Woche: BlueHammer bedroht jeden Windows-PC, Fortinet CVE-2026-35616 trifft Regierungen

Die erste Aprilwoche 2026 bescherte den Verteidigern zwei gleichzeitige Alptraeme. Am 3. April veroeffentlichte der Sicherheitsforscher "Chaotic Eclipse" den BlueHammer-Exploit-Code auf GitHub — eine Windows-Zero-Day-Schwachstelle zur Privilegieneskalation auf SYSTEM — nachdem Microsoft es abgelehnt hatte, sie mit angemessener Prioritaet zu behandeln. Zwei Tage spaeter veroeffentlichte Fortinet einen Notfall-Patch fuer CVE-2026-35616, eine kritische Schwachstelle (9.1/10) in FortiClient EMS, die bereits aktiv gegen Regierungsbehoerden weltweit ausgenutzt wird.

BlueHammer: Wenn ein Forscher die Geduld verliert

BlueHammer ist eine Windows-Privilegieneskalations-Schwachstelle, die zwei verschiedene Fehler kombiniert: einen TOCTOU-Bug (Time-of-Check to Time-of-Use) und ein Path-Confusion-Problem. Zusammen ermoeglichen sie einem lokalen Angreifer den Zugriff auf den Security Account Manager (SAM) und das Erreichen von SYSTEM-Privilegien.

CVE-2026-35616: FortiClient EMS unter globalem Angriff

FortiClient EMS ist die zentrale Plattform zur Verwaltung der Fortinet-Endpoint-Sicherheit, weit verbreitet in Regierungsbehoerden, militaerischen Einrichtungen und Betreibern kritischer Infrastrukturen weltweit. CVE-2026-35616 (9.1/10) ermoeglicht es einem Angreifer, den EMS-Server zu kompromittieren und potenziell alle verwalteten Endpoints zu kontrollieren. Defused beobachtete erste Exploitation-Versuche auf Honeypots ab dem 31. Maerz, mit deutlicher Beschleunigung ueber das Oster-Wochenende.

Sowohl CISA als auch Singapurs CSA gaben dringende Warnungen heraus. CISA fuegt die CVE dem Katalog bekannter ausgenutzter Schwachstellen hinzu und ordnete an, dass Bundesbehoerden den Hotfix bis Donnerstag einspielen. Dies ist die zweite kritische FortiClient-EMS-Schwachstelle innerhalb von drei Wochen.

FortiClient EMS wird in vielen Regierungen weltweit eingesetzt. Die Exposition koennte umfangreich sein.

— Defused-Forscher, April 2026

Das Muster: Wochenend- und Feiertagsangriffe

Die Beschleunigung der Ausnutzung ueber das Oster-Wochenende ist kein Zufall. Angreifer waehlen bewusst Zeitfenster, in denen Sicherheitsteams reduziert sind. NotPetya wurde vor einem ukrainischen Feiertag gestartet. Kaseya wurde am amerikanischen 4.-Juli-Wochenende getroffen. Colonial Pipeline wurde am Freitagabend angegriffen.

Die Konvergenz: Zwei Zero-Days + Medusa + TrueChaos

BlueHammer und CVE-2026-35616 existieren nicht im Vakuum. In derselben Woche nutzt Medusa-Ransomware Pre-Disclosure-Zero-Days zur Attacke in 24 Stunden. Ein Angreifer kann CVE-2026-35616 fuer den Erstzugang ueber FortiClient EMS, BlueHammer fuer die SYSTEM-Eskalation und Medusa fuer die finale Ransomware verwenden — alles innerhalb von 24 Stunden.

Operative Empfehlungen

1. 1.FortiClient EMS: Hotfix fuer CVE-2026-35616 sofort einspielen. CISA-Deadline: Donnerstag.
2. 2.BlueHammer-Mitigation: Ohne Microsoft-Patch Least-Privilege durchsetzen. Lokalen Systemzugang einschraenken.
3. 3.24/7-Sicherheitsabdeckung: Wochenend- und Feiertagsangriffe sind das dominante Muster.
4. 4.Device-Code-Flow deaktivieren: In Microsoft Entra Conditional Access Policies den Device Authorization Grant deaktivieren.
5. 5.Defense-in-Depth: Keine Einzelverteidigung reicht aus. Patch-Management, Netzwerksegmentierung, Verhaltensmonitoring und Verschluesselung kritischer Kommunikation kombinieren.
6. 6.Incident-Response-Bereitschaft: Bei 24-Stunden-Angriffsketten muss der Reaktionsplan getestet und aktuell sein.

Fazit

Zwei Zero-Days in einer Woche — einer von einem frustrierten Forscher geleakt, der andere aktiv gegen Regierungen ausgenutzt — repraesentieren die neue Normalitaet. Verteidigung allein durch Patching reicht nicht mehr aus, wenn Angreifer vor der Existenz von Patches zuschlagen. Eine Resilienzstrategie, die Kompromittierung voraussetzt und das Wichtigste schuetzt — Daten, Kommunikation, operative Kontinuitaet — ist unverzichtbar.