Das Zeitfenster zur Waffnung von Exploits ist von Wochen auf Stunden geschrumpft
Die Lücke zwischen der öffentlichen Offenlegung einer Schwachstelle und ihrer ersten tatsächlichen Ausnutzung ist von durchschnittlich 56 Tagen im Jahr 2024 auf heute etwa 10 Stunden geschrumpft. In manchen dokumentierten Fällen beginnt die Ausnutzung sogar, bevor ein Patch überhaupt veröffentlicht wird. Patch-Zyklen, die auf monatlichen Rhythmen und 30-Tage-Fenstern basieren, wurden nie für dieses Tempo konzipiert, und dieses Missverhältnis ist heute der größte Treiber von Sicherheitsverletzungen in den Schlagzeilen.
Das ist keine Hypothese. Es ist das Muster hinter fast jeder großen Ausnutzungsgeschichte, über die IRCNF in den letzten zwei Wochen berichtet hat — und das Muster selbst ist die eigentliche Nachricht, nicht eine einzelne CVE.
Die Zahlen hinter dem Zusammenbruch
Im Jahr 2025 wurden rekordverdächtige 48.185 CVEs veröffentlicht, etwa 131 pro Tag, gegenüber 40.009 im Vorjahr. Allein dieses Volumen macht manuelle Triage für die meisten Sicherheitsteams unmöglich. 47,7 % der 2025 zum KEV-Katalog der CISA hinzugefügten Schwachstellen trugen CVE-Kennungen desselben Jahres. Innerhalb der ersten Woche nach Offenlegung werden über 54 % der kritischen Schwachstellen aktiv ausgenutzt. Die mediane Zeit bis zur massenhaften Ausnutzung einer neu offengelegten Schwachstelle liegt inzwischen bei nur 5 Tagen.
Die Reaktion der Hersteller hat mit diesem Tempo nicht Schritt gehalten. Selbst bei bereits als aktiv ausgenutzt bestätigten Schwachstellen benötigen Hersteller durchschnittlich 15 Tage für einen Patch. Für kritische Schwachstellen im Allgemeinen lag die durchschnittliche Patch-Zeit 2025 bei 54,81 Tagen.
Vier aktuelle Fälle, die das Muster zeigen
Wiz-Forscher verfolgten eine Kette von drei CVEs in JFrog Artifactory, die Angreifer nutzten, um während einer 24-tägigen Kampagne Rust-basierte Backdoors in Build-Pipelines von Fortune-100-Unternehmen zu platzieren.
Die Threat Research Unit von Acronis dokumentierte einen mit China verbundenen Akteur, verfolgt als Red Heron, der eine Gitea-Schwachstelle (CVE-2026-60004) innerhalb weniger Tage nach Offenlegung in ein vollständig automatisiertes Hacking-Framework verwandelte.
Cisco Talos schrieb die aktive Ausnutzung einer CVSS-10.0-Schwachstelle im Cisco Firepower Management Center (CVE-2026-20079) der APT-Gruppe Sandworm und Qilin-Ransomware-Betreibern zu.
Und als GitLab diesen Monat eine CVSS-10.0-Schwachstelle (CVE-2026-85706) offenlegte, fiel die CISA-Behebungsfrist für Bundesbehörden auf denselben Tag wie die Offenlegung selbst.
Warum sich die Lücke weiter vergrößert
Drei Kräfte treiben diese Beschleunigung an: Erstens hat KI-gestütztes Reverse Engineering den Übergang von einem Patch-Diff oder Proof-of-Concept zu einem funktionierenden Exploit drastisch beschleunigt. Zweitens ist das reaktive KEV-Modell trotz seines Nutzens grundsätzlich ein nachlaufender Indikator. Drittens das schiere Volumen: Bei 131 veröffentlichten CVEs pro Tag können selbst gut besetzte Sicherheitsteams die Ausnutzbarkeit nicht mehr manuell bewerten, bevor Angreifer es tun.
Was Verteidiger wirklich ändern sollten
Die praktische Antwort ist nicht abstraktes "schneller patchen", sondern zu ändern, welche Schwachstellen sofortige Aufmerksamkeit erhalten und wie die Behebung erfolgt. Internetseitige Systeme, CI/CD-Infrastruktur und alles mit KEV-Katalog-Historie sollten ein wöchentliches statt monatliches Patch-SLA haben. Die Priorisierung sollte Ausnutzbarkeitssignale (KEV-Zugehörigkeit, öffentliche PoC-Verfügbarkeit, EPSS-Score) stärker gewichten als den rohen CVSS-Score. Wo ein Patch nicht innerhalb von 72 Stunden bereitgestellt werden kann, sollte virtuelles Patching über WAF-Regeln oder Netzwerksegmentierung als Brücke dienen. Jedes Team, das noch nach dem Modell "Patch Tuesday plus 30 Tage" arbeitet, sollte dieses Modell für alles mit echter Internet-Exposition bereits als überholt betrachten.