Die VC-Firma a16z hat soeben eine Grafik veröffentlicht, die in den letzten Tagen auf X für Furore gesorgt hat. Die Grafik zeigt, dass die Zahl der kritischen und hochgradigen CVEs bei 21 großen Softwareunternehmen seit dem Frühjahr 2026 von unter 100 pro Monat auf über 600 pro Monat gestiegen ist. Die Daten stammen von Epoch AI und umfassen Zahlen von Apple, AWS, Microsoft, Google und Adobe.
Und weil es sich um X handelt, haben natürlich viele ihre Meinung dazu geäußert (ja, das tun wir hier auch).
Sie waren in zwei Lager gespalten. Die einen interpretierten dies als echte Veränderung der Risikosituation, während die anderen darauf hinwiesen, dass sich die Zahl der bekannten ausgenutzten Sicherheitslücken (KEV) seit 2024 nicht verändert habe ; allein die Tatsache, dass mehr Sicherheitslücken offengelegt würden, bedeute also nicht zwangsläufig eine größere Gefahr.
Selbst der Bericht von a16z selbst enthält diesbezüglich Vorbehalte:
„Ob es tatsächlich mehr Sicherheitslücken gibt oder ob es sich um eine Änderung bei der Berichterstattung oder der Definition handelt, lässt sich allein anhand der Grafik schwer sagen, aber es ist wahrscheinlich, dass zumindest ein Teil (und vielleicht sogar ein großer Teil) dieses parabolischen Wachstums auf eine wesentliche Änderung zurückzuführen ist – entweder in der Art und Weise, wie Sicherheitslücken entdeckt werden, und/oder darin, was noch als sicher gilt.“
Doch beide Lager interpretieren dies völlig falsch. Weder die reine Anzahl neuer CVEs noch eine konstante KEV-Zahl bestimmt tatsächlich das Risiko. Das Risiko hängt davon ab, wie schnell man herausfinden kann, welche Schwachstellen von Bedeutung sind, und wie schnell sie behoben werden, sobald sie bestätigt sind.
Es ist offensichtlich, dass KI das Aufspüren von Schwachstellen (sowohl für Angreifer als auch für Verteidiger) erheblich vereinfacht hat. Modernste Modelle entdecken Schwachstellen schneller, als Prüfer sie validieren können – darunter auch seit langem bestehende Fehler, die jahrelange manuelle Überprüfungen überstanden haben.
Der sprunghafte Anstieg in der a16z-Grafik lässt sich also in der Tat am besten damit erklären, dass KI das Aufspüren bereits vorhandener Fehler beschleunigt, und nicht damit, dass Software plötzlich unsicherer geworden wäre. Aber das ist nur ein Teil der Geschichte.
Was passiert, wenn eine Institution versucht, mit den einfachen Erkennungsmethoden Schritt zu halten?
Das NIST, die Institution, die von allen als maßgebliche Quelle für Schwachstellendaten angesehen wird, hat mit genau demselben Problem in noch größerem Umfang zu kämpfen. Ausgehend von der Annahme, dass mehr CVEs auch mehr Gefahr bedeuten, hatte es versucht, jede eingehende CVE zu bewerten. Doch die schiere Menge an CVEs machte dies praktisch unmöglich. Und schließlich brach das System zusammen.
Eine Prüfung durch die Bundesbehörden im Mai dieses Jahres ergab, dass der Rückstand innerhalb von achtzehn Monaten von 13.000 auf über 27.000 angestiegen war. Die vom NIST vorgeschlagene Lösung? Nicht mehr alles zu bewerten. Stattdessen werden CVEs priorisiert, die mit der Nutzung durch Bundesbehörden, kritischer Software oder solchen zusammenhängen, die bereits auf der Liste der bekannt ausgenutzten Schwachstellen der CISA stehen. Alles andere wird als „nicht geplant“ gekennzeichnet, sodass die Wahrscheinlichkeit groß ist, dass diese Fälle nicht erneut geprüft werden.
Beim NIST geht es darum, eine Sicherheitslücke offenzulegen und zu bewerten. Doch selbst bei denjenigen, die diese Hürde vollständig nehmen – also bestätigt, bewertet und als aktiv ausgenutzt bekannt sind –, scheint es bei der Behebung immer noch zu Problemen zu kommen.
Die Reparatur ist der Engpass
Der „Data Breach Investigations Report 2026“ von Verizon, der auf über einer Milliarde Schwachstelleneinträgen basiert, ergab, dass im Jahr 2025 nur 26 % der bestätigten, aktiv ausgenutzten Schwachstellen (auf der KEV-Liste der CISA) vollständig behoben wurden – ein Rückgang gegenüber 38 % im Vorjahr. Die mittlere Zeit bis zur vollständigen Behebung einer Schwachstelle stieg von 32 auf 43 Tage.
Selbst die am besten ausgestatteten Organisationen beheben in der ersten Woche nur 30 bis 40 % dieser Schwachstellen vollständig. Verizon bezeichnet dies als das „Paradoxon der Behebung“ – ein Euphemismus dafür, dass die Zahl der Schwachstellen zunimmt, während sich deren Behebung verlangsamt.
Es ist bekannt, dass diese Sicherheitslücken aktiv ausgenutzt werden und auf einer öffentlichen Liste stehen. Und sie werden immer noch nicht schnell genug behoben.
So sieht „Fixing Fast“ in der Praxis aus
In diesem Monat tauchte eine nicht authentifizierte RCE-Sicherheitslücke namens „Stylesmuggler“ bei Adobe Commerce und Magento Open Source auf. Es gab weder eine zugehörige CVE-Nummer noch eine Sicherheitsmitteilung von Adobe.
Eine Sicherheitslücke braucht weder eine CVE-Nummer noch einen Herstellerhinweis, um real zu sein oder ausgenutzt zu werden. Wenn Sie erst auf beides warten, bevor Sie handeln, haben Angreifer bereits einen Vorsprung. Der einzige Ausweg besteht darin, sich auf eine Lösung zu verlassen, die Sicherheitslücken eigenständig aufspürt und bestätigt und diese anschließend umgehend behebt.
Aikido Intel hat die Schwachstelle eigenständig gemeldet, ohne auf eine Bestätigung von Adobe oder eine CVE-Nummer zu warten, um ihre Echtheit zu bestätigen. Das Unternehmen hat die Schwachstelle unter drei verschiedenen Einträgen erfasst, und Aikido Libraries hat einen funktionierenden Fix für mehrere betroffene Versionen bereitgestellt. Dieser wurde als „AutoFix“-Pull-Request direkt in den bereits von den Teams genutzten Workflow integriert, anstatt eine separate, mühsame manuelle Migration durchzuführen. All dies geschah, bevor Adobe mehr als 24 Stunden später seinen eigenen Hotfix veröffentlichte.
StyleSmuggle ist jedoch kein Einzelfall. Im ersten Betriebsjahr von Intel wurden 67 % der Pakete, bei denen Schwachstellen entdeckt wurden, niemals öffentlich in einer Datenbank veröffentlicht (weder bei NVD, noch bei GitHub Advisory, noch bei MITRE, noch sonst wo).
Die wahre Geschichte lautet also…
Die steigende Zahl der CVE-Einträge lässt sich mit der Anzahl der jährlich veröffentlichten npm-Pakete vergleichen – sie summiert sich, sodass es irgendwie … sinnlos ist, diese Entwicklung zu beobachten. Was zählt, ist, wie schnell eine echte, bestätigte Sicherheitslücke behoben wird, und derzeit geschieht dies branchenweit nicht schnell genug.
Da KI die Erkennung und Ausnutzung von Schwachstellen immer mehr zur Selbstverständlichkeit macht, muss sich die Cybersicherheit neu ausrichten und den Fokus darauf legen, was geschieht, nachdem eine Schwachstelle entdeckt wurde. Das beginnt damit, zu wissen, welche der aufgedeckten Schwachstellen tatsächlich erreichbar und ausnutzbar sind. Aikido's Erreichbarkeitsanalyse filtert alles heraus, wofür es keinen Ausführungsweg zum anfälligen Code gibt, und CVE Ausnutzbarkeitsanalyse geht noch einen Schritt weiter: Es analysiert, wie ein Paket in Ihrer Umgebung tatsächlich verwendet wird, um zu entscheiden, ob es sich lohnt, Maßnahmen gegen eine erreichbare Schwachstelle zu ergreifen.
Aikido bietet zwei Möglichkeiten zur Behebung. Bei bekannten, behebbaren Problemen kann AutoFix die Korrektur direkt generieren. Bei Open-Source-Paketen wird die exakte Version gepatcht, die bereits in der Lockfile eines Teams festgehalten ist, ohne dass ein Upgrade oder eine Migration erforderlich ist. Das Gleiche gilt für anfällige Basis-Images von container und Anwendungscode. Wenn eine Korrektur eine menschliche Entscheidung erfordert, wird die Schwachstelle dennoch mit einer konkreten, umsetzbaren Empfehlung gekennzeichnet, sodass sofort gehandelt werden kann, anstatt erst überlegen zu müssen, was zu tun ist. Der nächste Schritt – all dies bis in die Produktion zu bringen, ohne darauf warten zu müssen, dass jemand die Änderungen zusammenführt – ist nicht mehr weit entfernt.
Das Aufspüren von Schwachstellen war noch nie so einfach. Jetzt sollte der Fokus darauf liegen, wie Sie die Schwachstellen aus der Flut an Informationen herausfiltern und schnell beheben können.
