Betrifft mich diese CVE? Der Fünf-Minuten-Weg von der Kennung zur Antwort

Der CVE-Record zu CVE-2024-3400 auf cve.org führt für den 10.2-Zweig eine einzige Spanne: alles ab 10.2.0 und unterhalb von 10.2.9-h1 gilt als betroffen. Das Advisory des Herstellers nennt für denselben Zweig zehn Fassungen, die den Fehler beheben — die früheste ist 10.2.0-h3. Wer 10.2.7-h8 fährt, ist nach Herstellerangabe repariert und laut CVE-Record verwundbar. An genau dieser Lücke scheitern die meisten Fünf-Minuten-Prüfungen.

Hinter der Frage „betrifft mich das“ stecken in Wahrheit zwei Fragen, und sie brauchen getrennte Antworten: Läuft das Produkt hier, in der betroffenen Fassung und Konfiguration? Und wenn ja — wie eilig ist es? Für beide gibt es feste Quellen und eine feste Reihenfolge.

Fünf Quellen und ihre Arbeitsteilung

• Hersteller-Advisory (PSIRT) — welche exakte Fassung repariert ist und unter welcher Konfiguration.
• CVE-Record auf cve.org — was die Lücke ist, wer sie zugeteilt hat, grobe Versionsspanne.
• NVD — CVSS, CWE und maschinenlesbare Produktzuordnung, sofern der Eintrag überhaupt angereichert wurde.
• CISA KEV und Vulnrichment — ob sie benutzt wird, ob sie sich automatisieren lässt, wie viel Kontrolle sie abgibt.
• CERT-Bund-Meldungen des BSI — dieselbe Lage auf Deutsch, nach Produkt gebündelt, mit einem Wort statt einer Zahl als Einstufung.

Die Reihenfolge ist keine Geschmacksfrage. Nur die erste Quelle kennt die Fassungsnummern, die zweite bis vierte leiten daraus ab, die fünfte übersetzt. Wer oben anfängt, spart sich eine Runde.

Der Weg in fünf Schritten

1. Die Kennung beim Hersteller nachschlagen. Nicht in einer Datenbank. Die meisten Hersteller führen eine Seite je CVE — im obigen Beispiel ist das security.paloaltonetworks.com/CVE-2024-3400. Dort stehen die Fassungsnummern, von denen alles andere abschreibt.
2. Die Voraussetzung prüfen, nicht nur die Version. CVE-2024-3400 betrifft ausschließlich Firewalls mit konfiguriertem GlobalProtect-Gateway oder -Portal; das Advisory nennt sogar den Menüpfad zum Nachsehen (Network > GlobalProtect > Gateways beziehungsweise Portals). Passende Version mit abgeschalteter Funktion ist ein Nein.
3. Die eigene Version abfragen, nicht erinnern. rpm -q openssl unter RHEL oder SUSE, dpkg-query -W -f='${Version}\n' openssl unter Debian oder Ubuntu, Get-HotFix in der PowerShell für eingespielte Windows-Hotfixes — laut Microsoft allerdings nur die aus dem Component Based Servicing, nicht die per Windows Installer. Bei Appliances steht der genaue Stand im Dashboard — der im Kopf ist der von vor dem letzten Wartungsfenster.
4. Die Dringlichkeit über vier Fragen klären. Von außen erreichbar, im KEV-Katalog, automatisierbar, und wie viel Kontrolle gibt sie ab. Dazu der übernächste Abschnitt.
5. Das Ergebnis mit Datum notieren. Auch das „nicht betroffen“. Die nächste Nachfrage kommt von jemand anderem, und eine undokumentierte Entwarnung muss man zweimal erarbeiten.

Die Sackgasse: Produktname trifft Versionsnummer

Die Schritte eins bis drei klingen mechanisch und sind es nicht, weil die Zuordnung zwischen „Produkt X“ und „dem, was hier installiert ist“ nur teilweise maschinenlesbar vorliegt. Von den 9.770 CVE-Einträgen, die im Juli 2026 in der NVD veröffentlicht wurden (ohne zurückgezogene), tragen 4.884 — knapp die Hälfte — überhaupt keine CPE-Zuordnung: keine strukturierte Angabe, welches Produkt in welcher Versionsspanne betroffen ist. 3.598 dieser 4.884 stehen im Status „Deferred“, von der NVD definiert als derzeit nicht für die Anreicherung vorgesehen. Ob die Zuordnung dort je nachgereicht wird, ist damit offen.

Und wo die Zuordnung existiert, ist sie nur so fein wie der Eintrag, aus dem sie stammt. Das PAN-OS-Beispiel zeigt, was das kostet: Der Hersteller nennt für den 10.2-Zweig zehn Punkte, an denen der Fehler behoben ist — 10.2.0-h3, 10.2.1-h2, 10.2.2-h5 und so weiter bis 10.2.9-h1 —, der CVE-Record fasst sie zu einer einzigen Spanne ab 10.2.0 zusammen. Wer ungeprüft daraus abliest, erbt die grobe Angabe; die europäische EUVD tut genau das. Die NVD hat diesen Eintrag dagegen angereichert und listet die Hotfix-Stände einzeln — 10.2.7-h8 steht dort nicht als betroffen. Genau das ist der Unterschied zwischen einem angereicherten und einem unangereicherten Eintrag, und angereichert wird nur noch ein Teil. Deshalb gilt: Für Versionsgrenzen ist allein das Hersteller-Advisory maßgeblich. Datenbanken sind gut darin, den Fall zu finden. Sie sind schlecht darin, ihn zu schließen.

Vier Fragen statt einer Zahl

Am 10.06.2026 hat CISA die Anweisung aufgehoben, die den KEV-Katalog seit 2021 regelte, und durch BOD 26-04 ersetzt. Interessant ist nicht der Rechtstext — der bindet US-Bundesbehörden, nicht dich —, sondern die Entscheidungstabelle darin. Die zweite der vier Fragen beantwortet der KEV-Katalog selbst; er führte in der Fassung vom 18.08.2026 1.670 Einträge, also nachweislich ausgenutzte Schwachstellen. Die Dringlichkeit ergibt sich aus vier Ja-Nein-Fragen:

Drei der vier Antworten stehen frei verfügbar je CVE-Kennung bereit: CISA liefert Ausnutzungsstand, Automatisierbarkeit und technische Auswirkung über das Vulnrichment-Programm, und seit dem 17.06.2026 führt die NVD dieselben Werte in ihrer API. Nur die erste Frage — von außen erreichbar oder nicht — musst du selbst beantworten, und sie verschiebt die Frist am stärksten. Für CVE-2024-3400 lauten die veröffentlichten Werte: Ausnutzung aktiv, automatisierbar ja, technische Auswirkung vollständig. Auf einer Firewall, die aus dem Internet antwortet, ist das die oberste Zeile — und die verlangt mehr als einen Patch. Wenn eine Lücke benutzt wird, sich automatisieren lässt und volle Kontrolle abgibt, ist „wir haben eingespielt“ die halbe Antwort. Die andere Hälfte ist die Frage, ob vorher schon jemand da war.

Warum manche Einträge gar keine Bewertung tragen

Am 15.04.2026 hat die NVD ihre Arbeitsweise umgestellt. Die Zahl der Meldungen wuchs zwischen 2020 und 2025 um 263 Prozent; das Team reicherte 2025 knapp 42.000 CVEs an, 45 Prozent mehr als in jedem Jahr zuvor — und kam trotzdem nicht hinterher. Seither werden nur noch drei Gruppen bevorzugt bearbeitet: Einträge aus dem KEV-Katalog (Ziel: innerhalb eines Arbeitstags), Software im Einsatz der US-Bundesverwaltung und als kritisch eingestufte Software nach Executive Order 14028. Alles andere bleibt in der Datenbank, aber als niedrigste Priorität.

Daraus folgen zwei Dinge unmittelbar für die Fünf-Minuten-Prüfung. Erstens vergibt die NVD in der Regel keinen eigenen Schweregrad mehr, wenn die meldende Stelle bereits einen geliefert hat — die Zahl, die du siehst, ist häufig die des Herstellers. Zweitens tragen manche Einträge gar keine Zahl: 239 der 9.770 Juli-Einträge hatten überhaupt keinen CVSS-Wert. Ein fehlender Wert ist eine fehlende Analyse, kein kleines Problem. Genau deshalb schlagen die vier Fragen von oben die eine Zahl: Drei davon sind auch dort beantwortet, wo niemand etwas bewertet hat.

Die ehrliche Einschränkung

Fünf Minuten setzen einen Hersteller mit einem Sicherheitsteam voraus, das je CVE veröffentlicht. Bei einer kleinen Open-Source-Bibliothek ist das Advisory womöglich eine Commit-Nachricht, dann dauert es länger. Ebenso hat eine Entwarnung eine Haltbarkeit: Das Advisory zu CVE-2024-3400 erschien am 12.04.2024 und wurde bis zum 03.05.2024 fortgeschrieben. Wer am ersten Tag geprüft und nie wieder hingesehen hat, arbeitete mit einem Text, den es so nicht mehr gab. Und BOD 26-04 ist für dich kein Gesetz — es ist eine Entscheidungstabelle, die zufällig öffentlich, erprobt und kostenlos ist. Ihre Fristen zu übernehmen ist eine Entscheidung, keine Pflicht.

Der Schritt davor

Alle fünf Schritte setzen voraus, dass die Frage darunter schon beantwortet ist: Läuft das Ding hier überhaupt, und in welcher Fassung? Ohne diese Liste beantwortet niemand eine CVE in fünf Minuten. patchletter führt sie: Produkte, die du betreust, im Katalog anhaken, und du bekommst eine Mail, sobald eine neue Version erscheint. Auf der Produktseite — etwa der zu PAN-OS — steht die zuletzt erfasste Fassung, und wo KEV-Einträge zugeordnet sind, stehen sie daneben. Die CVE-Seite listet die nachweislich ausgenutzten Lücken, die sich einem erfassten Produkt zuordnen lassen. Kostenlos, ohne Konto, gehostet in Deutschland.

Quellen, abgerufen am 19.08.2026: CISA-KEV-Katalog, Fassung 2026.08.18 mit 1.670 Einträgen (JSON-Feed, cisa.gov). Die Juli-Zahlen stammen aus einer eigenen Abfrage der NVD-API am 19.08.2026 — 9.770 im Juli 2026 veröffentlichte Einträge ohne zurückgezogene, davon 4.884 ohne CPE-Zuordnung, 3.598 im Status „Deferred“ und 239 ohne jeden CVSS-Wert. NVD-Ankündigungen vom 15.04.2026 und 17.06.2026. CISA BOD 26-04 vom 10.06.2026, Tabelle 1, samt Aufhebungsvermerk zu BOD 22-01. Versionsangaben und Expositionsbedingung zu CVE-2024-3400 aus dem Advisory von Palo Alto Networks und dem CVE-Record auf cve.org; die einzeln aufgeführten Hotfix-Stände der NVD zu dieser Kennung ebenfalls über die NVD-API. Die Einschränkung zu Get-HotFix nach der Microsoft-Dokumentation zur WMI-Klasse Win32_QuickFixEngineering.