Mittelstandspresse
19.10.2026
.NET 8 und .NET 9 ohne Sicherheitsupdates: Was fünf Angriffe zeigen
Angreifer nutzen bekannte Lücken in .NET-Software, oft lange nach dem Patch
Hamburg, 19.10.2026 (PresseBox) - Telerik, Exchange, ScreenConnect, Veeam und SharePoint: Fünf Angriffswellen auf Software mit .NET-Basis folgen demselben Muster. Angreifer nutzen Lücken, die offen bleiben. Ab dem 10. November 2026 erhält auch die .NET-Grundlage von .NET 8 und .NET 9 keine Sicherheitsupdates mehr, warnt die unabhängige Lizenzberatung ProLicense.
Bekannte Sicherheitslücken in Software auf .NET-Basis werden gezielt ausgenutzt, häufig lange nachdem der Hersteller eine Korrektur veröffentlicht hat. Das zeigen fünf dokumentierte Angriffswellen der vergangenen Jahre. Am 10. November 2026 endet der Support für .NET 8 und .NET 9. Die unabhängige Lizenzberatung ProLicense weist darauf hin, dass ab diesem Tag auch die .NET-Grundlage selbst keine Sicherheitsupdates von Microsoft mehr erhält.
Fünf Angriffe auf .NET-Software
Selten liegt die ausgenutzte Lücke im .NET-Framework selbst. Meist betrifft sie Anwendungen und Komponenten, die auf .NET aufbauen, und auffällig oft die unsichere Deserialisierung von Daten.
Im März 2023 berichtete die US-Cybersicherheitsbehörde CISA, dass Angreifer den IIS-Webserver einer US-Bundesbehörde über eine Lücke in der Oberflächenbibliothek Telerik UI für ASP.NET AJAX übernommen hatten (CVE-2019-18935). Die eingesetzte Version stammte aus dem Jahr 2013, die Korrektur gab es seit 2019. Unter den Angreifern waren nach Angaben der CISA eine APT-Gruppe und die kriminelle XE Group.
Im März 2021 schloss Microsoft mehrere Lücken in Exchange Server, die bereits als Zero-Day ausgenutzt wurden (ProxyLogon). Auch Exchange baut auf .NET auf. Das BSI rief die Warnstufe Rot aus, weil in Deutschland Zehntausende Server noch ohne Update im Netz standen.
Bei der Fernwartungssoftware ConnectWise ScreenConnect begann im Februar 2024 die Massenausnutzung einer Authentifizierungsumgehung (CVE-2024-1709), kurz nachdem Patch und Angriffscode öffentlich waren. Unter den Angriffen waren Ransomware-Einsätze. Für Veeam Backup & Replication erschien am 4. September 2024 ein Patch gegen eine Deserialisierungslücke (CVE-2024-40711). Wenige Wochen später nutzten die Ransomware-Gruppen Akira und Fog die Lücke auf Systemen ohne Update. Damit gerieten ausgerechnet die Backup-Server in die Hand der Angreifer.
Im Juli 2025 folgte ToolShell (CVE-2025-53770), eine Deserialisierungslücke im lokal betriebenen SharePoint. Sie wurde zunächst als Zero-Day ausgenutzt. Sicherheitsforscher zählten über 400 kompromittierte Server, Microsoft ordnete Angriffe chinesischen Staatsgruppen zu.
Auch die .NET-Laufzeit hat kritische Lücken
Die fünf Fälle betreffen Anwendungen. Die .NET-Grundlage darunter hat eigene Schwachstellen. Im Oktober 2025 schloss Microsoft eine Lücke im ASP.NET-Core-Webserver Kestrel (CVE-2025-55315) und bewertete sie mit 9,9 von 10 Punkten auf der CVSS-Skala. Das ist der höchste Wert, den Microsoft je für ASP.NET Core vergeben hat. Betroffen waren auch .NET 8 und .NET 9, eine Ausnutzung war nicht bekannt. Wird nach dem 10. November eine vergleichbare Lücke gefunden, liefert Microsoft für diese beiden Versionen keine Korrektur mehr. Die Anwendungen darauf bleiben dann angreifbar, wie sorgfältig ihr Hersteller auch patcht.
„Die Angriffe der letzten Jahre folgen einem einfachen Muster: Angreifer nehmen die Lücken, die offen bleiben. Ab dem 10. November bleibt bei .NET 8 und .NET 9 jede neue Lücke in der Laufzeit offen, wenn niemand nachliefert. Diese Lücke lässt sich schließen, ohne Notmigration und bei voller Compliance“, sagt Markus Oberg, Partner und Business Development Manager der ProLicense.
Weiterbetrieb von .NET 8 und 9: zwei Fragen
Für IT-Verantwortliche ergeben sich zwei Fragen:
Welche Anwendungen laufen auf .NET 8 oder .NET 9, und erhält ihre Laufzeit nach dem 10. November noch Sicherheitsupdates?
Werden die Updates der Anwendungshersteller zeitnah eingespielt?
Die zweite Frage bleibt Aufgabe des eigenen Patchmanagements. Für die erste gibt es Drittsupport für die .NET-Laufzeit. ProLicense liefert als Partner von HeroDevs in der DACH-Region den Never-Ending Support (NES) für .NET 8 und .NET 9, eine weiter gepflegte Fassung der Laufzeit mit Sicherheitskorrekturen an denselben Patchtagen wie bei Microsoft.
ProLicense bewertet den Bestand herstellerunabhängig und bezieht kein Geld von Microsoft. Der Maßstab bleibt derselbe: minimale Kosten bei voller Compliance. Unternehmen und Behörden mit .NET-8- oder .NET-9-Beständen erreichen ProLicense über die Kontaktseite.
Ansprechpartner
Markus Oberg
Zuständigkeitsbereich: Partner und Business Development Manager
Über ProLicense GmbH:
ProLicense ist eine unabhängige Beratung für Software License Management mit Schwerpunkt Oracle. Die Gründer Sören Reimers und Christian Grave arbeiteten je über acht Jahre bei Oracle und kennen die Prüf- und Verhandlungspraxis der Hersteller von innen. ProLicense bezieht kein Geld von Softwareherstellern und arbeitet ausschließlich auf Kundenseite: bei Audits, Lizenzverhandlungen, Lizenzbilanzen und bei der Ablösung teurer Supportverträge durch Drittsupport. Der Anspruch ist immer derselbe, minimale Kosten bei voller Compliance. Weitere Informationen unter www.prolicense.com
Datei-Anlagen:
(390 kB)
1633321.attachment
ProLicense Pressebox NET 8 Angriffe
- Mehr Infos zu dieser Meldung unter www.pressebox.de
- zurück zur Übersicht
