Kritisch100 / 100Konfidenz: Mittel

In CISA KEVCVSS10.0EPSS4 %Über Netz erreichbarOhne Anmeldung

Überprüfen Sie alle Router auf unbekannte oder verdächtige Software und stellen Sie sicher, dass die Firmware auf dem neuesten Stand ist.

▸Herleitung der Bewertung(11)

Wie der Wert zustande kommt

Im CISA-KEV-Katalog: CVE-2026-81578, CVE-2026-82078+25
Hoechster CVSS-Basiswert 10.0+18
Wird laut Meldung tatsaechlich ausgenutzt: in the wild+12
Hinweis auf verfuegbaren Angriffscode: proof-of-concept+10
Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2026-81578, CVSS-Vektor AV:N/PR:N)+10
Ransomware-Vorfall — Thema: ransomware, ransom, medusa | Ereignisbeleg: victim, victims+10
Belegte Wirkungstaktik: impact+8
Belegte ATT&CK-Technik zum Erstzugriff+6
3 zugeordnete(r) Akteur/Malware-Eintrag aus dem MITRE-Katalog+6
Belegte Angriffskette ueber 6 Kill-Chain-Phasen+6
EPSS 3.6 % Ausnutzungswahrscheinlichkeit binnen 30 Tagen+1

Woraus sich die Konfidenz ergibt

Nur ein Herausgeber — keine Gegenlesung
Strukturierte CVE-Daten aus der NVD vorhanden

Die Konfidenz misst die Belegqualität, nicht die Schwere.

Einschränkungen

2 im Text genannte CVE(s) liegen uns nicht vor und gehen nicht in die Bewertung ein: CVE-2026-7791, CVE-2026-73554
Fuer 9 erkannte CVE(s) liegt noch kein CVSS-Basiswert vor (NVD-Rueckstau).

Bewertung v1.1, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.· 2026-08-31 13:50 UTCMethodik

KI-Sicherheit Network & Perimeter

⚡ Weekly Recap: Chinese Spy Proxy, AI Agents Go Off-Task, Router Backdoors and More

The Hacker News·31. August 2026, 13:50

Originalartikel lesen bei The Hacker News

Ein Router wurde mit einer vorinstallierten Backdoor ausgeliefert, die es Angreifern ermöglichte, Daten zu sammeln und Protokolle zu manipulieren. Nutzer wurden durch gefälschte Überprüfungen dazu ver gebracht, die Malware selbst zu installieren. Betroffen sind Nutzer dieser Router, die nun dringend ihre Systeme überprüfen und gegebenenfalls aktualisieren sollten, um weitere Kompromittierungen zu verhindern.

SecBoard-Einordnung

Vorinstallierte Backdoors in Netzwerkgeräten stellen ein erhebliches Risiko dar, da sie Angreifern einen persistenten Zugang zum Netzwerkperimeter ermöglichen, noch bevor das Gerät vom Nutzer konfiguriert wird. Dies kann zur Sammlung von Anmeldeinformationen und zur Manipulation von Netzwerkverkehr führen.

Realistisch schlimmster Fall: Angreifer könnten über die Backdoor dauerhaften Zugriff auf das Heim- oder Unternehmensnetzwerk erhalten, um Daten abzufangen, Passwörter zu sammeln und den Netzwerkverkehr zu manipulieren, ohne dass der Nutzer dies bemerkt. Dies könnte zu einem vollständigen Verlust der Vertraulichkeit und Integrität der Netzwerkkommunikation führen.

Empfehlung: Überprüfen Sie alle Router auf unbekannte oder verdächtige Software und stellen Sie sicher, dass die Firmware auf dem neuesten Stand ist. Ändern Sie alle Standardpasswörter und aktivieren Sie, falls verfügbar, erweiterte Sicherheitsfunktionen. Seien Sie wachsam gegenüber gefälschten Apps und verdächtigen Supportanrufen, die zur Installation von Malware verleiten könnten.

Im erfassten Bestand

▸12. erfasste Meldung zu APT28 innerhalb von 90 Tagen.
▸CVE-2026-81578 kommt damit in 8 erfassten Meldungen der letzten 90 Tage vor.

Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.

Key Facts· 12 / 68

Nach Dringlichkeit sortiert: KEV-Eintrag, dann CVSS, dann EPSS. Vollstaendige Liste im Meldungstext.

CVE-2026-81578CISA KEV

CVSS: 9.8 · CRITICAL
EPSS: 3.3%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
im KEV seit: 2026-08-31
Patch: unbekannt

CVE-2026-82078CISA KEV

CVSS: 9.1 · CRITICAL
EPSS: 3.6%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
im KEV seit: 2026-08-31
Patch: unbekannt

CVE-2026-77554

CVSS: 10.0 · CRITICAL
EPSS: 1.0%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt

CVE-2026-77537

CVSS: 10.0 · CRITICAL
EPSS: 0.9%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt

CVE-2026-77550

CVSS: 10.0 · CRITICAL
EPSS: 0.5%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt

CVE-2026-73602

CVSS: 9.9 · CRITICAL
EPSS: 0.8%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: disclosure@vulncheck.com

CVE-2026-19598

CVSS: 9.8 · CRITICAL
EPSS: 2.8%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: security@wordfence.com

CVE-2026-74233

CVSS: 9.8 · CRITICAL
EPSS: 2.6%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: disclosure@vulncheck.com

CVE-2026-69264

CVSS: 9.8 · CRITICAL
EPSS: 1.2%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: 3.1.3
Zuweisende CNA: security-advisories@github.com

CVE-2026-73487

CVSS: 9.8 · CRITICAL
EPSS: 1.0%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: disclosure@vulncheck.com

CVE-2026-70470

CVSS: 9.8 · CRITICAL
EPSS: 0.9%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: 3.1.3
Zuweisende CNA: security-advisories@github.com

CVE-2026-70477

CVSS: 9.8 · CRITICAL
EPSS: 0.8%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: 3.1.3
Zuweisende CNA: security-advisories@github.com

Betroffen

Nutzer von Routern, die mit einer vorinstallierten Backdoor ausgeliefert wurden. Der Artikel nennt keine spezifischen Hersteller oder Modelle.

Hersteller

FlowiseaiPaperCut

Produkte

NG/MFFlowisePapercut MFPapercut NG

▸ CPE-Rohbezeichner anzeigen (3)

cpe:2.3:a:flowiseai:flowise:*:*:*:*:*:*:*:*
cpe:2.3:a:papercut:papercut_mf:*:*:*:*:*:*:*:*
cpe:2.3:a:papercut:papercut_ng:*:*:*:*:*:*:*:*

Prüfen

▸Überprüfen Sie alle Router-Firmware-Versionen auf bekannte Schwachstellen oder verdächtige Signaturen. Vergleichen Sie die installierte Firmware mit offiziellen Hersteller-Images.
▸Führen Sie eine Netzwerkanalyse (z.B. Port-Scan) des Routers von außen und innen durch, um unerwartete offene Ports oder Dienste zu identifizieren, die auf eine Backdoor hindeuten könnten.

▸ 1 weitere

▸Überprüfen Sie die Router-Protokolle auf ungewöhnliche Anmeldeversuche, Konfigurationsänderungen oder Datenübertragungen zu unbekannten Zielen.

Offene Punkte

▸ anzeigen

▸Der Artikel nennt keine spezifischen Router-Hersteller oder -Modelle, die von der vorinstallierten Backdoor betroffen sind.
▸Es wird nicht spezifiziert, welche Art von Daten gesammelt oder welche Protokolle manipuliert werden können.
▸Die genaue Methode, wie Nutzer durch gefälschte Überprüfungen zur Installation von Malware verleitet wurden, ist nicht detailliert beschrieben.

Red-Team-Relevanz

Was heißt das für dein nächstes Assessment?

▸ Einordnung anzeigen

Initial Access möglich?Ja
Privilege Escalation relevant?Unklar
Exploit öffentlich verfügbar?Ja
Detection / Logging prüfbar?Ja
Für Purple-Team-Szenario geeignet?Ja

Kundenfragen

Haben wir Cisco extern erreichbar?
Haben wir Palo Alto extern erreichbar?
Können wir Reconnaissance detektieren?
Können wir Resource Development detektieren?

Erwähnte Akteure & Werkzeuge

Bedrohungsakteure

APT28G0007 UNC3886G1048 PlayG1040

Malware

PlaycryptS1162 SystemBCS9001 HydraqS0203

Werkzeuge

Quick AssistS1209

Abgleich mit dem MITRE-ATT&CK-Katalog

MITRE ATT&CK(27)

Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.

T1005Data from Local Systemzugeordnet

„Daten zu sammeln“

T1040Network Sniffingzugeordnet

„traffic and password collection“

T1070.001Indicator Removal: Indicator Removal on Host: Clear Windows Event Logszugeordnet

„Protokolle zu manipulieren“

T1190Exploit Public-Facing Applicationzugeordnet

„Ein Router wurde mit einer vorinstallierten Backdoor ausgeliefert“

T1547.006Boot or Logon Autostart Execution: Boot or Logon Autostart Execution: Kernel Modules and Extensionszugeordnet

„vorinstallierten Backdoor“

T1014Rootkitabgeleitet

T1021Remote Servicesabgeleitet

T1036Masqueradingabgeleitet

T1059.001Command and Scripting Interpreter: PowerShellabgeleitet

T1090Proxyabgeleitet

T1133External Remote Servicesabgeleitet

T1566Phishingabgeleitet

T1583.004Acquire Infrastructure: Serverabgeleitet

T1584.004Compromise Infrastructure: Serverabgeleitet

T1587.001Develop Capabilities: Malwareabgeleitet

T1587.004Develop Capabilities: Exploitsabgeleitet

T1588.001Obtain Capabilities: Malwareabgeleitet

T1588.005Obtain Capabilities: Exploitsabgeleitet

T1588.006Obtain Capabilities: Vulnerabilitiesabgeleitet

T1588.007Obtain Capabilities: Artificial Intelligenceabgeleitet

T1589.001Gather Victim Identity Information: Credentialsabgeleitet

T1589.002Gather Victim Identity Information: Email Addressesabgeleitet

T1592.003Gather Victim Host Information: Firmwareabgeleitet

T1656Impersonationabgeleitet

T1667Email Bombingabgeleitet

T1684Social Engineeringabgeleitet

T1684.001Social Engineering: Impersonationabgeleitet

Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.

Kill-Chain-Phasen

Wie weit im Ablauf die belegten Techniken liegen — je Technik die früheste Phase.

Auskundschaften

›

Bewaffnung

›

Zustellung

›

Ausnutzung

›

Einnistung

›

Fernsteuerung

›

Zielhandlung

5 Techniken ohne Phasenzuordnung (z. B. Verteidigungsumgehung, die quer zu allen Phasen läuft)

Quellen & Belege· 1 Quelle

The Hacker NewsKontextPUBLICZuverlässigkeit Cdiese Meldung

Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.

⚡ Weekly Recap: Chinese Spy Proxy, AI Agents Go Off-Task, Router Backdoors and More

Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.

Verknüpfte Intelligence

Dieselben Entitäten an anderer Stelle auf SecBoard.

Vollständigen Artikel lesen bei The Hacker News

Erwähnte CVEs (12)

CVE-2026-81578CRITICAL(9.8)

KEVEPSS 3.3%

An improper access control vulnerability exists in the web management interface of PaperCut MF and PaperCut NG. Under specific conditions, unauthenticated remote requests targeting administrative functions can trigger backend actions prior to the completion of access validation checks. This allows an unauthenticated remote attacker to modify certain system configurations.

Details NVD

CVE-2026-82078CRITICAL(9.1)

KEVEPSS 3.6%

An unsafe dynamic class loading vulnerability exists in the database connection utilities of PaperCut MF and PaperCut NG. The application instantiates database driver classes based on configurable driver names without validating against an allowlist of approved drivers. If an attacker can manipulate system configuration parameters, this enables the execution of arbitrary Java bytecode residing on the application classpath under the security context of the PaperCut server process.

Details NVD

CVE-2026-77554CRITICAL(10.0)

EPSS 1.0%

A malicious actor with access to the network could exploit an Improper Input Validation vulnerability found in UniFi Talk Application to execute a Command Injection on the host device.

Details NVD

CVE-2026-77537CRITICAL(10.0)

EPSS 0.9%

A malicious actor with access to the network could exploit an Improper Input Validation vulnerability found in UniFi Protect Application to execute a Command Injection on the host device.

Details NVD

CVE-2026-77550CRITICAL(10.0)

EPSS 0.5%

A malicious actor with access to the network could exploit an Improper Neutralization of CRLF Sequences vulnerability found in certain devices running UniFi OS to bypass authentication to such UniFi OS devices or instances.

Details NVD

CVE-2026-73602CRITICAL(9.9)

EPSS 0.8%

Flowise before 3.1.3 contains a sandbox escape vulnerability in the vm2 JavaScript sandbox that allows authenticated users to execute arbitrary code by exploiting moment locale validation bypass. Attackers can craft a fake String object with a match function that bypasses path traversal checks to load and execute malicious JavaScript files stored in the document store outside the sandbox.

Details NVD

CVE-2026-19598CRITICAL(9.8)

EPSS 2.8%

The Pods – Custom Content Types and Fields plugin for WordPress is vulnerable to Privilege Escalation via Authorization Bypass in all versions up to, and including, 3.3.9. The vulnerability exists because the pods_admin AJAX router funnels every access check — including the method allowlist, nonce verification, login enforcement, and capability gate — through pods_error(), which under the JSON meta-box-loader compatibility path only writes failures to the PHP error log and returns false instead of terminating the request, rendering all guards ineffective. This makes it possible for unauthenticated attackers to escalate their privileges to Administrator or overwrite the password of any user account, including the site owner's, enabling complete site takeover, or perform another administrator action.

Details NVD

CVE-2026-74233CRITICAL(9.8)

EPSS 2.6%

Zbtlink WE1326, WE357, WE5926, WE5926-WD, WE826-Q, WE826-T2, WE826-WD, WG108, and WG3526 firmware 19.1101, Zbtlink WE2426-C firmware 19.1112, Zbtlink WE5926-EC_QP firmware 20.0516, Zbtlink WF3526-P firmware 19.051, CTN720-W1, LF-1541, and MT7620N firmware 19.1101, and WRC1 firmware 20.0622 contain an unauthenticated command injection in the infosrvd service (UDP/9992). A remote unauthenticated attacker can send a crafted UDP packet to execute arbitrary commands as root. The service's authentication uses a hardcoded salt and an all-zero wildcard MAC bypass, rendering it ineffective.

Details NVD

CVE-2026-69264CRITICAL(9.8)

EPSS 1.2%

Prior to 3.1.3, Flowise CSVAgent interpolates an attacker-controlled segment of the csvFile data URI directly into a Python source-code template that is then executed by Pyodide. Because Pyodide is loaded with the default js bridge to globalThis, which on Node.js exposes eval and dynamic import, the attacker can break out of the Python string literal, hand a JavaScript string to js.eval, dynamically import Node built-in modules such as fs and child_process, and execute arbitrary file I/O or OS commands as the Flowise process. The two validator paths around this code, validatePythonCodeForDataFrame and validateCustomReadCSVFunction, are never applied to the bootstrap template. A workspace user with chatflows:create or agentflows/chatflows update permission can plant a CSV Agent node with a crafted csvFile; once the chatflow is exposed via POST /api/v1/prediction/:id, any unauthenticated request triggers host remote code execution. This issue is fixed in version 3.1.3.

Details NVD

CVE-2026-73487CRITICAL(9.8)

EPSS 1.0%

Flowise before 3.1.3 contains a regex-based Python code validator bypass in CSV and Airtable Agent nodes that allows unauthenticated attackers to inject malicious code via prompt injection. Attackers can exploit unblocked pandas functions like pd.read_json() to exfiltrate datasets, perform SSRF against internal services, or achieve code execution through the unauthenticated prediction API.

Details NVD

CVE-2026-70470CRITICAL(9.8)

EPSS 0.9%

Flowise is a drag & drop user interface to build a customized large language model flow. Prior to 3.1.3, Flowise validatePythonCodeForDataFrame in packages/components/src/pythonCodeValidator.ts can be bypassed with Unicode homoglyph identifiers, allowing arbitrary Python execution inside Pyodide and full OS command execution on the Flowise host via Pyodide js module interop. The validator gates pyodide.runPythonAsync in packages/components/nodes/agents/CSVAgent/CSVAgent.ts and packages/components/nodes/agents/AirtableAgent/AirtableAgent.ts with an ASCII word-boundary blacklist. JavaScript regex word boundaries are ASCII-only, while Python 3 NFKC-normalizes identifiers at parse time, so homoglyph forms such as __cl𝐚ss__, __subcl𝐚sses__, __b𝐚se__, and __b𝐮iltins__ bypass the blacklist and are parsed as their ASCII equivalents. This issue is fixed in version 3.1.3.

Details NVD

CVE-2026-70477CRITICAL(9.8)

EPSS 0.8%

Flowise is a drag & drop user interface to build a customized large language model flow. Prior to 3.1.3, a prompt injection sent to a chatflow using a CSV Agent node can cause the LLM to respond with a malicious Python script that bypasses the blocklist validator and executes in an unsandboxed Pyodide environment. The specific flaw exists within the run method of the CSV_Agents class, where untrusted data is used to construct an LLM prompt and the resulting pythonCode is validated by validatePythonCodeForDataFrame before execution. An attacker can leverage this to execute arbitrary code in the context of the service account. This issue is fixed in 3.1.3.

Details NVD