Zurück zur Übersicht

Kritisch100 / 100Konfidenz: Mittel

In CISA KEVCVSS9.8EPSS100 %Über Netz erreichbarOhne Anmeldung

▸Herleitung der Bewertung(9)

Wie der Wert zustande kommt

Im CISA-KEV-Katalog: CVE-2026-109618, CVE-2026-109619, CVE-2026-41940+25
Hoechster CVSS-Basiswert 9.8+18
EPSS 100.0 % Ausnutzungswahrscheinlichkeit binnen 30 Tagen+15
Hinweis auf verfuegbaren Angriffscode: weaponized+10
Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2026-109618, CVSS-Vektor AV:N/PR:N)+10
Belegte ATT&CK-Technik zum Erstzugriff+6
1 zugeordnete(r) Akteur/Malware-Eintrag aus dem MITRE-Katalog+6
Belegte Angriffskette ueber 3 Kill-Chain-Phasen+6
Betrifft KRITIS-nahe Branche: finanzen+5

Woraus sich die Konfidenz ergibt

Nur ein Herausgeber — keine Gegenlesung
Strukturierte CVE-Daten aus der NVD vorhanden

Die Konfidenz misst die Belegqualität, nicht die Schwere.

Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.· 2026-10-29 19:11 UTCMethodik

Finanzen & Banking Network & Perimeter

ThreatsDay: Critical Firewall Flaws, Banking Trojans Rented, Weaponized PDF, Token Theft + 26 More Stories

The Hacker News·29. Oktober 2026, 19:11

Originalartikel lesen bei The Hacker News

Diese Woche wurden kritische Schwachstellen in Firewalls entdeckt und Banking-Trojaner gemietet, was zu gestohlenen Zugangsdaten und manipulierten PDFs führte. Betroffen sind Unternehmen, die FortiGate-Produkte nutzen, sowie Nutzer von WordPress und Domains von Schulen und Regierungen, die für illegale Glücksspielinhalte missbraucht wurden. Es wird dringend empfohlen, Systeme zu patchen, Passwörter zu ändern und DNS-Einstellungen auf unautorisierte Änderungen zu überprüfen.

Im erfassten Bestand

▸14. erfasste Meldung zu Play innerhalb von 90 Tagen.
▸CVE-2026-109618 kommt damit in 60 erfassten Meldungen der letzten 90 Tage vor.

Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.

Key Facts

CVE-2026-109618CISA KEV

CVSS: 9.8 · CRITICAL
EPSS: 100.0%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
im KEV seit: 2026-10-26
Patch: unbekannt
Zuweisende CNA: security@php.net

CVE-2026-41940CISA KEV

CVSS: 9.8 · CRITICAL
EPSS: 98.5%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
im KEV seit: 2026-04-30
Patch: unbekannt
Zuweisende CNA: disclosure@vulncheck.com

CVE-2026-109619CISA KEV

CVSS: 8.1 · HIGH
EPSS: 100.0%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: hoch
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
im KEV seit: 2026-10-26
Patch: unbekannt
Zuweisende CNA: security@php.net

CVSS: 9.8 · CRITICAL
EPSS: 3.0%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt

CVSS: 8.6 · HIGH
EPSS: 0.5%
Über das Netz: nein
Anmeldung nötig: nein
Nutzerinteraktion nötig: ja
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: secure@microsoft.com

CVSS: 8.1 · HIGH
EPSS: 0.4%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: ja
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität
Patch: unbekannt
Zuweisende CNA: disclosure@vulncheck.com

CVSS: 5.5 · MEDIUM
EPSS: 0.3%
Über das Netz: nein
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: cve@mitre.org

Betroffen

Hersteller

CpanelMicrosoftPHPPHP GroupPaloaltonetworksSiemensWebPros

Produkte

cPanel & WHM and WP2 (WordPress Squared)PHPAuthenticatorCpanelPan OsRuggedcom APE1808 FirmwareWHMWP Squared

▸ CPE-Rohbezeichner anzeigen (21)

cpe:2.3:a:cpanel:cpanel:*:*:*:*:*:*:*:*
cpe:2.3:a:cpanel:whm:*:*:*:*:*:*:*:*
cpe:2.3:a:cpanel:wp_squared:*:*:*:*:*:wordpress:*:*
cpe:2.3:a:microsoft:authenticator:*:*:*:*:*:android:*:*
cpe:2.3:a:php:php:*:*:*:*:*:*:*:*
cpe:2.3:o:paloaltonetworks:pan-os:*:*:*:*:*:*:*:*
cpe:2.3:o:paloaltonetworks:pan-os:10.2.7:-:*:*:*:*:*:*
cpe:2.3:o:paloaltonetworks:pan-os:10.2.7:h10:*:*:*:*:*:*
cpe:2.3:o:paloaltonetworks:pan-os:10.2.7:h11:*:*:*:*:*:*
cpe:2.3:o:paloaltonetworks:pan-os:10.2.7:h12:*:*:*:*:*:*
cpe:2.3:o:paloaltonetworks:pan-os:10.2.7:h13:*:*:*:*:*:*
cpe:2.3:o:paloaltonetworks:pan-os:10.2.7:h14:*:*:*:*:*:*
cpe:2.3:o:paloaltonetworks:pan-os:10.2.7:h15:*:*:*:*:*:*
cpe:2.3:o:paloaltonetworks:pan-os:10.2.7:h16:*:*:*:*:*:*
cpe:2.3:o:paloaltonetworks:pan-os:10.2.7:h17:*:*:*:*:*:*
cpe:2.3:o:paloaltonetworks:pan-os:10.2.7:h18:*:*:*:*:*:*
cpe:2.3:o:paloaltonetworks:pan-os:10.2.7:h19:*:*:*:*:*:*
cpe:2.3:o:paloaltonetworks:pan-os:10.2.7:h1:*:*:*:*:*:*
cpe:2.3:o:paloaltonetworks:pan-os:10.2.7:h20:*:*:*:*:*:*
cpe:2.3:o:paloaltonetworks:pan-os:10.2.7:h2:*:*:*:*:*:*
cpe:2.3:o:siemens:ruggedcom_ape1808_firmware:-:*:*:*:*:*:*:*

Red-Team-Relevanz

Was heißt das für dein nächstes Assessment?

▸ Einordnung anzeigen

Initial Access möglich?Ja
Privilege Escalation relevant?Ja
Exploit öffentlich verfügbar?Ja
Detection / Logging prüfbar?Ja
Für Purple-Team-Szenario geeignet?Ja

Kundenfragen

Haben wir Fortinet extern erreichbar?
Haben wir Cisco extern erreichbar?
Können wir Initial Access detektieren?
Können wir Privilege Escalation detektieren?

Erwähnte Akteure & Werkzeuge

Bedrohungsakteure

Malware

Mini Shai-HuludS9043

Werkzeuge

Abgleich mit dem MITRE-ATT&CK-Katalog

MITRE ATT&CK(5)

Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.

T1055.012Process Injection: Process Hollowingabgeleitet

T1110.004Brute Force: Credential Stuffingabgeleitet

T1566Phishingabgeleitet

T1656Impersonationabgeleitet

T1684Social Engineeringabgeleitet

Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.

Kill-Chain-Phasen

Wie weit im Ablauf die belegten Techniken liegen — je Technik die früheste Phase.

Auskundschaften

0

›

Bewaffnung

0

›

Zustellung

1

›

Ausnutzung

1

›

Einnistung

0

›

Fernsteuerung

0

›

Zielhandlung

1

2 Techniken ohne Phasenzuordnung (z. B. Verteidigungsumgehung, die quer zu allen Phasen läuft)

Quellen & Belege· 1 Quelle

The Hacker NewsKontextPUBLICZuverlässigkeit Cdiese Meldung

Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.

ThreatsDay: Critical Firewall Flaws, Banking Trojans Rented, Weaponized PDF, Token Theft + 26 More Stories

Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.

Verknüpfte Intelligence

Dieselben Entitäten an anderer Stelle auf SecBoard.

CVE-Profile

CVE-2026-109618 CVE-2026-41940 CVE-2026-109619 CVE-2026-42589 CVE-2026-80097 CVE-2026-93348 CVE-2025-70795

Akteursprofile

Branchenlage

Finanzen & Banking

ATT&CK-Heatmap

Vollständigen Artikel lesen bei The Hacker News

Erwähnte CVEs (7)

CVE-2026-109618CRITICAL(9.8)

KEVEPSS 100.0%

PHP uses longjmp() for out-of-memory (OOM) errors to exit the current context and abort handling of the request. Some contexts may not properly account for this scenario and leave request memory in an uninitialized state before performing an allocation. The subsequent request cleanup procedure may read or branch on this memory. Multiple OOM strategies can consistently trigger this condition and lead to remote code execution (RCE).

CVE-2026-41940CRITICAL(9.8)

KEVEPSS 98.5%

cPanel and WHM versions after 11.40 contain an authentication bypass vulnerability in the login flow that allows unauthenticated remote attackers to gain unauthorized access to the control panel.

CVE-2026-109619HIGH(8.1)

KEVEPSS 100.0%

PHP has various global state that temporarily points into request memory. In some scenarios, global state may not be correctly reset, or may be repopulated after being reset. The global state may then refer to request memory even after it has been freed. Subsequent requests may read or branch on this stale state before it is fully initialized. Multiple strategies can trigger this condition and produce remote code execution (RCE).

CVE-2026-42589CRITICAL(9.8)

EPSS 3.0%

Gotenberg is a Docker-powered stateless API for PDF files. Prior to 8.31.0, Gotenberg's /forms/pdfengines/metadata/write HTTP endpoint accepts a JSON metadata object and passes its keys directly to ExifTool via the go-exiftool library. No validation is performed on key characters. A \n embedded in a JSON key splits the ExifTool stdin stream into a new argument line, allowing an attacker to inject arbitrary ExifTool flags — including -if, which evaluates Perl expressions. This achieves unauthenticated OS command execution in a single HTTP request. The response is HTTP 200 with a valid PDF, making the attack transparent to basic monitoring. This vulnerability is fixed in 8.31.0.

CVE-2026-80097HIGH(8.6)

EPSS 0.5%

Improper authentication in Microsoft Authenticator allows an unauthorized attacker to elevate privileges locally.

CVE-2026-93348HIGH(8.1)

EPSS 0.4%

Unsloth Zoo versions 2025.9.9 before 2026.8.14, as implemented in Unsloth 2025.9.9 through 2026.8.19, contains a code injection vulnerability in the model-loading compile path where the get_transformers_model_type() function in hf_utils.py collects model_type values from nested model configurations without enforcing a character allowlist, allowing newlines and arbitrary Python source to survive normalization. Attackers can embed a newline in a nested model_type value within a malicious model's config.json to terminate the generated import statement and execute arbitrary Python code via exec() in unsloth_compile_transformers(), achieving remote code execution as the loading user when the model is loaded for training or inference.

CVE-2025-70795MEDIUM(5.5)

EPSS 0.3%

STProcessMonitor 11.11.4.0, part of the Safetica Application suite, allows an admin-privileged user to send crafted IOCTL requests to terminate processes that are protected through a third-party implementation. This is caused by insufficient caller validation in the driver's IOCTL handler, enabling unauthorized processes to perform those actions in kernel space. Successful exploitation can lead to denial of service by disrupting critical third-party services or applications. Unauthorized processes load the driver and send a crafted IOCTL request (0xB822200C) to terminate processes protected by a third-party implementation. This action exploits insufficient caller validation in the driver's IOCTL handler, allowing unauthorized processes to perform termination operations in kernel space. Successful exploitation can lead to denial of service by disrupting critical third-party services or applications.

GitHub Advisories (1)

GHSA-rqgh-gxv4-6657· CVE-2026-42589

github.com/gotenberg/gotenberg/v8

Gotenberg has Unauthenticated RCE via ExifTool Metadata Key Injection