Kritisch98 / 100Konfidenz: Mittel

In CISA KEVCVSS9.9EPSS89 %Über Netz erreichbarOhne Anmeldung

▸Herleitung der Bewertung(8)

Wie der Wert zustande kommt

Im CISA-KEV-Katalog: CVE-2026-9082+25
Hoechster CVSS-Basiswert 9.9+18
EPSS 89.4 % Ausnutzungswahrscheinlichkeit binnen 30 Tagen+13
Wird laut Meldung tatsaechlich ausgenutzt: in the wild+12
Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2026-9082, CVSS-Vektor AV:N/PR:N)+10
Belegte Wirkungstaktik: impact+8
Belegte ATT&CK-Technik zum Erstzugriff+6
1 zugeordnete(r) Akteur/Malware-Eintrag aus dem MITRE-Katalog+6

Woraus sich die Konfidenz ergibt

Nur ein Herausgeber — keine Gegenlesung
Strukturierte CVE-Daten aus der NVD vorhanden

Die Konfidenz misst die Belegqualität, nicht die Schwere.

Einschränkungen

12 im Text genannte CVE(s) liegen uns nicht vor und gehen nicht in die Bewertung ein: CVE-2026-91141, CVE-2026-17518, CVE-2026-75753, CVE-2026-102438, CVE-2026-115881, CVE-2026-115884, CVE-2026-90885, CVE-2026-88901, CVE-2026-78165, CVE-2026-101296, CVE-2026-101356, CVE-2026-103119
Fuer 24 erkannte CVE(s) liegt noch kein CVSS-Basiswert vor (NVD-Rueckstau).

Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.· 2026-11-02 16:57 UTCMethodik

Network & Perimeter

⚡ Weekly Recap: Critical CVEs, Linux DDoS Botnet, Device-Code Phishing, Android Spyware and More

The Hacker News·2. November 2026, 16:57

Originalartikel lesen bei The Hacker News

Nordkoreanische Hacker haben über 6 Milliarden US-Dollar von Binance gestohlen, der größte Krypto-Diebstahl der Geschichte. Gleichzeitig nutzte die chinesische Gruppe Volt Typhoon ein Netzwerk kompromittierter Geräte für Zero-Day-Angriffe auf kritische Infrastrukturen. Zudem wurde die Plattform Polymarket durch einen Hack eines Drittanbieters kompromittiert, wodurch 2,7 Millionen US-Dollar entwendet wurden. Nutzer sollten wachsam sein und ihre Konten sowie Systeme auf verdächtige Aktivitäten überprüfen.

SecBoard-Einordnung

Finanziell motivierte Angriffe und staatlich unterstützte Cyberbedrohungen stellen ein erhebliches Risiko für Finanzdienstleister und kritische Infrastrukturen dar, was zu massiven finanziellen Verlusten und Betriebsunterbrechungen führen kann.

Realistisch schlimmster Fall: Der schlimmste Fall ist ein massiver finanzieller Verlust durch Diebstahl von Kryptowährungen oder eine schwerwiegende Störung kritischer Infrastrukturen durch Zero-Day-Angriffe, die weitreichende wirtschaftliche und gesellschaftliche Folgen haben könnte.

Empfehlung: Organisationen sollten ihre Abwehrmaßnahmen gegen staatlich unterstützte und finanziell motivierte Cyberbedrohungen verstärken und Nutzer ihre Konten sowie Systeme auf verdächtige Aktivitäten überprüfen.

Im erfassten Bestand

▸22. erfasste Meldung zu Volt Typhoon innerhalb von 90 Tagen.
▸CVE-2026-98432 kommt damit in 6 erfassten Meldungen der letzten 90 Tage vor.

Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.

Key Facts· 12 / 76

Nach Dringlichkeit sortiert: KEV-Eintrag, dann CVSS, dann EPSS. Vollstaendige Liste im Meldungstext.

CVE-2026-9082CISA KEV

CVSS: 9.8 · CRITICAL
EPSS: 89.4%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
im KEV seit: 2026-05-22
Patch: 10.4.10
Zuweisende CNA: mlhess@drupal.org

CVE-2026-115893

CVSS: 9.9 · CRITICAL
EPSS: 1.0%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: 36.0.19
Zuweisende CNA: security-advisories@github.com

CVE-2026-115889

CVSS: 9.9 · CRITICAL
EPSS: 0.5%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: 36.0.19
Zuweisende CNA: security-advisories@github.com

CVE-2026-110720

CVSS: 9.9 · CRITICAL
EPSS: 0.4%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: security@hashicorp.com

CVE-2026-93680

CVSS: 9.8 · CRITICAL
EPSS: 2.2%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: psirt@us.ibm.com

CVE-2026-98432

CVSS: 9.8 · CRITICAL
EPSS: 0.8%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt

CVE-2026-110186

CVSS: 9.8 · CRITICAL
EPSS: 0.6%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: psirt@us.ibm.com

CVE-2026-103406

CVSS: 9.8 · CRITICAL
EPSS: 0.5%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: sirt@juniper.net

CVE-2026-114595

CVSS: 9.8 · CRITICAL
EPSS: 0.5%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: ics-cert@hq.dhs.gov

CVE-2026-103409

CVSS: 9.8 · CRITICAL
EPSS: 0.3%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: sirt@juniper.net

CVE-2026-118306

CVSS: 9.6 · CRITICAL
EPSS: 0.4%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: ja
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: chrome-cve-admin@google.com

CVE-2026-115547

CVSS: 9.1 · CRITICAL
EPSS: 0.5%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: psirt@okta.com

Betroffen

Nutzer von Binance und Polymarket sowie Organisationen im Bereich kritischer Infrastrukturen sind betroffen.

Hersteller

DrupalGoogleLangflow

Produkte

CoreChromeDrupalLangflow

▸ CPE-Rohbezeichner anzeigen (3)

cpe:2.3:a:drupal:drupal:*:*:*:*:*:*:*:*
cpe:2.3:a:google:chrome:*:*:*:*:*:*:*:*
cpe:2.3:a:langflow:langflow:*:*:*:*:*:*:*:*

Prüfen

▸Überprüfen Sie alle Transaktionsprotokolle auf Binance und Polymarket auf ungewöhnliche Abhebungen oder Aktivitäten.
▸Führen Sie eine umfassende Sicherheitsüberprüfung der Netzwerkinfrastruktur durch, insbesondere in kritischen Sektoren, um Anzeichen für kompromittierte Geräte oder Zero-Day-Exploits zu identifizieren.

▸ 1 weitere

▸Analysieren Sie den Netzwerkverkehr auf ungewöhnliche Muster oder Kommunikationen, die auf eine Kompromittierung durch Gruppen wie Volt Typhoon hindeuten könnten.

Offene Punkte

▸ anzeigen

▸Die spezifischen Zero-Day-Schwachstellen, die von Volt Typhoon ausgenutzt wurden, sind nicht spezifiziert im Artikel.
▸Die genaue Methode des Drittanbieter-Hacks bei Polymarket ist nicht spezifiziert im Artikel.
▸Die spezifischen kompromittierten Geräte, die von Volt Typhoon genutzt wurden, sind nicht spezifiziert im Artikel.

Red-Team-Relevanz

Was heißt das für dein nächstes Assessment?

▸ Einordnung anzeigen

Initial Access möglich?Ja
Privilege Escalation relevant?Unklar
Exploit öffentlich verfügbar?Ja
Detection / Logging prüfbar?Ja
Für Purple-Team-Szenario geeignet?Ja

Kundenfragen

Haben wir Active Directory / Entra extern erreichbar?
Haben wir Kubernetes extern erreichbar?
Können wir Initial Access detektieren?
Können wir Impact detektieren?

Erwähnte Akteure & Werkzeuge

Bedrohungsakteure

Volt TyphoonG1017

Malware

AmadeyS1025

Werkzeuge

Quick AssistS1209

Abgleich mit dem MITRE-ATT&CK-Katalog

MITRE ATT&CK(6)

Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.

T1041Exfiltration Over C2 Channelzugeordnet

„über 6 Milliarden US-Dollar von Binance gestohlen“

T1190Exploit Public-Facing Applicationzugeordnet

„Zero-Day-Angriffe auf kritische Infrastrukturen“

T1498Denial of Servicezugeordnet

„nicht spezifiziert im Artikel“

T1566Phishingabgeleitet

T1657Financial Theftabgeleitet

T1684Social Engineeringabgeleitet

Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.

Kill-Chain-Phasen

Wie weit im Ablauf die belegten Techniken liegen — je Technik die früheste Phase.

Auskundschaften

›

Bewaffnung

›

Zustellung

›

Ausnutzung

›

Einnistung

›

Fernsteuerung

›

Zielhandlung

1 Techniken ohne Phasenzuordnung (z. B. Verteidigungsumgehung, die quer zu allen Phasen läuft)

Quellen & Belege· 1 Quelle

The Hacker NewsKontextPUBLICZuverlässigkeit Cdiese Meldung

Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.

⚡ Weekly Recap: Critical CVEs, Linux DDoS Botnet, Device-Code Phishing, Android Spyware and More

Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.

Verknüpfte Intelligence

Dieselben Entitäten an anderer Stelle auf SecBoard.

Vollständigen Artikel lesen bei The Hacker News

Erwähnte CVEs (12)

CVE-2026-9082CRITICAL(9.8)

KEVEPSS 89.4%

Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') vulnerability in Drupal Drupal core allows SQL Injection. This issue affects Drupal core: from 8.9.0 before 10.4.10, from 10.5.0 before 10.5.10, from 10.6.0 before 10.6.9, from 11.0.0 before 11.1.10, from 11.2.0 before 11.2.12, from 11.3.0 before 11.3.10.

Details NVD

CVE-2026-115893CRITICAL(9.9)

EPSS 1.0%

Wasmtime is a runtime for WebAssembly. Prior to 36.0.19, 48.0.7, and 49.0.4, the Cranelift compiler backend on aarch64 can compile a Wasm br_table instruction with more than approximately 256,000 targets so that it has an incorrect conditional branch target. The branch can then jump to arbitrary other code at a user-controlled offset, allowing a user-controlled Wasm module to escape the sandbox on aarch64 engines using the default Cranelift backend. This issue is fixed in versions 36.0.19, 48.0.7, and 49.0.4.

Details NVD

CVE-2026-115889CRITICAL(9.9)

EPSS 0.5%

Wasmtime is a runtime for WebAssembly. Prior to 36.0.19 and 43.0.0, the Cranelift compiler backend bit-packs SSA value indices in a way that can silently overflow in release builds when compiling a sufficiently large or specially crafted Wasm function with many SSA values. The overflow can make Cranelift reference incorrect IR values, causing arbitrary miscompilation, type confusion, and other attacker-controlled effects that may escape the Wasm sandbox on any architecture using the default Cranelift backend. This issue is fixed in versions 36.0.19 and 43.0.0.

Details NVD

CVE-2026-110720CRITICAL(9.9)

EPSS 0.4%

Consul-k8s versions 0.42.0 and later are vulnerable to a cross-namespace authorization bypass in component ACL binding rules that may allow an attacker to obtain elevated Consul privileges. This vulnerability (CVE-2026-110720) is fixed in consul-k8s 2.1.0 and 1.8.18.

Details NVD

CVE-2026-93680CRITICAL(9.8)

EPSS 2.2%

IBM Langflow OSS 1.0.0 through 1.12.8 could allow a remote attacker to bypass security restrictions due to improper authentication.

Details NVD

CVE-2026-98432CRITICAL(9.8)

EPSS 0.8%

In the Linux kernel, the following vulnerability has been resolved: ipv4: free inet_opt and ireq_opt after an RCU grace period tcp_v4_syn_recv_sock() transfers ownership of ireq->ireq_opt to the child socket (newinet->inet_opt) without copying it. Another cpu can concurrently process a retransmitted SYN for the same request socket, and send a SYNACK from tcp_check_req(). tcp_v4_send_synack() and inet_csk_route_req() read ireq->ireq_opt under rcu_read_lock() only, and ip_build_and_send_pkt() and ip_options_build() then read opt->optlen twice. Note that the SYNACK timer itself is not an issue: it holds a reference on its request socket, and inet_csk_reqsk_queue_drop() calls timer_delete_sync() before the child can be freed. Since commit 079096f103fa ("tcp/dccp: install syn_recv requests into ehash table"), request sockets are processed without holding the listener lock, so nothing prevents the child socket from being freed while the SYNACK is still being built. TCP child sockets do not have SOCK_RCU_FREE, and inet_sock_destruct() frees inet_opt with a plain kfree(), leading to a use-after-free in ip_options_build(). A similar issue exists with request socket migration (net.ipv4.tcp_migrate_req=1, or a BPF_SK_REUSEPORT_SELECT_OR_MIGRATE program). reqsk_timer_handler() clones the request socket with inet_reqsk_clone(), so that the old request socket and its clone share the same ireq_opt, then reqsk_migrate_reset() clears the pointer in the old one. Another cpu holding a reference on the old request socket can still be using these options (sending a SYNACK, or creating a child in tcp_v4_syn_recv_sock()) when the clone is freed, and tcp_v4_reqsk_destructor() also uses a plain kfree(). Readers already use RCU, and other paths replacing inet_opt (do_ip_setsockopt(), cipso_v4_sock_setattr()...) already use kfree_rcu(). Use kfree_rcu() in inet_sock_destruct() and tcp_v4_reqsk_destructor() as well. IPv6 is not affected by the first issue, because tcp_v6_syn_recv_sock() duplicates the options. tcp_v6_reqsk_destructor() has the same migration issue with ipv6_opt, which is only set by CALIPSO. This will be addressed in a separate patch.

Details NVD

CVE-2026-110186CRITICAL(9.8)

EPSS 0.6%

IBM Langflow OSS 1.0.0 through 1.12.8 could allow a remote attacker to execute arbitrary code due to improper control of code generation.

Details NVD

CVE-2026-103406CRITICAL(9.8)

EPSS 0.5%

An Improper Neutralization of Special Elements used in an OS Command vulnerability in the AutomatedProvisioner in Juniper Networks Session Smart Conductor allows a remote attacker to execute arbitrary commands as root via a specially crafted salt minion ID.

Details NVD

CVE-2026-114595CRITICAL(9.8)

EPSS 0.5%

In EPICS Base release 7.0.10 and prior, an integer overflow in network request processing can cause memory to be allocated with an incorrect size. Subsequent handling of attacker supplied data may result in memory corruption, denial of service, or potential remote code execution.

Details NVD

CVE-2026-103409CRITICAL(9.8)

EPSS 0.3%

A Missing authentication for critical function vulnerability in Juniper Networks Session Smart Router allows an unauthenticated network-based attacker to obtain administrative privileges by passing crafted URL parameters to an insecure endpoint running as root. Note that this vulnerability can only be exploited prior to the device being onboarded to Mist/Conductor. The issue can no longer be exploited once a device is onboarded to Mist/Conductor.

Details NVD

CVE-2026-118306CRITICAL(9.6)

EPSS 0.4%

Use after free in FileSystem in Google Chrome prior to 156.0.8078.73 allowed a remote attacker to execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: Critical)

Details NVD

CVE-2026-115547CRITICAL(9.1)

EPSS 0.5%

An input validation issue in the Okta Access Gateway (OAG) Admin Console allows the processing of specially formatted configuration values. An authenticated administrator can leverage this to execute system commands within the context of the OAG service account.

Details NVD

GitHub Advisories (3)

GHSA-897f-g5gm-fmxm· CVE-2026-115889

wasmtime

Wasmtime: Bit-packing in Cranelift compiler causes silent overflow and miscompilation

GHSA-mghf-wjfp-p5xm· CVE-2026-115893

wasmtime

Wasmtime: Cranelift backend on aarch64 can jump to incorrect target on large Wasm `br_table` instruction

GHSA-ghwc-95x2-682j· CVE-2026-9082

drupal/core

Drupal Core has a SQL Injection issue