Artikel

Angreifer nutzten kompromittierte Zugangsdaten eines Qubole AWS-Kontos, um zwischen dem 14. und 26. Oktober Daten aus den AWS-Umgebungen mehrerer Kunden zu exfiltrieren. Betroffen sind Dutzende von Unternehmen, deren AWS-Umgebungen IAM-Rollen konfiguriert hatten, die dem Qubole-Konto vertrauten. Administratoren sollten CloudTrail ab dem 1. Oktober auf verdächtige Zugriffe von Qubole überprüfen, exponierte Anmeldeinformationen rotieren und den S3-Zugriff untersuchen.

Ein Angreifer nutzte kompromittierte AWS-Zugangsdaten der Big-Data-Plattform Qubole, um Daten von über einem Dutzend Organisationen zu stehlen. Betroffen sind Unternehmen, die Qubole-IAM-Rollen in ihren AWS-Umgebungen eingerichtet hatten, oft auch nachdem sie Qubole nicht mehr nutzten. Unternehmen sollten alte, ungenutzte IAM-Rollen überprüfen und entfernen, um solche Angriffe zu verhindern.

Eine mittelschwere Schwachstelle in Google Cloud Service Mesh ermöglicht authentifizierten Angreifern Denial-of-Service-Angriffe. Betroffen sind verschiedene Versionen von Google Cloud Platform in-cluster Cloud Service Mesh auf Linux-, UNIX- und anderen Plattformen. Nutzer sollten die bereitgestellten Herstellerinformationen prüfen und umgehend Updates einspielen, um die Systeme zu schützen.

Zwischen dem 14. und 26. Oktober nutzten Angreifer den AWS-Zugang von Qubole, um in Kundenkonten einzudringen und Daten zu stehlen. Betroffen sind Organisationen, die Qubole mit AWS verbunden haben, auch wenn sie den Dienst nicht mehr nutzen. Betroffene sollten ihre CloudTrail-Logs ab dem 1. Oktober auf verdächtige AssumeRole-Anfragen von Quboles AWS-Konto (805246085872) von externen Adressen überprüfen.

In der Red Hat OpenShift Container Platform wurden mehrere Schwachstellen entdeckt, die Angreifern Denial-of-Service-Angriffe, Codeausführung und Datenmanipulation ermöglichen. Betroffen sind Linux-, UNIX- und andere Plattformen, insbesondere die Versionen 4.16.75 und 4.21.42. Nutzern wird dringend empfohlen, die bereitgestellten Herstellerinformationen zu prüfen und entsprechende Updates zu installieren, um die Sicherheit ihrer Systeme zu gewährleisten.

Die russische Hackergruppe APT29 nutzte eine Watering-Hole-Kampagne, um iOS- und Android-Nutzer anzugreifen. Dies geschah durch kompromittierte Websites, gefälschte Domains und eine Supply-Chain-Attacke über den ukrainischen Webanalyse-Dienst Plerdy SEO Tracker. Ziel war es, Browser-Cookies, WLAN-Passwörter und vollständige mobile Gerätedaten zu stehlen. Nutzer sollten ihre Geräte auf dem neuesten Stand halten und verdächtige Websites meiden.

Das indische IT-Sicherheitsunternehmen OpsShield wurde Opfer eines Supply-Chain-Angriffs, bei dem bösartige cPGuard-Updates an Kunden verteilt wurden. Etwa 2.950 Server führten die gefälschten Updates aus, wodurch Kundendaten wie Namen, Adressen, E-Mails und gehashte Passwörter kompromittiert wurden. Kunden sollten umgehend alle Passwörter, SSH-Schlüssel und MySQL-Root-Passwörter ändern und die neuesten cPGuard-Updates installieren, um die bösartige Software zu entfernen.

Eine kritische Schwachstelle in Docker Desktop (Versionen <4.98.0 und 4.98.0) ermöglicht lokalen Angreifern das Umgehen von Sicherheitsvorkehrungen. Betroffen sind Nutzer auf Linux, Windows und UNIX-Systemen. Es wird dringend empfohlen, Docker Desktop auf die neueste Version zu aktualisieren, um das Risiko zu minimieren.

Mehrere hochkritische Schwachstellen in Microsoft Azure, Entra und Exchange ermöglichen Angreifern die Erhöhung von Privilegien oder die Ausführung beliebigen Codes. Betroffen sind diverse Azure-Dienste, Entra Application Proxy und Exchange Online. Nutzer sollten umgehend die von Microsoft bereitgestellten Sicherheitsupdates installieren.

Über 1.000 selbstverwaltete GitLab-Server sind weiterhin anfällig für aktive RCE-Angriffe (Remote Code Execution) aufgrund einer kritischen Schwachstelle (CVE-2026-97229). Diese Lücke ermöglicht unauthentifizierten Benutzern die Ausführung beliebigen Codes. Betroffen sind alle selbstverwalteten GitLab-Installationen, die nicht auf die Versionen 19.4.2, 19.3.5 oder 19.2.8 aktualisiert wurden. Administratoren sollten ihre GitLab-Instanzen umgehend patchen, um Angriffe zu verhindern.

Eine Supply-Chain-Attacke zielte auf Cursor-Nutzer ab, indem bösartige Versionen der Claude Code-Erweiterung von Anthropic im Cursor VS Code Extension Marketplace verbreitet wurden. Betroffen sind etwa 5.000 Entwicklersysteme, die zwischen dem 29. Oktober und dem 11 Stunden lang die Versionen 2.1.312 und 2.1.313 heruntergeladen haben könnten. Nutzer sollten die bösartigen Erweiterungen umgehend entfernen und von Cursor bereitgestellte Skripte zur Erkennung und Bereinigung nutzen, um mögliche Kompromittierungen zu beheben.

Alpine Linux wurde Ziel eines versuchten RCE-Angriffs auf seine GitLab-Infrastruktur, der die kritische Schwachstelle CVE-2026-97229 ausnutzte. Obwohl keine erfolgreiche Kompromittierung bestätigt werden konnte, wurde der GitLab-Server vorsorglich neu aufgebaut und alle Passwörter zurückgesetzt. Benutzer sollten ihre Passwörter ändern und das aktualisierte GitLab-Image verwenden, um die Sicherheitslücke zu schließen.

Eine kritische GitLab-Schwachstelle (CVE-2026-97229) wird aktiv ausgenutzt, um beliebigen Code auszuführen. Betroffen sind ungepatchte GitLab Community Edition (CE) und Enterprise Edition (EE) Instanzen. Administratoren sollten ihre Server umgehend auf die Versionen 19.4.2, 19.3.5 oder 19.2.8 aktualisieren, um sich vor Angriffen zu schützen.

Polymarket musste den Handel auf seiner internationalen Plattform einstellen, nachdem unautorisierte Abhebungen gemeldet wurden. Ursache war ein Supply-Chain-Angriff über einen kompromittierten Drittanbieter, DebugBear, dessen Skript auf der Polymarket-Website manipuliert wurde. Betroffen sind Trader auf Polymarket.com, denen das Unternehmen eine vollständige Entschädigung zugesichert hat. DebugBear-Kunden, die das RUM-Produkt nutzen, sollten das Skript von ihren Websites entfernen.

Eine kritische GitLab-Schwachstelle (CVE-2026-97229) wurde eine Woche nach ihrer Offenlegung ausgenutzt, um die GitLab-Instanz von Alpine Linux anzugreifen. Der Angriff scheiterte, aber Alpine Linux baute die Instanz neu auf und setzte alle Passwörter zurück. Nutzer, die GitLab mit eigener Ruby-Installation betreiben, müssen Ruby auf Version 3.3.13 oder höher aktualisieren, zusätzlich zum GitLab-Update.

Binance, die größte Krypto-Börse, wurde Opfer eines Diebstahls von Kryptowährungen im Wert von 6,3 Milliarden US-Dollar, der auf einen kompromittierten Laptop eines DevOps-Ingenieurs zurückgeführt wird. Obwohl Binance die Verantwortung für den Angriff nicht einer bestimmten Gruppe zuwies, vermuten Blockchain-Analysefirmen, dass die nordkoreanische Hackergruppe TraderTraitor (Lazarus Group) dahintersteckt. Binance hat Ein- und Auszahlungen ausgesetzt, um Sicherheitsüberprüfungen durchzuführen, und versichert, dass alle Verluste aus eigenen Mitteln gedeckt werden, sodass die Kundengelder sicher sind.

Angreifer missbrauchen aktiv Sicherheitslücken in Cisco-Firewalls (SSL-VPN) und GitLab. Betroffen sind Nutzer von Cisco ASA/FTD Firewalls und GitLab-Servern, insbesondere wenn veraltete Versionen eingesetzt werden. Es wird dringend empfohlen, die bereitgestellten Software-Updates von Cisco und GitLab umgehend zu installieren, um Denial-of-Service-Angriffe und die Ausführung von Schadcode zu verhindern.

Das Ruby-Team hat die Versionen 4.0.9, 3.4.12 und 3.3.13 veröffentlicht, um drei kritische Schwachstellen in der Regex-Engine Onigmo zu beheben, die zur Ausführung von Schadcode führen können. Betroffen sind alle Ruby-Anwendungen, die reguläre Ausdrücke aus externen Eingaben kompilieren, wie beispielsweise GitLab. Nutzer sollten ihre Ruby-Anwendungen umgehend aktualisieren, insbesondere wenn sie ältere, nicht mehr unterstützte Versionen verwenden.

Die CISA hat zwei aktiv ausgenutzte Schwachstellen in GitLab und Cisco-Firewalls zu ihrer KEV-Liste hinzugefügt. Betroffen sind GitLab Community/Enterprise Edition (Remote Code Execution) und Cisco Secure Firewall ASA/FTD Software (Denial-of-Service). Behörden wird empfohlen, die Patches bis zum 1. November 2026 zu installieren, um sich zu schützen.

Eine Sicherheitslücke in GitLab-Produkten, einschließlich GitLab Community Edition (CE), Enterprise Edition (EE) und AI Gateway, ermöglicht die Umgehung von Sicherheitsrichtlinien. Betroffen sind zahlreiche Versionen vor den neuesten Patches. Nutzern wird dringend empfohlen, die entsprechenden Sicherheitsupdates des Herstellers zu installieren, um das Risiko zu mindern.

Mehrere Schwachstellen in Jenkins ermöglichen Angreifern, erweiterte Berechtigungen zu erlangen, beliebigen Code auszuführen und Daten zu manipulieren. Betroffen sind Jenkins LTS Versionen unter 2.580.2 und Weekly Versionen unter 2.588 auf UNIX, Windows und anderen Plattformen. Nutzer sollten dringend die bereitgestellten Sicherheitsupdates installieren, um diese Risiken zu mindern.

Eine kritische Schwachstelle in der Google Cloud Platform (GCP) ermöglicht Angreifern die Ausführung beliebigen Codes. Betroffen sind alle Nutzer der GCP auf Linux, UNIX und anderen Systemen. Es wird dringend empfohlen, die von Google bereitgestellten Herstellerinformationen zu prüfen und entsprechende Sicherheitsupdates oder Patches umgehend einzuspielen.

CISA hat eine neue, aktiv ausgenutzte Schwachstelle (CVE-2026-97229) in GitLab Community und Enterprise Edition zu ihrem Katalog bekannter Schwachstellen (KEV) hinzugefügt. Diese Integer-Overflow-Lücke stellt ein erhebliches Risiko dar. Bundesbehörden sind verpflichtet, solche Schwachstellen umgehend zu beheben, und CISA empfiehlt allen Organisationen, dies ebenfalls zu tun.

CISA hat zwei aktiv ausgenutzte Schwachstellen (CVE-2026-111357 in Ivanti Connect Secure und CVE-2026-97229 in GitLab) zu ihrem KEV-Katalog hinzugefügt. Dies betrifft insbesondere US-Bundesbehörden, aber auch alle anderen Organisationen sind gefährdet. Es wird dringend empfohlen, diese Schwachstellen umgehend zu beheben, um Cyberangriffe zu verhindern.

Ein US-Abgeordneter hat den "Common-Sense Cloud Security Act" eingebracht, um die Cybersicherheit in der Cloud zu stärken. Das Gesetz beauftragt das NIST, neue Standards zum Schutz sensibler Daten, kritischer Infrastrukturen und zur Abwehr von Cyberangriffen zu entwickeln. Betroffen sind alle, die Finanzdaten, medizinische Akten oder nationale Sicherheitsdaten in der Cloud speichern. Es sollen freiwillige Zertifizierungsprogramme für Cloud-Anbieter etabliert und die Überwachung von Drittanbieter-Software verbessert werden, um Amerikaner vor Bedrohungen zu schützen.

GitHub hat eine neue Paket-Firewall als Vorschau eingeführt, um die Installation bösartiger npm-Pakete zu blockieren. Betroffen sind alle GitHub Enterprise Cloud-Kunden, insbesondere wenn KI-Agenten oder CI-Runner automatisch Abhängigkeiten installieren. Administratoren sollten Richtlinien wie das Blockieren bekannter Malware oder neuer Installationsskripte konfigurieren, um Systeme vor Kompromittierungen zu schützen.

Ein Angreifer versuchte, eine kritische GitLab-Schwachstelle (CVE-2026-97229, CVSS 10.0) auf dem GitLab-Server des Alpine Linux-Projekts auszunutzen. Betroffen sind Betreiber von GitLab-Instanzen, die GitLab mit einer eigenen Ruby-Installation betreiben oder das Alpine-Docker-Image nutzen. Diese müssen zusätzlich zu einem GitLab-Upgrade auch Ruby auf Version 3.3.13 oder höher aktualisieren und ggf. das Alpine-Image neu ziehen.

Die US-Armee hat Amazon Web Services (AWS) und World Wide Technology (WWT) für ihr KI-gestütztes Cybersicherheits-Pilotprojekt „Project Griffin“ ausgewählt. Ziel ist es, mit Hilfe von KI-Tools Bedrohungen schneller zu erkennen, abzuwehren und die Netzwerkverteidigung zu skalieren. Dies betrifft die Cybersicherheit der Armee, die sich gegen potenzielle KI-gestützte digitale Angriffe wappnen will. Die Armee setzt auf die schnelle Implementierung von KI-Lösungen und die Zusammenarbeit mit der Privatwirtschaft, um technologisch überlegen zu bleiben.

Eine mittelschwere Schwachstelle in Docker Desktop (CVE-2026-114409) ermöglicht lokalen Angreifern die Offenlegung von Informationen. Betroffen sind alle Versionen vor 4.97.0 auf Linux, Windows und anderen UNIX-ähnlichen Systemen. Nutzer sollten dringend auf Version 4.97.0 aktualisieren, um das Risiko zu mindern.

Es wurden mehrere Schwachstellen in Docker Desktop entdeckt, die Angreifern ermöglichen, die Vertraulichkeit von Daten zu gefährden und Sicherheitsrichtlinien zu umgehen. Betroffen sind alle Docker Desktop-Versionen vor 4.97.0. Nutzer sollten umgehend die vom Hersteller bereitgestellten Sicherheitsupdates installieren.

Das KI-Tool LiteLLM wurde Opfer eines Supply-Chain-Angriffs, bei dem ein nicht widerrufener Schlüssel ausgenutzt wurde. Zehntausende Nutzer, die die kompromittierte Version 1.107.0 heruntergeladen haben, sind betroffen und ihre Zugangsdaten könnten gestohlen worden sein. Betroffene sollten umgehend alle Passwörter und Zugriffsschlüssel ändern, die der infizierte Computer erreichen konnte.

Die ENISA hat technische Richtlinien zur Implementierung von Software Bill of Materials (SBOMs) veröffentlicht, um die Transparenz in Software-Lieferketten zu erhöhen. Organisationen, insbesondere KMU, sollen maschinenlesbare Inventare nutzen, um Schwachstellen zu identifizieren und Abhängigkeiten zu verfolgen. Es wird empfohlen, SBOMs in bestehende Sicherheitsabläufe zu integrieren, etablierte Formate zu verwenden und die Integrität der Daten zu gewährleisten, um Sicherheitsrisiken zu minimieren.

Eine automatisierte Kampagne namens „Gheist“ nutzt gestohlene GitHub-Tokens, um private Repository-Geheimnisse über GitHub Actions-Logs zu stehlen. Betroffen sind private Repositories und GitHub Enterprise-Umgebungen, wobei über 850 Konten kompromittiert wurden. Nutzer sollten alle exponierten Geheimnisse rotieren und die Tokens widerrufen, die zum Pushen der bösartigen Branches verwendet wurden.

Eine bösartige Datei im Downloads-Ordner versuchte, einen KI-Code-Agenten dazu zu bringen, Malware zu installieren. Entwickler, die KI-Code-Agenten nutzen, sind betroffen, da die Agenten Anweisungsdateien im Arbeitsverzeichnis vertrauen. Nutzer sollten ihre Downloads-Ordner auf unbekannte Dateien wie "AGENTS.md" oder "CLAUDE.md" überprüfen und diese löschen, um eine potenzielle Kompromittierung zu verhindern.

Sicherheitsforscher entdeckten eine Methode, um KI-Codierungsagenten durch manipulierte `AGENTS.md`-Dateien im Downloads-Ordner zu kapern. Betroffen sind Nutzer von KI-Agenten wie OpenAI Codex und Claude Code, da diese Agenten Anweisungen aus solchen Dateien automatisch ausführen können, was zur Installation bösartiger Pakete oder zum Diebstahl von Zugangsdaten führen kann. Nutzer sollten Downloads aus unbekannten Quellen vermeiden und ihre Browser-Einstellungen überprüfen, um automatische Downloads zu verhindern oder zumindest Benachrichtigungen zu erhalten.

Ruby hat drei kritische Fehler in seiner Regex-Engine Onigmo behoben, die zu vier schwerwiegenden RCE-Schwachstellen in GitLab führten. Betroffen sind alle Anwendungen, die reguläre Ausdrücke aus Benutzereingaben kompilieren. Nutzer sollten umgehend auf Ruby-Versionen 4.0.9, 3.4.12 oder 3.3.13 aktualisieren oder die Kompilierung von Regex aus unsicheren Quellen einstellen.

LiteLLM wurde Opfer eines Supply-Chain-Angriffs, bei dem bösartige Pakete der Version 1.107.0 über PyPI und Docker verbreitet wurden. Betroffen sind Nutzer, die diese Version zwischen dem 21. Oktober und der Entfernung der Pakete heruntergeladen haben. Diese Nutzer sollten die betroffene Version umgehend deinstallieren, alle Zugangsdaten ändern und ihre Systeme auf Malware überprüfen.

Die Release-Pipeline des LiteLLM-Projekts wurde kompromittiert, wodurch bösartige Docker-Images und PyPI-Pakete mit einem Info-Stealer-Malware verbreitet wurden. Betroffen sind Nutzer von LiteLLM Version 1.107.0 auf Windows, Linux und macOS, die Anmeldeinformationen, Geheimnisse und Umgebungsvariablen gestohlen bekommen könnten. Es wird dringend empfohlen, betroffene Versionen zu deinstallieren und Systeme auf Kompromittierung zu überprüfen.

Bluesky meldet einen Phishing-Angriff, der über 4.500 Konten kompromittiert hat, indem er gefälschte Regierungszahlungen bewarb. Betroffene Konten wurden vorübergehend gesperrt; Nutzer sollen sich an moderation@blueskyweb.xyz wenden, um den Zugang wiederherzustellen. Die Polizei in Singapur warnt vor einer Malware-Betrugsvariante, die über Social Media verbreitet wird und bereits zu erheblichen finanziellen Verlusten führte. Nutzer sollen keine APK-Dateien von unbekannten Quellen herunterladen und keine persönlichen Daten preisgeben.

Eine chinesische Hackergruppe nutzte automatisierte Tools, darunter ein KI-Penetrationstest-Framework namens ARTEX, um eine Lieferkettenattacke auf ConnectWise durchzuführen. Zahlreiche Organisationen weltweit aus verschiedenen Sektoren wie Regierung, Luft- und Raumfahrt, Finanzen und Energie sind betroffen. Microsoft empfiehlt, die Cloud-Infrastruktur zu überprüfen und Sicherheitsmaßnahmen zu verstärken, da die Angreifer in kurzer Zeit privilegierten Zugang erlangen konnten.

GitLab weist mehrere kritische Schwachstellen auf, die Angreifern die Ausführung beliebigen Codes, Umgehung von Sicherheitsmaßnahmen und Datenmanipulation ermöglichen. Betroffen sind verschiedene Open Source GitLab-Versionen auf Linux, MacOS X, UNIX und Windows. Nutzer sollten dringend die bereitgestellten Patches installieren, um ihre Systeme zu schützen.

GitLab hat Patches für eine kritische Schwachstelle (CVE-2026-110264) im Regular Expression Compiler veröffentlicht, die entfernten Angreifern die Ausführung beliebigen Codes ermöglicht. Betroffen sind GitLab Community Edition (CE) und Enterprise Edition (EE) in mehreren Versionen. Nutzern wird dringend empfohlen, ihre Instanzen umgehend auf die neuesten Versionen 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 und 18.11.13 zu aktualisieren.

GitLab hat eine kritische Schwachstelle (CVE-2026-110264) in seinen Community und Enterprise Editions veröffentlicht, die es unauthentifizierten Benutzern ermöglicht, beliebigen Code auszuführen. Betroffen sind verschiedene Versionen von GitLab ab 7.0 bis 19.5. CERT-EU empfiehlt dringend, betroffene Systeme umgehend zu aktualisieren, insbesondere internetzugängliche, und eine Überprüfung auf Kompromittierungen durchzuführen.

LiteLLM wurde kompromittiert, wodurch eine bösartige Version des Python-Pakets mit einem Credential-Stealer und einer Backdoor verbreitet wurde. Betroffen sind Nutzer, die zwischen dem 21. Oktober 2026, 11:39 Uhr und 13:23 Uhr UTC, eine ungepinnte LiteLLM-Version heruntergeladen oder bestimmte Docker-Images verwendet haben. Es wird dringend empfohlen, betroffene Versionen zu deinstallieren, Passwörter zu ändern und Systeme auf Kompromittierung zu überprüfen.

Chinesische Hacker der Gruppe Storm-0940 nutzten die KI-Software ARTEX für eine Supply-Chain-Attacke über die ConnectWise Cloud Backup-Anwendung. Hunderte Organisationen weltweit aus verschiedenen Sektoren sind betroffen, darunter Luft- und Raumfahrt, Finanzen und Regierung. Unternehmen sollten ihre Cloud-Infrastruktur überprüfen und verdächtige Aktivitäten umgehend untersuchen, um privilegierten Zugriff zu verhindern.

Mehrere kritische Schwachstellen wurden in GitLab entdeckt, die Angreifern die Ausführung von Remote-Code, den Zugriff auf vertrauliche Daten und die Umgehung von Sicherheitsrichtlinien ermöglichen könnten. Nutzer sollten dringend die bereitgestellten Sicherheitsupdates installieren, um ihre Systeme zu schützen.

Es wurden mehrere kritische Schwachstellen in GitLab Community Edition (CE) und Enterprise Edition (EE) entdeckt, die Angreifern unter anderem die Ausführung von beliebigem Code, Datenlecks und die Umgehung von Sicherheitsrichtlinien ermöglichen. Betroffen sind spezifische ältere Versionen von GitLab 19.3.x, 19.4.x und 19.5.x. Nutzern wird dringend empfohlen, die vom Hersteller bereitgestellten Sicherheitsupdates zu installieren, um diese Risiken zu mindern.

Eine kritische GitLab-Schwachstelle (CVSS 10.0) ermöglicht unauthentifizierte Codeausführung (RCE) auf selbstverwalteten Servern. Betroffen sind alle Versionen seit 2014 (GitLab 7.0). Administratoren von selbstverwalteten Instanzen müssen umgehend auf die neuesten gepatchten Versionen aktualisieren, um das Risiko zu mindern.

Das beliebte Python-Paket LiteLLM wurde durch einen Supply-Chain-Angriff kompromittiert, wobei die Version 1.107.0 einen Credential-Stealer und eine Backdoor enthielt. Betroffen sind Nutzer, die diese Version über PyPI oder Docker-Images heruntergeladen haben, da Cloud-Zugangsdaten, private Schlüssel und Browserdaten gestohlen werden konnten. Nutzern wird dringend empfohlen, die betroffene Version zu deinstallieren und alle relevanten Zugangsdaten zu widerrufen.

Eine Schwachstelle in Red Hat Advanced Cluster Security for Kubernetes (RHACS) ermöglicht es einem entfernten, anonymen Angreifer, Sicherheitsvorkehrungen zu umgehen. Betroffen sind Nutzer von RHACS auf Linux- und UNIX-Plattformen. Es wird dringend empfohlen, die von Red Hat bereitgestellten Sicherheitsupdates umgehend einzuspielen.

ConnectWise hat seinen Cloud Backup-Dienst nach einem Supply-Chain-Angriff eingestellt. Angreifer nutzten kompromittierte Zugangsdaten, um Zugriff auf die Microsoft 365-Umgebungen von Kunden zu erlangen. ConnectWise hat betroffene Zugangsdaten widerrufen und empfiehlt Kunden, ihre eigenen Umgebungen auf unautorisierte Aktivitäten zu überprüfen.

Das WordPress SEO-Plugin Rank Math PRO wurde Opfer eines Supply-Chain-Angriffs, wodurch bösartige Versionen des Plugins (v3.0.123) zwischen dem 15. und 16. Oktober 2026 verbreitet wurden. Betroffen sind Nutzer, die in diesem Zeitraum die kompromittierte Version heruntergeladen oder aktualisiert und aktiviert haben. Sie sollten ihre Websites als kompromittiert betrachten und diese von einem sauberen Backup wiederherstellen oder eine manuelle Bereinigung durchführen, gefolgt von einem Passwortwechsel und der Installation einer sauberen Plugin-Version.

Angreifer der "GhostAction"-Kampagne haben 94 GitHub-Repositories mit einer als Schriftart getarnten Malware infiziert, die Anmeldeinformationen stiehlt. Betroffen sind Open-Source-Entwickler, deren GitHub-Konten durch Phishing-E-Mails kompromittiert werden, die zu einer gefälschten Anmeldeseite führen. Nutzer sollten wachsam sein bei verdächtigen E-Mails, die zu externen Links auffordern, und die Zwei-Faktor-Authentifizierung (2FA) nutzen.

Ein gefälschter Web3-Accelerator namens "Apex Accelerator" (REF8801) verbreitet über bösartige npm-Pakete (z.B. @apexacc/cli, @apexacc/audit) Malware auf Windows- und macOS-Systemen. Betroffen sind Kryptowährungs-Startups und -Gründer, denen kostenlose KI-Guthaben und Sicherheitstools versprochen werden. Nutzer sollten diese Pakete meiden und ihre Systeme auf Infektionen prüfen.

Ein bösartiges npm-Paket namens "imgdecode" wurde entdeckt, das einen Shellcode-Loader in einem Windows Native Addon versteckt. Entwickler, die dieses Paket (oder frühere MALFEX-Pakete) heruntergeladen haben, sind betroffen, da es zur Kompromittierung von Windows-Systemen führen kann. Es wird dringend empfohlen, alle betroffenen Pakete zu entfernen und die Systeme auf Anzeichen einer Kompromittierung zu überprüfen.

Eine kritische Schwachstelle in Red Hat Advanced Cluster Management und Multicluster engine for Kubernetes ermöglicht authentifizierten Angreifern die Ausführung von beliebigem Code oder Denial-of-Service-Angriffe. Betroffen sind verschiedene Red Hat OpenShift Container Platform-Versionen sowie IBM DB2 und QRadar SIEM. Nutzern wird dringend empfohlen, die bereitgestellten Herstellerinformationen zu prüfen und umgehend Updates einzuspielen, um die Systeme zu schützen.

Aktuell nutzen Ransomware-Gruppen wie Qilin und Settra aktiv eine Schwachstelle (CVE-2026-0257) in PAN-OS GlobalProtect und Prisma Access aus, um sich über VPNs Zugang zu verschaffen. Dies betrifft Organisationen, die diese Dienste nutzen, da die Angriffe legitimer Fernarbeit ähneln können. Unternehmen sollten umgehend Patches einspielen, Authentifizierungs-Cookies deaktivieren, alle GlobalProtect-Sitzungen beenden und unerwartete Verbindungen untersuchen, um Daten- und Finanzdiebstahl zu verhindern.

Die "GhostAction"-Kampagne hat etwa 1.900 GitHub-Konten kompromittiert und zielte auf über 30.000 Repositories ab, um CI/CD-Secrets und Cloud-Zugangsdaten zu stehlen. Betroffen sind Entwickler und Organisationen, deren GitHub-Konten durch gestohlene PATs oder Anmeldeinformationen missbraucht wurden. Nutzer sollten ihre Secrets rotieren und auf verdächtige GitHub Actions-Workflows achten, insbesondere auf solche mit Namen wie "security-audit.yml".