SecBoard Insights
Aus Security-News, CVEs, Exploit-Signalen und Community-Indikatoren werden priorisierte Lageartikel für Security-Teams.
Als RSS-Feed abonnieren
Finanzsektor: Kritische Bedrohungen durch Banking-Trojaner, Ransomware und Krypto-Betrug
Der Finanzsektor ist aktuell mit einer kritischen Bedrohungslage konfrontiert, geprägt durch den Einsatz von Banking-Trojanern, Ransomware und komplexen Krypto-Betrugsnetzwerken. Besonders hervorzuheben sind die Aktivitäten von Akteuren wie Lazarus Group und ShinyHunters. Die Beschlagnahmung von Bulletproof-Hosting-Infrastruktur und die Sanktionierung von Krypto-Börsen zeigen verstärkte behördliche Maßnahmen gegen Cyberkriminalität. Organisationen im Finanzbereich müssen ihre Abwehrmaßnahmen gegen mobile Malware, Phishing und Schwachstellen in der Lieferkette priorisieren.
Branchenlage Behörden: KI-gestützte Angriffe, OT-Risiken und kritische PHP-Schwachstellen
Die aktuelle Cyber-Lage für Behörden ist kritisch, geprägt durch eine Zunahme KI-gestützter Angriffe, gezielte Kompromittierungen von OT-Systemen und die akute Bedrohung durch ausnutzbare PHP-Schwachstellen. Insbesondere kritische Infrastrukturen sind im Fokus. Die Notwendigkeit zur Härtung von Kühlsystemen und die Implementierung robuster OT/IoT-Überwachungssysteme wird dringlich betont. Internationale Zusammenarbeit und präventive Maßnahmen sind entscheidend, um die Resilienz des öffentlichen Sektors zu stärken.
Cyber-Lagebild Mobilität: Lieferketten-Risiken und kritische Schwachstellen im Fokus
Das aktuelle Cyber-Lagebild im Mobilitätssektor zeigt eine erhöhte Bedrohung durch Lieferkettenangriffe, insbesondere bei IT-Dienstleistern für Fluggesellschaften. Zudem sind kritische Schwachstellen in Automotive OS und Identitätsplattformen von Automobilherstellern relevant. Maritime Organisationen sehen sich mit neuen regulatorischen Anforderungen und der Notwendigkeit robuster OT-Sicherheitsstrategien konfrontiert. Die Beobachtung von Standardpasswörtern und aktiv ausgenutzten Schwachstellen unterstreicht die Dringlichkeit proaktiver Verteidigungsmaßnahmen.
Branchenlage Energie: Kritische Schwachstellen, OT-Risiken und KI-Herausforderungen
Der Energiesektor sieht sich einer kritischen Bedrohungslage gegenüber, geprägt durch die aktive Ausnutzung von Ivanti Connect Secure Schwachstellen, zunehmende Ransomware-Angriffe und die unzureichende Absicherung von OT-Systemen. Insbesondere die Kombination von E-Mail-Kompromittierungen und Ransomware führt zu erheblichen Verlusten. Die schnelle Einführung von KI in industriellen Umgebungen überfordert oft die Sicherheitsmaßnahmen, was neue Angriffsvektoren eröffnet. Frankreich meldet zudem staatlich unterstützte Angriffe auf Kühlsysteme, die physische Schäden verursachten.
Cyber-Lagebild Militär & Verteidigung: Spionage, OT-Sicherheit und KI-Integration
Das aktuelle Cyber-Lagebild im Militär- und Verteidigungssektor ist geprägt von staatlich unterstützter Spionage, insbesondere durch russlandnahe Akteure wie Gorbag, die auf ukrainische Militärhilfe und Kriegsverbrechensuntersuchungen abzielen. Gleichzeitig verstärken die USA ihre Anstrengungen zur OT-Cybersicherheit und integrieren KI in Verteidigungsstrategien. Die NATO trainiert den Einsatz von KI in Cyber-Operationen, während die US Army KI-gestützte Cybersicherheitspilotprojekte startet. Eine kritische UEFI-Schwachstelle unterstreicht die Notwendigkeit robuster Patch-Management-Prozesse.
Cyber-Lagebild Healthcare: Ransomware, Datenexfiltration und KI-gestützte Angriffe
Das aktuelle Cyber-Lagebild im Gesundheitswesen zeigt eine anhaltende Bedrohung durch Ransomware-Angriffe, die kritische Patientenversorgung stören und sensible Daten exfiltrieren. Besonders hervorzuheben sind Vorfälle bei UNM Health und der Michigan State University, die von der Ransomware-Gruppe BYOD beansprucht wurden. Zudem werden KI-Agenten zunehmend von Angreifern wie VAPOR PANDA und einem taiwanesischen Hacker für gezielte Datenexfiltration eingesetzt. Initiativen wie Project Lifeline 250 versuchen, ländliche Krankenhäuser zu stärken.
Telekommunikationsbranche: Hohes Risiko durch Datenlecks, Signaling-Schwachstellen und Betrug
Die Telekommunikationsbranche ist aktuell mit einem hohen Risiko konfrontiert, das sich aus massiven Datenlecks, der Ausnutzung von Signaling-Protokollen wie SS7 und Diameter sowie anhaltendem Missbrauch von Telefonnummern für Betrug ergibt. Ein kritischer Schwachpunkt in FortiManager (CVE-2024-47575) wird aktiv ausgenutzt und ermöglicht Angreifern weitreichenden Zugriff auf Netzwerkgeräte. Security-Teams müssen ihre Prioritäten auf Patch-Management, Signaling-Security und Betrugsprävention legen, um sensible Kundendaten und die Integrität ihrer Netze zu schützen.
Wochenlage KW45: Ivanti Zero-Days, Linux Kernel und Microsoft Patches dominieren
Die KW45 war geprägt von kritischen Schwachstellen in weit verbreiteten Systemen. Ivanti Connect Secure stand erneut im Fokus, da Angreifer aktiv drei Zero-Day-Lücken kombinierten, um Root-Zugriff zu erlangen. Gleichzeitig wurden zahlreiche Schwachstellen im Linux-Kernel für verschiedene Distributionen bekannt, die weitreichende Auswirkungen haben könnten. Microsoft schloss zudem eine Rekordzahl von Lücken, darunter eine aktiv ausgenutzte Windows Zero-Day-Schwachstelle. Für CISOs und SOCs bedeutet dies eine hohe Priorität bei der Patch-Verwaltung und der Überwachung von VPN-Infrastrukturen.
Wochenlage KW44: Ivanti, PHP und Palo Alto im Fokus der Angreifer
Die KW44 war geprägt von kritischen Schwachstellen in weit verbreiteten Systemen. Insbesondere Ivanti Connect Secure, PHP und Palo Alto Networks PAN-OS standen im Fokus, da hier aktiv ausgenutzte Schwachstellen bekannt wurden. CISA hat mehrere dieser Lücken in ihren KEV-Katalog aufgenommen, was die Dringlichkeit für Patches unterstreicht. Organisationen sollten umgehend ihre Systeme prüfen und aktualisieren, um unauthentifizierten Root-Zugriff und Remote Code Execution zu verhindern.
Wochenlage KW43: Kritische Schwachstellen in Infrastruktur- und Web-Komponenten
Die KW43 war geprägt von einer Vielzahl kritischer Schwachstellen in weit verbreiteten Infrastruktur- und Web-Komponenten. Besonders hervorzuheben sind die Pre-Auth RCEs in PHP (CVE-2026-109618, CVE-2026-109619), für die bereits Exploits und Detection Rules existieren. Daneben wurden zahlreiche Hochrisiko-Lücken in Produkten von Cisco, HPE Aruba, Red Hat und Splunk gemeldet, die von Remote Code Execution bis zu Denial-of-Service reichen. Für Verteidiger ist die schnelle Patch-Priorisierung und das Monitoring von PHP-Anwendungen entscheidend.
Wochenlage KW42: Kritische Schwachstellen in Microsoft, Linux und Dell erfordern sofortiges Handeln
Die KW42 war geprägt von einer hohen Anzahl kritischer Schwachstellen, insbesondere in Microsoft-Produkten und dem Linux-Kernel. Microsoft schloss rekordverdächtige 1.413 Lücken, darunter eine aktiv ausgenutzte Windows Zero-Day (CVE-2026-96951). Mehrere weitere KEV-Einträge, darunter in ICS, Cisco Secure Email Gateway und Palo Alto Networks PAN-OS, unterstreichen die Dringlichkeit von Patch-Management und Monitoring. Dell BIOS-Schwachstellen ergänzen das Bild der weitreichenden Betroffenheit.
Wochenlage KW41: Aktive Ausnutzung von Citrix NetScaler Zero-Day im Fokus
Die KW41 war geprägt von der aktiven Ausnutzung einer kritischen Zero-Day-Schwachstelle (CVE-2026-88779) in Citrix NetScaler ADC und Gateway, die Denial-of-Service-Angriffe ermöglicht. Diese Lücke betrifft Systeme, die als SAML SP oder IdP konfiguriert sind und ist ohne Authentifizierung über das Netz ausnutzbar. Neben Citrix wurden auch multiple Schwachstellen in Produkten von Red Hat, Tenable, Nextcloud, Splunk und Cisco gemeldet, die von Informationslecks bis zur Remote-Code-Ausführung reichen.
Wochenlage KW39: Zero-Days, kritische RCEs und aktive Ausnutzung
Die KW39 war geprägt von der aktiven Ausnutzung kritischer Schwachstellen, darunter eine Zero-Day-Kette in Chrome und Windows durch chinesische APT-Akteure. Mehrere Remote Code Execution (RCE)-Schwachstellen in weit verbreiteten Produkten wie PaperCut, F5 BIG-IP APM und Check Point Quantum Gateways erfordern umgehende Aufmerksamkeit. Besonders hervorzuheben ist die hohe Anzahl an KEV-Einträgen, die auf eine reale Bedrohungslage hinweisen und schnelle Patches erfordern. Organisationen sollten ihre Patch-Management-Prozesse überprüfen und auf die genannten Produkte fokussieren.
Wochenlage KW38: Kritische Cisco Zero-Day-Lücke und breite Patch-Welle
Die KW38 war geprägt von einer kritischen Zero-Day-Schwachstelle in Cisco Identity Services Engine (ISE), die aktiv ausgenutzt wird und eine CVSS-Bewertung von 10.0 aufweist. Daneben wurden zahlreiche weitere hochkritische Schwachstellen in Produkten von Oracle, Apple, Fortinet und im Linux Kernel bekannt, die umgehende Patches erfordern. Die Lage erfordert eine schnelle Reaktion, insbesondere bei exponierten Cisco-Systemen.
Cyber-Lagebild Automotive: Datenlecks, Spionage und Malware in Infotainmentsystemen
Das aktuelle Cyber-Lagebild der Automobilbranche zeigt eine Mischung aus gezielten Spionagekampagnen, Datenlecks bei Behörden mit Bezug zu Fahrzeugdaten und der Bedrohung durch Malware in Infotainmentsystemen. Akteure wie ShinyHunters und APT37 sind aktiv. Für Security-Verantwortliche bedeutet dies, den Fokus auf den Schutz sensibler Daten, die Absicherung der Lieferkette und die Überwachung von Fahrzeugsystemen zu legen.
Wochenlage KW37: Kritische Schwachstellen in Fortinet, IBM, Linux und Microsoft Defender
Die KW37 war geprägt von einer Vielzahl kritischer Schwachstellen in weit verbreiteten Produkten, darunter Fortinet, IBM, GitLab und der Linux-Kernel. Besonders hervorzuheben sind mehrere aktiv ausgenutzte CVEs, die im KEV-Katalog gelistet sind, sowie ein Proof-of-Concept für eine Umgehung eines Microsoft Defender-Patches. CISOs und SOC-Teams sollten die Patches für diese Systeme priorisieren und ihre Erkennungsmechanismen überprüfen, um potenzielle Ausnutzungen frühzeitig zu identifizieren.
Wochenlage KW36: Kritische Schwachstellen in Infrastruktur und Web-Anwendungen dominieren
Die KW36 war geprägt von einer hohen Dichte an kritischen Schwachstellen, die von Remote Code Execution (RCE) bis zu Privilegieneskalation reichen. Besonders hervorzuheben sind ungepatchte Lücken in Bluetooth-Stacks (bluez), RCE in Dell iDRAC und eine Reihe von hochriskanten CVEs in der CISA KEV-Liste, die Produkte wie JFrog Artifactory, PaperCut und Google Chrome betreffen. Verteidiger sollten sich auf umgehende Patch-Implementierung und die Überwachung von Infrastrukturkomponenten konzentrieren.
Wochenlage KW35: Breite Update-Welle für Endpunkte und Server-Infrastruktur
Die KW35 war geprägt von einer Vielzahl an Sicherheitsupdates für weit verbreitete Software und Infrastrukturkomponenten. Im Fokus standen Browser wie Google Chrome und Microsoft Edge, aber auch kritische Server-Anwendungen wie IBM WebSphere Application Server Liberty und der Linux Kernel. Besonders hervorzuheben sind mehrere CVEs mit hohem CVSS-Score und KEV-Eintrag, die umgehende Patches erfordern. CISOs und SOC-Teams sollten die Priorisierung auf Endpunkt- und Server-Patching legen, um das Risiko von Codeausführung und Privilegienerhöhung zu minimieren.
Wochenlage KW34: Aktive Exploitation kritischer Schwachstellen im Fokus
Die KW34 war geprägt von der aktiven Ausnutzung kritischer Schwachstellen in weit verbreiteten Systemen wie macOS, SharePoint, vCenter und Microsoft IKE. CISA hat entsprechende Warnungen herausgegeben, die den dringenden Handlungsbedarf unterstreichen. Daneben wurden zahlreiche Updates für Linux-Kernel, Red Hat Enterprise Linux und WordPress-Komponenten veröffentlicht, die teils schwerwiegende Codeausführung und Privilegieneskalation beheben. Für Security-Verantwortliche bedeutet dies eine hohe Priorität für Patch-Management und die Überprüfung von Systemen auf Kompromittierung.
Aktive Ausnutzung kritischer Schwachstellen in macOS, SharePoint, vCenter und Microsoft IKE
Die CISA warnt vor der aktiven Ausnutzung von vier kritischen Schwachstellen in macOS, Microsoft SharePoint, VMware vCenter und Microsoft IKE. Insbesondere die macOS Screen Sharing-Schwachstelle (CVE-2026-65400) wird bereits für die Installation von Monero-Minern auf exponierten Systemen missbraucht. Organisationen müssen umgehend Patches einspielen und ihre Systeme auf Kompromittierung prüfen, um Root-Zugriff und weitere Angriffe zu verhindern.
Wochenlage KW33: Linux Kernel, IBM WebSphere und kritische CVEs im Fokus
Die KW33 war geprägt von einer Vielzahl an Schwachstellenmeldungen, insbesondere rund um den Linux Kernel und IBM WebSphere Application Server. Mit 761 Meldungen und 19 CVEs, darunter ein KEV-Eintrag, zeigt sich ein anhaltend hohes Bedrohungsniveau. Besonders hervorzuheben sind mehrere hochkritische CVEs mit CVSS 10.0, die von RCE bis zu Authentifizierungs-Bypässen reichen. Security-Teams sollten die Patches für Linux-Systeme und IBM WebSphere priorisieren und ein besonderes Augenmerk auf die KEV-Liste legen.
CISA warnt: Kritische Progress LoadMaster RCE-Schwachstelle (CVE-2026-8037) wird aktiv ausgenutzt
Die CISA hat CVE-2026-8037, eine kritische Pre-Auth RCE-Schwachstelle in Progress Kemp LoadMaster, in ihren Known Exploited Vulnerabilities (KEV)-Katalog aufgenommen. Diese Lücke ermöglicht es unauthentifizierten Angreifern, Root-Befehle über die API auszuführen und stellt ein erhebliches Risiko für die Verfügbarkeit und Integrität von Systemen dar. Unternehmen, die LoadMaster-Produkte einsetzen, müssen umgehend handeln, um ihre Systeme zu patchen und potenzielle Kompromittierungen zu identifizieren.
Kritische 'wp2shell' WordPress-Schwachstellen: Aktive Ausnutzung zur Webshell-Installation
Zwei kritische Schwachstellen im WordPress Core, bekannt als 'wp2shell' (CVE-2026-63030 und CVE-2026-60137), werden aktiv ausgenutzt. Diese Lücken ermöglichen unauthentifizierte Remote Code Execution (RCE) und die Installation von Webshells sowie bösartigen Plugins auf betroffenen Servern. Die Kombination aus einer REST API Route Confusion und einer SQL Injection birgt ein hohes Risiko für Millionen von WordPress-Installationen. CISOs, SOC-Teams und IT-Security-Verantwortliche sollten umgehend Patches einspielen und ihre Systeme auf Kompromittierung prüfen.
CISA warnt: Kritische RCE-Lücken in SharePoint und FortiSandbox aktiv ausgenutzt
Die CISA hat drei kritische Schwachstellen, darunter eine Zero-Day RCE in Microsoft SharePoint Server (CVE-2026-58644) und drei Fortinet FortiSandbox-Lücken (CVE-2026-25089, CVE-2026-39808, CVE-2026-39813), in ihren Known Exploited Vulnerabilities (KEV) Katalog aufgenommen. Diese Lücken werden aktiv von Angreifern ausgenutzt und stellen ein erhebliches Risiko für Organisationen dar. Insbesondere die SharePoint-Lücke ermöglicht die Remote-Code-Ausführung ohne Authentifizierung. Umfassende Patches und Monitoring sind dringend erforderlich.
Wochenlage KW32: Aktive Exploits in TeamCity und N-able, Snowflake-Hacker verurteilt
Die KW32 war geprägt von der aktiven Ausnutzung kritischer Schwachstellen in JetBrains TeamCity und N-able N-central, die beide in CISAs KEV-Katalog aufgenommen wurden. Diese RCE- und Authentifizierungs-Bypass-Lücken erfordern sofortiges Handeln. Zudem wurde ein Hacker im Zusammenhang mit den weitreichenden Snowflake-Angriffen verurteilt, was die anhaltende Bedrohung durch Supply-Chain-Angriffe unterstreicht. Besorgniserregend sind auch die zunehmenden Vorfälle von KI-generierten Deepfakes, die weitreichende soziale und rechtliche Implikationen haben.
Wochenlage KW31: KI-Agenten im Fokus, OT-Angriffe auf Wasserversorger und kritische CVEs
Die KW31 war geprägt von einer Zunahme der Nutzung von KI-Agenten für offensive Zwecke, einem koordinierten Cyberangriff auf über 30 Wasserversorger in Minnesota und der Diskussion um Datenschutz bei KI-Smart-Glasses. Besonders hervorzuheben ist der Einsatz eines KI-Agenten bei einem Spionageangriff auf das thailändische Finanzministerium sowie die Bestätigung, dass OpenAI-Modelle eine Zero-Day-Schwachstelle in JFrog Artifactory ausnutzten. Mehrere kritische CVEs, darunter eine im KEV-Katalog gelistete VeloCloud Orchestrator-Schwachstelle, erfordern umgehende Aufmerksamkeit.
Wochenlage KW30: Aktive Exploits in Check Point, SonicWall und WordPress dominieren
Die KW30 war geprägt von einer hohen Dichte an aktiv ausgenutzten Schwachstellen in kritischen Infrastrukturkomponenten. Zero-Days in Check Point SmartConsole (CVE-2026-16232) und SonicWall SMA 1000 (CVE-2026-15409, CVE-2026-15410) erforderten sofortiges Handeln. Zudem wurden WordPress-Installationen massiv durch die "wp2shell"-Schwachstellen (CVE-2026-63030, CVE-2026-60137) kompromittiert. Diese Entwicklungen unterstreichen die Notwendigkeit schneller Patch-Zyklen und robuster Monitoring-Strategien, insbesondere für exponierte Systeme.
Wochenlage KW29: Multiple Zero-Days und MFA-Umgehungen dominieren das Lagebild
Die KW29 war geprägt von einer hohen Anzahl kritischer Schwachstellen, darunter mehrere aktiv ausgenutzte Zero-Days in Microsoft SharePoint, SonicWall SMA 1000 und Fortinet FortiSandbox. Microsoft verzeichnete einen Rekord-Patch-Day mit 622 behobenen Lücken. Parallel dazu nehmen ausgeklügelte Phishing-Kampagnen gegen Microsoft 365-Konten zu, die Multi-Faktor-Authentifizierung (MFA) umgehen können. CISOs und SOC-Teams stehen vor der dringenden Aufgabe, Patches zu priorisieren und ihre Erkennungsmechanismen für Phishing-Angriffe zu schärfen.
Wochenlage KW28: Kritische Lücken in Adobe ColdFusion und Microsoft Defender, KI-Risiken in der Supply Chain
Die KW28 war geprägt von der aktiven Ausnutzung kritischer Schwachstellen: Adobe ColdFusion (CVE-2026-48282) und Microsoft Defender (CVE-2026-50656) erforderten umgehende Aufmerksamkeit. Die CISA erweiterte ihren KEV-Katalog um vier neue, aktiv ausgenutzte Lücken. Parallel dazu rücken neue KI-getriebene Bedrohungen in der Software-Lieferkette, wie „Phantom Squatting“, verstärkt in den Fokus. Für Security-Teams bedeutet dies eine hohe Priorität auf Patch-Management und die Erweiterung von Supply-Chain-Sicherheitsstrategien um KI-spezifische Risiken.
Wochenlage KW27: KI-bezogene Exploits und Zero-Days dominieren das Lagebild
Die KW27 war geprägt von einer alarmierenden Zunahme von Exploits, die auf KI-Anwendungen und -Infrastrukturen abzielen. Insbesondere die Ausnutzung von RCE-Schwachstellen in Langflow und Marimo sowie die Entdeckung des neuen Infostealers 'Djinn', der auf Cloud- und KI-Zugangsdaten abzielt, erfordern erhöhte Wachsamkeit. Hinzu kommt ein Zero-Day-Exploit in Microsoft Defender, der für Ransomware-Angriffe genutzt wurde. Diese Entwicklungen unterstreichen die Notwendigkeit einer proaktiven Verteidigung und schneller Patch-Implementierung, insbesondere im Kontext von KI-Systemen.
KEV-Alarm: Ivanti Sentry (CVSS 10.0) und AI-Gateway LiteLLM ohne Authentifizierung ausgenutzt
CISA hat mehrere kritische, aktiv ausgenutzte Schwachstellen in den KEV-Katalog aufgenommen. Herausragend: eine OS-Command-Injection in Ivanti Sentry (CVE-2026-10520, CVSS 10.0, EPSS 99 %) mit unauthentifiziertem Root-RCE sowie eine RCE-Kette im AI-Gateway LiteLLM (CVE-2026-42271). Zusätzlich betroffen: SolarWinds Serv-U und Check-Point-VPN.
KEV-Update: Langflow-RCE aktiv ausgenutzt — CISA nimmt AI-Tooling- und Enterprise-Lücken auf
CISA hat mehrere aktiv ausgenutzte Schwachstellen in den KEV-Katalog aufgenommen. Im Zentrum: eine kritische Code-Injection in Langflow (CVE-2026-33017, CVSS 9.8, EPSS 98 %), die aktuell zum Ausrollen von Monero-Minern auf exponierten AI-Endpoints missbraucht wird. Ergänzend betroffen: Cisco Secure Firewall FMC, Apple und Aqua Trivy.
Oracle E-Business Suite CVE-2026-46817 (CVSS 9.8) aktiv ausgenutzt — kritische Lücke in Finanzapplikation
Eine kritische Schwachstelle in Oracle E-Business Suite (CVE-2026-46817, CVSS 9.8) wird laut Threat-Intelligence-Anbieter Defused aktiv in Angriffen ausgenutzt. Betroffen ist die als Finanzapplikation eingesetzte EBS-Plattform — ein attraktives Ziel für finanziell motivierte Angreifer.
Amazon Q VS-Code-Extension: Schwachstelle ermöglichte Cloud-Credential-Diebstahl über bösartige Repos
Eine Schwachstelle in der Amazon-Q-Erweiterung für VS Code erlaubte Angreifern, über ein präpariertes Repository beliebigen Code auszuführen und Cloud-Zugangsdaten zu stehlen. AWS hat die Lücke gepatcht und ein Advisory veröffentlicht. Der Fall verdeutlicht das wachsende Risiko durch KI-Coding-Assistenten und MCP-Integrationen.
„Gaslight“: macOS-Infostealer nutzt Prompt-Injection, um KI-gestützte Malware-Analyse zu stören
Eine neu entdeckte, in Rust geschriebene macOS-Malware namens „Gaslight“ ist zugleich Infostealer und Anti-Analyse-Werkzeug: Sie bettet Prompt-Injection-Strings und gefälschte Fehler-/Debug-Daten in die ausführbare Datei ein, um KI-gestützte Analyse-Tools in die Irre zu führen. Ein frühes Beispiel für Malware, die gezielt gegen KI-Analysten arbeitet.
Neue „Mistic“-Backdoor mit Ransomware-Access-Broker KongTuke verknüpft — ClickFix- und ModeloRAT-Kampagnen
Eine neue, getarnte Backdoor namens „Mistic“ wird in finanziell motivierten Angriffen gegen Organisationen aus Versicherung, Bildung, IT und professionellen Dienstleistungen eingesetzt. Forscher verknüpfen sie mit dem Ransomware-Access-Broker KongTuke sowie mit ClickFix- und ModeloRAT-Kampagnen.
„StrikeShark“: Neue SharkLoader-Malware liefert Cobalt Strike in globaler Kampagne
Forscher haben eine bislang undokumentierte Malware namens SharkLoader entdeckt, die als Loader Cobalt Strike Beacon auf kompromittierten Systemen ausbringt. Die von Kaspersky als „StrikeShark“ bezeichnete Kampagne agiert global und stellt eine klassische Vorstufe zu weiterführenden Angriffen dar.
Schwachstellen in indischen Regierungssystemen legten private Daten offen — kritische Lücke ermöglichte Portal-Übernahme
Ein Sicherheitsforscher entdeckte zahlreiche Schwachstellen in indischen Regierungssystemen, die private Daten offenlegten. Eine als kritisch eingestufte Lücke hätte es Beliebigen erlaubt, ein nationales Regierungsportal zu übernehmen — ein Beleg für die Risiken exponierter, schlecht abgesicherter Behördenanwendungen.
Miasma-Malware setzt npm-Supply-Chain-Welle fort — npm-Pakete und GitHub Actions im Visier
Forscher melden eine weitere Entwicklungsstufe der Supply-Chain-Angriffe rund um die Malware-Familie Mini Shai-Hulud / Miasma / Hades: Eine neue Welle kompromittierte npm-Pakete und nimmt GitHub Actions ins Visier. Der Vorfall reiht sich in eine anhaltende Serie von Angriffen auf die Software-Lieferkette ein.
Gravity SMTP (WordPress) CVE-2026-4020: Unauthentifizierte Info-Disclosure aktiv ausgenutzt
Angreifer nutzen aktiv eine kürzlich gepatchte Schwachstelle (CVE-2026-4020) im WordPress-Plugin Gravity SMTP aus, das auf rund 100.000 Sites installiert ist. Die unauthentifizierte Information-Disclosure-Lücke gibt API-Schlüssel, Secrets, Tokens und Serverinformationen preis — wertvolles Material für Folgeangriffe.
Klue-OAuth-Breach weitet sich aus: „Icarus“ stiehlt Salesforce-Daten über gestohlene OAuth-Tokens
Nach dem Einbruch beim Anbieter Klue wächst die Opferliste: Angreifer der Gruppe „Icarus“ nutzten gestohlene OAuth-Tokens, um über die legitime Klue-Integration Salesforce-CRM-Daten mehrerer Organisationen zu entwenden. Die Kampagne ist eine laufende Erpressungsaktion und ein Lehrstück über das Risiko von Drittanbieter-OAuth-Verbindungen.
FortiBleed: Zugangsdaten von rund 86.000 FortiGate-Geräten geleakt — CISA warnt Fortinet-Kunden
Ein als „FortiBleed“ bezeichneter Leak hat Firewall- und VPN-Zugangsdaten von zehntausenden internetexponierten Fortinet-Geräten offengelegt — Berichte nennen 73.000 bis rund 86.000 betroffene Geräte, etwa die Hälfte der erreichbaren Fortinet-Firewalls/VPNs. CISA fordert Fortinet-Kunden auf, ihre Geräte angesichts laufender bösartiger Aktivität abzusichern.
Microsoft Defender Zero-Day „RoguePlanet“ (CVE-2026-50656): öffentlicher PoC, Patch erst in Arbeit
Microsoft bestätigt einen Defender-Zero-Day mit dem Codenamen „RoguePlanet“ (CVE-2026-50656). Öffentlicher PoC-Code nutzt eine Race Condition in Microsoft Defender aus, um eine Eingabeaufforderung mit SYSTEM-Rechten zu erzeugen. Ein Patch befindet sich noch in der Entwicklung — bis dahin besteht ein Risiko zur lokalen Rechteausweitung.
Kritische Patches Mitte Juni 2026: Splunk, Atlassian, F5 NGINX sowie Chrome und Firefox
Mehrere Hersteller haben Mitte Juni 2026 kritische Schwachstellen geschlossen: Splunk patchte eine OS-Command-Injection im AI Toolkit, Atlassian behob Dutzende Fehler in Drittanbieter-Abhängigkeiten, F5 schloss kritische NGINX-Lücken (unauthentifizierter Neustart bis möglicher RCE), und Chrome wie Firefox beseitigten Memory-Safety-Bugs mit RCE-Potenzial.
DragonForce missbraucht Microsoft-Teams-Relays als C2 — Go-Backdoor „Backdoor.Turn“ tarnt Traffic
Akteure der DragonForce-Ransomware verstecken ihren Command-and-Control-Verkehr in der Microsoft-Teams-Relay-Infrastruktur. Eine neue, in Go geschriebene Backdoor namens „Backdoor.Turn“ tunnelt C2-Kommunikation über legitime Teams-Server und erschwert so die netzbasierte Erkennung.
China-nahe Spionagegruppe UNC6508 stahl über ein Jahr Forschungs- und Verteidigungs-E-Mails via Google Workspace
Eine China-verknüpfte Spionagegruppe (von Google als UNC6508 verfolgt) hielt sich laut Bericht über ein Jahr in nordamerikanischen Medizin-, Forschungs- und Militärnetzen auf und stahl sensible Forschungs- und Verteidigungs-E-Mails. Der Zugang gelang u. a. über den Missbrauch von Google-Workspace-Regeln sowie exponierte REDCap-Server, auf denen die Malware InfiniteRed ausgebracht wurde.
Wochenlage KW 26/2026: KEV-Welle bei Cisco, Splunk und Lantronix — Supply-Chain-Angriffe häufen sich
Die Kalenderwoche 26 war geprägt von einer Häufung aktiv ausgenutzter Schwachstellen: CISA ergänzte den KEV-Katalog gleich mehrfach (Splunk, Cisco Unified CM, Cisco SD-WAN, Lantronix-OT, PTC Windchill). Parallel zog die Software-Lieferkette Angriffe an — von nordkoreanischen npm-Paketen bis zu manipulierten WordPress-Release-Kanälen. Positiv: die Operation Endgame zerschlug Amadey- und StealC-Infrastruktur.
Operation Endgame: Amadey- und StealC-Infrastruktur zerschlagen, 27 Mio. gestohlene Zugangsdaten gesichert
Eine koordinierte Strafverfolgungsaktion (Operation Endgame) mit Microsoft, Europol und Sicherheitsfirmen wie Bitdefender, Bitsight und ESET hat die geteilte Infrastruktur der Malware Amadey und StealC zerschlagen. Hunderte C&C-Server wurden gestört und rund 27 Millionen gestohlene Zugangsdaten gesichert. Für betroffene Organisationen heißt das: Exposition prüfen und Passwörter zurücksetzen.
Lantronix EDS5000 (CVE-2025-67038) aktiv ausgenutzt — OT-Schwachstelle jetzt im CISA-KEV
CISA hat vier Schwachstellen in den KEV-Katalog aufgenommen, darunter CVE-2025-67038 im Lantronix-EDS5000-Serial-to-IP-Converter (CVSS 9.8). Eine Command-Injection im HTTP-RPC-Modul wird laut Bericht aktiv ausgenutzt — nach einer vorausgegangenen OT-Bedrohungswarnung. Die Lücke stammt aus dem im April offengelegten BRIDGE:BREAK-Forschungsprojekt.
ShapedPlugin: WordPress-Pro-Plugins über Release-Kanäle mit Backdoor versehen — Welle von Supply-Chain-Angriffen
Mehrere WordPress-Pro-Plugins von ShapedPlugin wurden in einem Supply-Chain-Angriff kompromittiert: Angreifer manipulierten die offiziellen Release-Kanäle und schleusten Backdoor-Code ein. Der Vorfall reiht sich in eine breitere Welle ein — von der Klue-Salesforce-Kompromittierung bis zu 1.500 manipulierten AUR-Paketen bei Arch Linux.